开发方法论 (DDD/TDD)

# RED: 先编写失败的测试
def test_user_registration():
    """
    GIVEN: 存在有效的用户信息
    WHEN: 进行注册
    THEN: 应创建用户并发送欢迎邮件
    """
    user_service = UserService()
    result = user_service.register(
        email="[email protected]",
        password="SecurePass123!"
    )
 
    assert result.success is True
    assert result.user.id is not None
    assert email_service.welcome_email_sent("[email protected]") is True
 
# 运行测试 (预期失败 - 尚未实现)
# > pytest test_user_service.py - test_user_registration FAILED
 
# ====================================
 
# GREEN: 用最少代码通过测试
class UserService:
    def register(self, email: str, password: str) -> RegistrationResult:
        user = User.create(email, password)
        user_repository.save(user)
        email_service.send_welcome(email)
        return RegistrationResult.success(user)
 
# 运行测试 (通过)
# > pytest test_user_service.py - test_user_registration PASSED
 
# ====================================
 
# REFACTOR: 改进代码质量 (测试持续通过)
class UserService:
    def __init__(
        self,
        user_repo: UserRepository,
        email_service: EmailService,
        password_validator: PasswordValidator
    ):
        self.user_repo = user_repo
        self.email_service = email_service
        self.password_validator = password_validator
 
    def register(self, email: str, password: str) -> RegistrationResult:
        if not self.password_validator.validate(password):
            return RegistrationResult.failure("密码无效")
 
        user = User.create(email, password)
        self.user_repo.save(user)
        self.email_service.send_welcome(email)
        return RegistrationResult.success(user)
 
# 运行测试 (仍然通过)
# > pytest test_user_service.py - test_user_registration PASSED

错误方法: "把全部代码一次性改掉!"
  --> 破坏现有功能的风险很高
  --> 出问题时很难找到错在哪里

正确方法: "用测试记录当前行为，然后一点点改!"
  --> 现有功能一旦被破坏，测试会立即发出通知
  --> 出问题时只需回退最后一次修改即可

## 代码分析报告
 
- 目标: src/auth/ (认证模块)
- 文件: 8 个 Python 文件
- 代码行数: 1,850 行
- 测试覆盖率: 5%
 
## 发现的问题
1. 重复的认证逻辑 (3 处存在相同代码)
2. 硬编码的密钥 (直接写在 config.py 中)
3. SQL 注入漏洞 (user_repository.py)
4. 测试不足 (5%，目标 85%)

class TestExistingLoginBehavior:
    """记录现有登录函数当前行为的特征化测试"""
 
    def test_valid_login_returns_token(self):
        """
        GIVEN: 存在已注册的用户
        WHEN: 使用正确密码登录
        THEN: 原样记录当前实现返回的响应
        """
        user = create_test_user(
            email="[email protected]",
            password="password123"
        )
 
        result = login_service.login("[email protected]", "password123")
 
        # 原样记录当前行为 (不判断对错)
        assert result["status"] == "success"
        assert result["token"] is not None
        assert result["expires_in"] == 3600  # 当前过期时间
 
    def test_wrong_password_returns_error(self):
        """记录使用错误密码登录时的当前行为"""
        create_test_user(email="[email protected]", password="password123")
 
        result = login_service.login("[email protected]", "wrongpassword")
 
        assert result["status"] == "error"
        assert result["code"] == 401

# 改进前: 原始代码
def login(email, password):
    # SQL 注入漏洞
    user = db.query("SELECT * FROM users WHERE email = '" + email + "'")
    if user and check_password(user.password, password):
        token = generate_token(user.id)
        return {"status": "success", "token": token}
    return {"status": "error", "code": 401}
 
# ====================================
 
# 改进后: 经过 3 次迭代完成的代码
def login(email: str, password: str) -> LoginResult:
    """处理用户登录。"""
    # 迭代 1: 使用参数化查询防止 SQL 注入
    user = user_repository.find_by_email(email)
 
    if not user:
        return LoginResult.failure("凭证无效")
 
    # 迭代 2: 集中认证逻辑
    if not auth_service.verify_password(user, password):
        return LoginResult.failure("凭证无效")
 
    # 迭代 3: 分离令牌服务
    token = token_service.generate(user.id)
    return LoginResult.success(token)

# TDD 执行 (development_mode: tdd 时)
> /moai run SPEC-AUTH-001

# DDD 执行 (development_mode: ddd 时)
> /moai run SPEC-AUTH-001

constitution:
  development_mode: tdd  # 使用 TDD 方法论
 
  tdd_settings:
    test_first_required: true         # 实现前必须先编写测试
    red_green_refactor: true          # 遵循 RED-GREEN-REFACTOR 周期
    min_coverage_per_commit: 80       # 每次提交的最低覆盖率
    mutation_testing_enabled: false   # 变异测试 (可选)
 
  test_coverage_target: 85            # 整体覆盖率目标

constitution:
  development_mode: ddd  # 使用 DDD 方法论
 
  ddd_settings:
    require_existing_tests: true      # 重构前需要现有测试
    characterization_tests: true      # 自动生成特征化测试
    behavior_snapshots: true          # 使用快照测试
    max_transformation_size: small    # 限制修改规模
    preserve_before_improve: true     # 必须先保留再改进
 
  test_coverage_target: 85            # 整体覆盖率目标

问题:
- 2 处 SQL 注入漏洞
- 硬编码的密钥
- 3 处重复的认证逻辑
- 测试覆盖率 5%
- 代码复杂度高

# 第 1 步: 创建 SPEC (Plan)
> /moai plan "重构遗留认证系统。修复 SQL 注入、密钥环境变量化、集中认证逻辑"
 
# manager-spec 创建 SPEC-AUTH-REFACTOR-001

# 第 2 步: 执行 DDD (Run)
> /moai run SPEC-AUTH-REFACTOR-001
 
# manager-ddd 执行 ANALYZE-PRESERVE-IMPROVE 周期
# ANALYZE: 分析代码，生成问题列表
# PRESERVE: 编写 156 个特征化测试
# IMPROVE: 通过 3 次迭代渐进式改进

# 第 3 步: 文档同步 (Sync)
> /moai sync SPEC-AUTH-REFACTOR-001
 
# manager-docs 更新 API 文档，生成重构报告