写生日记 · 后端 MVP 控制台

1 · 身份

小程序端走 wx.login 拿 code；这里直接填 code 模拟。换一个 code = 换一个用户，用来测互动。
未登录

2 · 地点

poi_id 是跨用户去重锚点：两人在同一 POI 写生会落到同一个地点，不会生成两条。

3 · 发布作品 + 到访评价

隐私开关真正落库；评价写进 spot_reviews，是地点画像的唯一数据源。
—

4 · 地点画像（聚合）

评分/噪音/人流从所有人的到访评价算出来，spots 表本身不存这些值 —— 这是 CloudBase 版评分恒 0 的根因修复。
—

5 · 公开作品流 · 互动

点赞/收藏计数由数据库触发器维护，刷新后不会归零；作者名 JOIN users 实时取，改昵称历史作品同步变。
—

6 · 私信 · 越权防护验证

CloudBase 版最严重的漏洞在这里：原实现只认客户端传的 conversationId，不校验成员身份， 任何人拼出别人的会话 ID 就能读走全部私信。下面第二个按钮会用当前身份去读一个你不属于的会话，应当被 403 拒绝。 
—