模块 A 合并后 · 强制自我红队测试报告

范围：智能报价 / 线索捕获 / 订单签名 / Append-Only 账本。执行：cd module-a && npm test

🔴 假设 1：接案人篡改客单价（财务风险）

攻击路径：抓包改 price / payable，或虚报超大折扣，私下收现金差额。

已封堵：

PriceEngine 只认 skuId + claimAmount，丢弃 clientClaimedPriceCents
createOrder 丢弃客户端折扣与应付；折扣只认 serverDiscountCents
HMAC 价格签名；改金额后 verifyPriceSignature 失败
打折后管理费按应付比例重算，防止“只砍公户”

测试状态：已覆盖并通过（见 red-team.test.ts）

🔴 假设 2：粗心前台 / 弱网丢线索或刷客流（操作风险）

失误路径：表单未提交退出；前台重复点新建；弱网重试产生多条虚假线索。

已封堵：

授权/测算即写 DRAFT_LEAD（两阶段捕获）
openId + caseType + 24h 聚合为同一 LeadSession
15 分钟未完成 → EXPIRED + 召回队列

测试状态：已覆盖并通过

遗留：生产需接企微机器人真实召回；前台 UI 在合并命中时弹“是否并入已有线索”。

🔴 假设 3：多表冗余电话/标的导致分账失真（存储风险）

风险路径：订单表、分账表各存一份标的与电话；客户改号或调价时部分表未同步。

已封堵：

订单只存财务快照（规则版本、金额分、管理费、律师份额）+ leadId/clientId
AppendOnlyLedger：退款/调账只追加反向行，禁止 UPDATE 余额
禁止负金额入账

测试状态：已覆盖并通过

红队追加 · 渠道自导自演（分账 5/25/40/20/10）

攻击：主办律师把自己填成渠道人，额外吃 10% 案源奖。

已封堵：channelId === leadLawyerId 时渠道份额并入公户；分账尾差进公户，合计严格等于应付。

测试状态：已覆盖并通过

主动追加隐患（精算师，不等提问）

财务：律师在聊天发送个人收款码 → 需内容风控 + 合同支付主体校验（P2）。
财务：里程碑未完成却人工点“释放” → 需双人审批 + 交付物哈希校验（模块 B/C）。
财务：L1 ¥9.9 用付费流硬推会亏死 → 运营禁则：付费广告只导测算页，不导 L4。
操作：同一手机号多 OpenID（换机）可能重复线索 → 生产用手机号哈希二次去重。
合规：禁止「包赢/稳赢」文案；L3 须醒目提示「辅助本人维权，不构成全权代理」。