st-comp 0.0.276 → 0.0.278

package/coverage/sorter.js

@@ -0,0 +1,210 @@
+/* eslint-disable */
+var addSorting = (function() {
+    'use strict';
+    var cols,
+        currentSort = {
+            index: 0,
+            desc: false
+        };
+
+    // returns the summary table element
+    function getTable() {
+        return document.querySelector('.coverage-summary');
+    }
+    // returns the thead element of the summary table
+    function getTableHeader() {
+        return getTable().querySelector('thead tr');
+    }
+    // returns the tbody element of the summary table
+    function getTableBody() {
+        return getTable().querySelector('tbody');
+    }
+    // returns the th element for nth column
+    function getNthColumn(n) {
+        return getTableHeader().querySelectorAll('th')[n];
+    }
+
+    function onFilterInput() {
+        const searchValue = document.getElementById('fileSearch').value;
+        const rows = document.getElementsByTagName('tbody')[0].children;
+
+        // Try to create a RegExp from the searchValue. If it fails (invalid regex),
+        // it will be treated as a plain text search
+        let searchRegex;
+        try {
+            searchRegex = new RegExp(searchValue, 'i'); // 'i' for case-insensitive
+        } catch (error) {
+            searchRegex = null;
+        }
+
+        for (let i = 0; i < rows.length; i++) {
+            const row = rows[i];
+            let isMatch = false;
+
+            if (searchRegex) {
+                // If a valid regex was created, use it for matching
+                isMatch = searchRegex.test(row.textContent);
+            } else {
+                // Otherwise, fall back to the original plain text search
+                isMatch = row.textContent
+                    .toLowerCase()
+                    .includes(searchValue.toLowerCase());
+            }
+
+            row.style.display = isMatch ? '' : 'none';
+        }
+    }
+
+    // loads the search box
+    function addSearchBox() {
+        var template = document.getElementById('filterTemplate');
+        var templateClone = template.content.cloneNode(true);
+        templateClone.getElementById('fileSearch').oninput = onFilterInput;
+        template.parentElement.appendChild(templateClone);
+    }
+
+    // loads all columns
+    function loadColumns() {
+        var colNodes = getTableHeader().querySelectorAll('th'),
+            colNode,
+            cols = [],
+            col,
+            i;
+
+        for (i = 0; i < colNodes.length; i += 1) {
+            colNode = colNodes[i];
+            col = {
+                key: colNode.getAttribute('data-col'),
+                sortable: !colNode.getAttribute('data-nosort'),
+                type: colNode.getAttribute('data-type') || 'string'
+            };
+            cols.push(col);
+            if (col.sortable) {
+                col.defaultDescSort = col.type === 'number';
+                colNode.innerHTML =
+                    colNode.innerHTML + '<span class="sorter"></span>';
+            }
+        }
+        return cols;
+    }
+    // attaches a data attribute to every tr element with an object
+    // of data values keyed by column name
+    function loadRowData(tableRow) {
+        var tableCols = tableRow.querySelectorAll('td'),
+            colNode,
+            col,
+            data = {},
+            i,
+            val;
+        for (i = 0; i < tableCols.length; i += 1) {
+            colNode = tableCols[i];
+            col = cols[i];
+            val = colNode.getAttribute('data-value');
+            if (col.type === 'number') {
+                val = Number(val);
+            }
+            data[col.key] = val;
+        }
+        return data;
+    }
+    // loads all row data
+    function loadData() {
+        var rows = getTableBody().querySelectorAll('tr'),
+            i;
+
+        for (i = 0; i < rows.length; i += 1) {
+            rows[i].data = loadRowData(rows[i]);
+        }
+    }
+    // sorts the table using the data for the ith column
+    function sortByIndex(index, desc) {
+        var key = cols[index].key,
+            sorter = function(a, b) {
+                a = a.data[key];
+                b = b.data[key];
+                return a < b ? -1 : a > b ? 1 : 0;
+            },
+            finalSorter = sorter,
+            tableBody = document.querySelector('.coverage-summary tbody'),
+            rowNodes = tableBody.querySelectorAll('tr'),
+            rows = [],
+            i;
+
+        if (desc) {
+            finalSorter = function(a, b) {
+                return -1 * sorter(a, b);
+            };
+        }
+
+        for (i = 0; i < rowNodes.length; i += 1) {
+            rows.push(rowNodes[i]);
+            tableBody.removeChild(rowNodes[i]);
+        }
+
+        rows.sort(finalSorter);
+
+        for (i = 0; i < rows.length; i += 1) {
+            tableBody.appendChild(rows[i]);
+        }
+    }
+    // removes sort indicators for current column being sorted
+    function removeSortIndicators() {
+        var col = getNthColumn(currentSort.index),
+            cls = col.className;
+
+        cls = cls.replace(/ sorted$/, '').replace(/ sorted-desc$/, '');
+        col.className = cls;
+    }
+    // adds sort indicators for current column being sorted
+    function addSortIndicators() {
+        getNthColumn(currentSort.index).className += currentSort.desc
+            ? ' sorted-desc'
+            : ' sorted';
+    }
+    // adds event listeners for all sorter widgets
+    function enableUI() {
+        var i,
+            el,
+            ithSorter = function ithSorter(i) {
+                var col = cols[i];
+
+                return function() {
+                    var desc = col.defaultDescSort;
+
+                    if (currentSort.index === i) {
+                        desc = !currentSort.desc;
+                    }
+                    sortByIndex(i, desc);
+                    removeSortIndicators();
+                    currentSort.index = i;
+                    currentSort.desc = desc;
+                    addSortIndicators();
+                };
+            };
+        for (i = 0; i < cols.length; i += 1) {
+            if (cols[i].sortable) {
+                // add the click event handler on the th so users
+                // dont have to click on those tiny arrows
+                el = getNthColumn(i).querySelector('.sorter').parentElement;
+                if (el.addEventListener) {
+                    el.addEventListener('click', ithSorter(i));
+                } else {
+                    el.attachEvent('onclick', ithSorter(i));
+                }
+            }
+        }
+    }
+    // adds sorting functionality to the UI
+    return function() {
+        if (!getTable()) {
+            return;
+        }
+        cols = loadColumns();
+        loadData();
+        addSearchBox();
+        addSortIndicators();
+        enableUI();
+    };
+})();
+
+window.addEventListener('load', addSorting);

package/docs/api-design.md

@@ -0,0 +1,120 @@
+# 测试接口约定（api-design.md）
+
+> Phase 2 输出物 | 本项目的"API"指测试体系的公共接口：setup / helpers / mocks 的调用约定
+
+## 1. mountWithPlugins — 统一挂载入口
+
+`tests/helpers/mount.ts`
+
+```ts
+import { mount, type MountingOptions } from '@vue/test-utils'
+import ElementPlus from 'element-plus'
+
+export function mountWithPlugins(
+  component: any,
+  options: MountingOptions<any> = {}
+) {
+  return mount(component, {
+    global: {
+      plugins: [ElementPlus],
+      stubs: { transition: false, 'transition-group': false },
+      ...(options.global ?? {})
+    },
+    ...options
+  })
+}
+```
+
+约定：
+- 所有 spec 用 `mountWithPlugins` 替代裸 `mount`，保证 Element Plus 组件真实渲染（测试 el-* 结构）
+- 需要浅渲染时显式传 `shallow: true`
+
+## 2. mocks 模块契约
+
+### 2.1 `tests/mocks/st-func.ts`
+
+```ts
+export const getToken = vi.fn(() => 'mock-token')
+export const getUserData = vi.fn(() => ({ id: 1, name: 'tester', mobile: '13800000000' }))
+export const initRequest = vi.fn()
+export const request = {
+  get: vi.fn(() => Promise.resolve({ code: 0, data: [] })),
+  post: vi.fn(() => Promise.resolve({ code: 0, data: {} }))
+}
+export const stMath = { /* 按真实 st-func 导出的数学函数签名补齐，返回确定值 */ }
+export const debounce = vi.fn((fn: Function, _wait?: number) => fn)  // 同步执行便于断言
+export const addResizeListener = vi.fn()
+export const removeResizeListener = vi.fn()
+```
+
+用法：spec 顶部 `vi.mock('st-func', async () => await import('../mocks/st-func'))`，然后 `import { request } from 'st-func'` 拿同一引用做调用断言。
+
+### 2.2 `tests/mocks/echarts.ts`
+
+```ts
+export function createEchartsMock() {
+  const instance = {
+    setOption: vi.fn(),
+    resize: vi.fn(),
+    dispose: vi.fn(),
+    on: vi.fn(),
+    off: vi.fn(),
+    getOption: vi.fn(() => ({}))
+  }
+  return {
+    init: vi.fn(() => instance),
+    __instance: instance   // spec 用它断言 setOption 收到的 option
+  }
+}
+```
+
+约定：每个 echarts 系 spec 用 `vi.mock('echarts', () => createEchartsMock())`；断言对象是 `__instance.setOption.mock.calls[0][0]` 的关键字段（series 类型、data 映射），不做全量 option 快照。
+
+### 2.3 `tests/mocks/monaco.ts`
+
+```ts
+export const editorInstance = {
+  getValue: vi.fn(() => ''),
+  setValue: vi.fn(),
+  onDidChangeModelContent: vi.fn(),
+  dispose: vi.fn(),
+  layout: vi.fn()
+}
+export const monacoMock = {
+  editor: { create: vi.fn(() => editorInstance), defineTheme: vi.fn(), setTheme: vi.fn() },
+  languages: { register: vi.fn(), setMonarchTokensProvider: vi.fn() }
+}
+```
+
+### 2.4 `tests/mocks/talib.ts`
+
+指标函数（MA/MACD/KDJ…）统一签名：`(data: number[], period: number) => number[]`，mock 返回长度与输入一致的固定数组，保证 Kline 数据管道可断言。
+
+## 3. setup.ts 全局行为
+
+1. `config.global`：无（由 mountWithPlugins 注入）
+2. stub：`ElMessage` 各方法、`localStorage`（内存实现）、`ResizeObserver`、`matchMedia`
+3. canvas：`HTMLCanvasElement.prototype.getContext = vi.fn(() => ({}))`
+4. 每个用例后 `vi.restoreAllMocks()`（vitest 配置 `restoreMocks: true`）
+
+## 4. spec 文件模板
+
+```ts
+import { describe, it, expect, vi } from 'vitest'
+import { mountWithPlugins } from '../helpers/mount'
+import StPagination from '@package/Pagination/index.vue'
+
+vi.mock('st-func', async () => await import('../mocks/st-func'))
+
+describe('StPagination', () => {
+  it('按 total/pageSize 渲染页数', () => { /* ... */ })
+  it('翻页触发 current-change emit', async () => { /* ... */ })
+  it('total=0 时边界处理', () => { /* ... */ })
+})
+```
+
+## 5. 覆盖率度量口径
+
+- 统计范围：`packages/**/*.{ts,vue}`（排除 `packages/index.ts`）
+- 通过线：statements ≥ 80%、functions ≥ 80%、lines ≥ 80%、branches ≥ 75%
+- 报告：`text`（终端）+ `html`（coverage/ 目录，本地查看）

package/docs/architecture.md

@@ -0,0 +1,110 @@
+# 测试架构设计（st-comp）
+
+> Phase 2 输出物 | 范围：仅测试体系，不改动现有功能代码
+
+## 1. 目标与约束
+
+- 为 packages/ 下 26 个组件补齐单元测试，**语句覆盖率 ≥ 80%**
+- 不改组件源码；测试代码全部放在 `tests/` 独立目录
+- Node v20.18.0 / Vite 4.4 / Vue 3.3 / TS 5 —— 选型须与此兼容
+
+## 2. 技术选型
+
+| 用途 | 选型 | 版本约束 | 理由 |
+|---|---|---|---|
+| 测试框架 | **vitest** | ^0.34.x | 与 Vite 4 配套（vitest 1.x 要求 Vite 5）；复用 vite.config.ts 的 alias/插件 |
+| 组件挂载 | **@vue/test-utils** | ^2.4.x | Vue 3 官方测试工具 |
+| DOM 环境 | **jsdom** | ^22 | vitest environment |
+| 覆盖率 | **@vitest/coverage-v8** | ^0.34.x | v8 provider，比 istanbul 快且与 vitest 同版本锁定 |
+
+新增 devDependencies 仅此 4 项 + 既有 sass/typescript，不动 dependencies。
+
+## 3. 目录与文件结构
+
+```
+st-comp/
+├── vitest.config.ts          # 独立测试配置（不与 vite.config.ts 耦合，避免加载 ssh 上传插件）
+├── tests/
+│   ├── setup.ts              # 全局 setup：stub 浏览器 API、注册 Element Plus、全局 mock
+│   ├── helpers/
+│   │   ├── mount.ts          # mountWithPlugins()：统一挂载约定（ElementPlus 全局注册 + stubs）
+│   │   └── mock-data.ts      # 公共假数据（K线 OHLC、表格行、品种列表）
+│   ├── mocks/
+│   │   ├── st-func.ts        # __mocks__：initRequest/getToken/getUserData/stMath/debounce/addResizeListener
+│   │   ├── echarts.ts        # echarts.init 假实例：setOption/resize/dispose/on 记录调用
+│   │   ├── monaco.ts         # monaco.editor.create 假实例：getValue/setValue/onDidChangeModelContent
+│   │   └── talib.ts          # talib.js 指标函数返回固定数组
+│   └── components/           # 与 packages/ 同构的测试文件
+│       ├── Pagination.spec.ts
+│       ├── Table.spec.ts
+│       └── ...（26 个）
+└── docs/test-plan.md         # Phase 5 输出
+```
+
+**为什么测试放 `tests/` 而非组件旁的 `__tests__`**：packages/ 会被 `build:all` 整体打包进 UMD 产物，测试代码与组件物理隔离可确保产物零污染、零配置改动。
+
+## 4. 分层 mock 策略
+
+按外部依赖把 26 个组件分三层（来源：Phase 2 依赖调研）：
+
+### L0 纯渲染/逻辑组件（直接挂载，无需重 mock）— 9 个
+Pagination、Table、VirtualTable、ChartLayout、PasswordPrompt、Contextmenu、LinearLegend、Pie（props→option 转换）、VarietyTextCopy
+
+测试重点：props 渲染、emits 触发、插槽、边界值（空数组/越界页码）。
+
+### L1 单依赖组件（mock 1-2 个外部模块）
+- **echarts 系**：HeatMap、TreeMap、Map、FactorWarning → `vi.mock('echarts')`，断言 `setOption` 收到的 option 结构
+- **st-func 系**：ConfigProvider、User、CustomFunction、VarietySearch、VarietyAutoComplete、VarSelectDialog → `vi.mock('st-func')`（统一在 `tests/mocks/st-func.ts`，含登录态/请求函数）
+- **monaco 系**：MonacoEditor → `vi.mock('monaco-editor')` 假实例（jsdom 跑不动真 monaco）
+- **interactjs 系**：VarietyAiHelper（拖拽）→ mock interact()
+
+### L2 复合依赖组件（echarts + talib + st-func + dayjs + localStorage）
+Kline、KlineBasic、KlineNew、KlinePlus、KlineConfig → 组合使用 echarts/talib/st-func 三套 mock + `localStorage` stub + 固定 `dayjs` 时间。策略：**不测渲染像素，只测数据管道**（props→指标计算→option 组装→emits）。
+
+### 全局 stub（tests/setup.ts）
+- `ElMessage` / `ElMessageBox`：vi.fn 替身，断言调用参数
+- `localStorage` / `sessionStorage`：内存实现
+- `location.href` / `matchMedia` / `ResizeObserver`：jsdom 缺失 API 补齐
+- `echarts` 的 canvas 依赖：`HTMLCanvasElement.prototype.getContext` 返回空对象（防御 echarts 未被 mock 的边角路径）
+
+## 5. 配置方案（vitest.config.ts 要点）
+
+```ts
+export default defineConfig({
+  plugins: [vue()],                       // 只挂 vue 插件，不引入 auto-import/ssh 上传插件
+  resolve: { alias: { '@': '/src', '@package': '/packages' } },
+  test: {
+    environment: 'jsdom',
+    setupFiles: ['tests/setup.ts'],
+    include: ['tests/**/*.spec.ts'],
+    coverage: {
+      provider: 'v8',
+      include: ['packages/**/*.{ts,vue}'],
+      exclude: ['packages/index.ts'],     // 纯聚合导出
+      thresholds: { statements: 80, branches: 75, functions: 80, lines: 80 }
+    }
+  }
+})
+```
+
+package.json 新增 scripts（追加，不改既有）：
+- `"test": "vitest run"`
+- `"test:coverage": "vitest run --coverage"`
+
+## 6. 测试编写约定
+
+1. 每个组件一个 `tests/components/<Name>.spec.ts`
+2. 命名：`describe('StPagination', ...)` 用注册名
+3. 每组件至少覆盖：**默认渲染快照断言（结构类）→ props 变体 → 用户交互（trigger/emit）→ 边界 case**
+4. mock 一律经 `tests/mocks/` 集中管理，禁止在 spec 里散落 `vi.mock` 内联实现（路径用 `vi.mock('st-func', () => ...)` 引用集中文件）
+5. 禁止 snapshot 全量 html 快照（脆弱），只快照关键结构/option 对象
+6. 覆盖率按组件目录统计，任一组件 < 80% 语句覆盖即在 test-plan.md 中标注原因
+
+## 7. 风险与对策
+
+| 风险 | 对策 |
+|---|---|
+| Kline 系组件逻辑深、依赖 4+ 外部模块，单测成本高 | 拆组件内部子组件（componentsNew/*）分别测；允许以"数据管道"断言替代 DOM 断言 |
+| vue-tsc 对 tests/ 报错 | tsconfig 增加 `tests` include 或独立 tsconfig.test.json |
+| vitest 0.34 与 unplugin-auto-import 生成的 d.ts 冲突 | vitest.config.ts 独立，不加载 auto-import 插件；测试中显式 import vue API |
+| 覆盖率 80% 对个别重 UI 组件不现实 | 阈值全局 80% 兜底；个别组件例外需用户批准并在 test-plan.md 记录 |

package/docs/bugs.md

@@ -0,0 +1,13 @@
+# Bug & Issue 跟踪
+
+> 状态：🔴 未修复 / 🟡 处理中 / ✅ 已修复
+> **规则：发现 Bug 立即追加，修复后更新状态，禁止保留已修复的旧条目不更新**
+
+---
+
+<!-- 格式：
+### BUG-001: 标题
+**状态：** 🔴 未修复
+**描述：** ...
+**修复：** ...
+-->

package/docs/requirements.md

@@ -0,0 +1,63 @@
+# 需求分析（st-comp 组件库）
+
+> Phase 1 输出物 | 日期：2026-07-27 | 状态：待确认
+
+## 1. 项目背景
+
+`st-comp` 是一个基于 **Vue 3 + TypeScript + Element Plus** 的业务组件库，以 npm 包（`st-comp`，当前 v0.0.277）形式发布，供内部各前端项目全量引入使用。组件以 `st-xxx` 短横线命名全局注册（如 `<st-table>`）。
+
+- 开发/演示：`npm run dev`（src/ 下的 demo 站点）
+- 库打包：`npm run build`（UMD 全量输出到 `lib/`）
+- 发布：`npm publish`
+
+## 2. 功能需求
+
+### 2.1 组件清单（26 个，按类别分组）
+
+| 类别 | 组件 | 说明 |
+|---|---|---|
+| K线/图表 | Kline、KlineBasic、KlineNew、KlinePlus、KlineConfig | K 线图系列（基于 echarts / talib.js） |
+| 图表 | ChartLayout、Pie、HeatMap、TreeMap、LinearLegend、Map、FactorWarning | 通用图表与图例、地图、因子预警 |
+| 表格 | Table、VirtualTable | 常规表格、虚拟滚动大表格 |
+| 编辑器/搜索 | MonacoEditor、VarietySearch、VarietyAutoComplete、VarietyTextCopy、VarietyAiHelper、VarSelectDialog | 代码编辑器、品种搜索/自动补全/文本复制/AI 助手/选择弹窗 |
+| 基础/通用 | ConfigProvider、Contextmenu、CustomFunction、Pagination、PasswordPrompt、User | 全局配置、右键菜单、自定义函数、分页、密码弹窗、用户信息 |
+
+### 2.2 库级能力
+
+1. **全量引入**：`app.use(stComp)` 一键注册全部组件（`packages/index.ts` 聚合导出，由 vitePlugins/createExportFile 自动生成）。
+2. **样式分发**：构建产物包含 `lib/style.css`，使用方需显式引入。
+3. **依赖外置**：vue、element-plus、axios、echarts 等 10+ 依赖在 UMD 构建中标记 external，由使用方提供。
+4. **按需引入（待建设）**：`build:split` 目前仅占位（`echo 123`），README 明确"只支持全量引入"。
+5. **演示/文档站**：`src/` 为 demo 站点，`src/assets/json/组件库.md` 为组件使用文档源。
+
+### 2.3 工程化
+
+1. 自动生成聚合导出文件（createExportFile 插件）。
+2. 构建后经 SFTP 自动上传测试服务器（testRelese 插件）——⚠️ 当前硬编码了服务器密码，属安全隐患（Phase 7 处理）。
+3. 自动导入（unplugin-auto-import）与组件自动注册（unplugin-vue-components）。
+
+## 3. 非功能需求
+
+| 类别 | 需求 |
+|---|---|
+| 技术栈 | Vue 3.3+、TypeScript 5、Vite 4、Element Plus 2.x、sass |
+| 兼容性 | 现代浏览器（Vite 默认 baseline）；Vue 3 only，不支持 Vue 2 |
+| 测试 | 单元测试覆盖率 ≥ 80%（workflow 规定），当前**尚无测试基建**（无 vitest/jest 依赖） |
+| 代码质量 | 充分的代码注释；commit 遵循 `<type>: <描述>` 规范 |
+| 安全 | Phase 7 做 OWASP Top 10 排查；已发现硬编码密码问题 |
+| 文档 | 全部 Markdown 存于 `docs/`；组件使用文档维护于 demo 站 |
+| 发布 | npm 公开发布（`"public": true`），版本号语义化管理 |
+
+## 4. 范围确认（用户已拍板）
+
+**本次工作范围：基于现有代码，只补测试，不做功能改动。** 即：
+
+- ✅ 补齐测试基建（vitest + @vue/test-utils + 覆盖率工具）
+- ✅ 为 26 个组件编写单元测试，目标覆盖率 ≥ 80%
+- ❌ 不实现 `build:split` 按需引入
+- ❌ 不改组件功能代码、不重构、不补 `.d.ts` 构建
+- ⚠️ 硬编码密码问题仅在 Phase 7 安全报告中记录，不修改
+
+---
+
+**请确认以上需求梳理是否完整、准确；确认后进入 Phase 2（架构设计）。**

package/docs/review.md

@@ -0,0 +1,80 @@
+# 测试代码审查（review）
+
+> 审查时间：2026-07-28
+> 审查范围：tests/components/*.spec.ts（27 个）、tests/mocks/*、tests/helpers/*
+> 审查标准：mock 集中度 / 断言精度 / 脆弱快照 / 行为 vs 实现 / 隔离性
+
+## 1. 总体评价
+
+测试代码整体质量良好：无快照滥用、mock 集中在 mocks/ 目录、断言以行为为主（DOM/emit/expose 方法调用）、未改动 packages/ 源码。存在少量可改进点，均为 should-fix 级别。
+
+## 2. 优点（保持）
+
+- **mock 集中**：echarts / monaco / st-func / talib 统一放在 `tests/mocks/`，spec 通过 `vi.mock('echarts', () => import('@test/mocks/echarts.kline.mock.ts'))` 引用，无散落 mock
+- **无脆弱快照**：27 个 spec 均未使用 `toMatchSnapshot`，断言基于具体值或行为
+- **行为断言为主**：断言 emit 事件、DOM 文本、expose 方法调用结果，而非内部实现细节
+- **隔离性好**：每个 spec 独立 mount，无跨用例状态共享
+- **约束遵守**：`git diff packages/` 为空，所有修复通过调整测试或 mock 实现
+
+## 3. 发现的问题
+
+### [should-fix] KlinePlus.spec.ts: 连续 3 次 `flushPromises()` 过多
+
+**位置**：`tests/components/KlinePlus.spec.ts` 多个用例（共 46 处 flushPromises）
+
+**问题**：为等待 echarts 初始化 + request 回调 + setOption 链，连续写 3 次 `await flushPromises()`，语义不清且增加维护成本。
+
+**建议**：封装 `await flushChart()` helper：
+```ts
+// tests/helpers/flushChart.ts
+export async function flushChart(times = 3) {
+  for (let i = 0; i < times; i++) await flushPromises()
+}
+```
+或在 echarts mock 中让 `init` 同步触发，减少异步层级。
+
+### [should-fix] User.spec.ts: 11 处 `vi.mock` 过于密集
+
+**位置**：`tests/components/User.spec.ts`
+
+**问题**：单文件 11 个 `vi.mock` 调用，mock 了过多内部依赖，测试与实现耦合度高。
+
+**建议**：检查是否所有 mock 都必要；考虑将部分 mock 收敛到 `tests/mocks/user.mock.ts`，spec 只保留 1-2 个顶层 `vi.mock`。
+
+### [nit] 部分 spec 通过 `wrapper.vm.xxx` 直接访问内部状态
+
+**位置**：共 7 处（如 `wrapper.vm.klineData`、`wrapper.vm.mainTips`）
+
+**问题**：直接读组件内部 ref/computed，属于实现细节断言。当内部命名变化时测试会脆断。
+
+**建议**：优先断言 DOM 表现或 emit 事件；确需访问内部状态时，通过 `defineExpose` 暴露并在 spec 中调用 expose 方法。
+
+### [nit] Contextmenu branch 覆盖率 45.45% 偏低
+
+**位置**：`tests/components/Contextmenu.spec.ts`
+
+**问题**：分支覆盖率低于 50%，大量条件分支（如 `attachTo` 边界、嵌套菜单展开）未覆盖。
+
+**建议**：补 2-3 个分支用例（空菜单、禁用项、嵌套 hover）。不阻塞当前发布，全局 branch 82.09% 已达标。
+
+## 4. 断言精度抽查
+
+抽查高断言数文件：
+
+| 文件 | 断言数 | 精度评价 |
+|------|--------|----------|
+| VarietySearch.spec.ts | 85 | 精确（具体值/事件 payload） |
+| KlineBasic.spec.ts | 70 | 精确（expose 方法返回值） |
+| KlineConfig.spec.ts | 52 | 精确（emit payload 深比较） |
+| MonacoEditor.spec.ts | 51 | 精确（monaco 实例方法调用参数） |
+| KlineNew.spec.ts | 47 | 精确（子组件 props 传递） |
+
+未发现"包含 X 子串"式宽松断言。
+
+## 5. 结论
+
+- **无 must-fix**：测试代码可随当前版本发布
+- **should-fix 3 项**：flushPromises 封装、User.spec mock 收敛、wrapper.vm 直接访问
+- **nit 1 项**：Contextmenu branch 补测
+
+建议将 should-fix 项纳入下一迭代（Phase 8 或维护窗口），不影响当前 Phase 4-5 验收。

package/docs/security.md

@@ -0,0 +1,83 @@
+# 安全审查（security）
+
+> 审查时间：2026-07-28
+> 审查范围：st-comp 仓库源码、构建配置、部署脚本
+> 审查标准：OWASP Top 10 / 敏感信息泄露 / 注入风险 / XSS / 依赖安全
+
+## 1. 关键发现
+
+### [must-fix] vitePlugins/testRelese.ts: 硬编码服务器密码
+
+**位置**：`vitePlugins/testRelese.ts:23`
+
+**问题**：
+```ts
+password: 'hzst2020', // 服务器登录密码
+```
+测试服务器（192.168.12.49）root 密码以明文形式硬编码在源码中，且该文件已提交到 git 仓库。任何能访问仓库的人都能直接 SSH 登录测试服务器。
+
+**风险等级**：高（OWASP A02:2021 Cryptographic Failures / A07:2021 Identification and Authentication Failures）
+
+**建议修复**：
+1. **立即**：将密码移至环境变量或 `.env` 文件（`.env` 加入 `.gitignore`）：
+   ```ts
+   password: process.env.TEST_SERVER_PASSWORD || '',
+   ```
+2. **短期**：修改测试服务器 root 密码，避免旧密码在 git 历史中泄露
+3. **长期**：改用 SSH 密钥认证，禁用密码登录；或使用 CI/CD 变量注入
+
+**注意**：git 历史中该密码已存在，仅从 HEAD 删除不够，需评估是否 `git filter-branch` 清理历史。
+
+---
+
+### [should-fix] vite.config.ts: 内网代理地址硬编码
+
+**位置**：`vite.config.ts:87`
+
+**问题**：
+```ts
+target: "http://192.168.12.49:88/",
+```
+内网测试服务器 IP 硬编码。虽然内网地址泄露风险低于密码，但会暴露内部网络拓扑。
+
+**建议**：移至环境变量：
+```ts
+target: process.env.VITE_PROXY_TARGET || 'http://192.168.12.49:88/',
+```
+
+---
+
+## 2. 其他检查项
+
+| 检查项 | 结果 | 说明 |
+|--------|------|------|
+| XSS / v-html | ✅ 未发现 | 全仓库未使用 `v-html` 渲染用户输入 |
+| 用户输入注入 | ✅ 低风险 | 组件输入通过 props/emit 传递，无直接拼接 SQL/命令 |
+| 敏感字段日志 | ✅ 未发现 | 无 `console.log` 输出密码/token |
+| 依赖漏洞 | ⚠️ 未扫描 | 建议运行 `npm audit` 定期检查 |
+| CSP / 安全头 | N/A | 组件库不直接控制响应头 |
+| 路径穿越 | ✅ 未发现 | 无文件路径操作用户输入 |
+
+## 3. 密码强度逻辑说明
+
+`PasswordPrompt/index.vue` 中的密码强度评分逻辑：
+```ts
+if (password.length >= 8) score++;
+if (password.length >= 12) score++;
+```
+这是前端 UI 提示，不构成安全控制。实际密码策略应由后端强制。
+
+## 4. 修复优先级
+
+| 优先级 | 项 | 负责人 | 截止 |
+|--------|-----|--------|------|
+| P0 | testRelese.ts 密码环境变量化 + 改服务器密码 | 运维/前端 | 立即 |
+| P1 | vite.config.ts 代理地址环境变量化 | 前端 | 本周 |
+| P2 | `npm audit` 依赖漏洞扫描 | 前端 | 下次发布前 |
+
+## 5. 历史泄露处理
+
+testRelese.ts 中的密码 `hzst2020` 已在 git 历史中。建议：
+1. 修改服务器密码（使旧密码失效）
+2. 评估是否需要 `git filter-branch` / BFG Repo-Cleaner 清理历史（会改写 commit hash，需团队协调）
+3. 在 `.gitignore` 中明确排除 `.env*` 文件