lixi
18d735cc12
`api_key=volcengine.api_key` 这类**依赖注入传参**被 KEY-ASSIGN 判为疑似凭证。 这是规则的真缺口而非代码问题：行里没有任何秘密，而做 DI 的代码到处都是这种 写法——绕过一次就得在每个调用点绕过，那等于把规则废掉。故改规则。 新增 ALLOW_REFERENCE，刻意收得很紧以免开后门： - 值必须是**未加引号**的小写起首标识符引用（真密钥要么带引号，要么不是标识符形状） - 只允许**恰好一个点且随即行尾** - 连字符不在字符集内 对抗性夹具验证（三真三假）： - 拦下 `api_key = "sk-T3Blbk…"`（OpenAI 形态） - 拦下 `secret_key: "AKID…"`（腾讯云形态） - 拦下 `auth_token=eyJ….eyJ….Sfl…`（**三段式 JWT——两个点，故不落进放行**） - 放行 `api_key=lowercase.reference` / `api_key = settings.api_key` / `api_token: config.authToken` 原 5 形态泄漏夹具复验仍 8 条命中，一条不少。 另更正口径：脚本头与 git-workflow.md 仍写「三仓同构」，实际已是四仓—— patbond-ai 是唯一持有 AI 服务商凭证的仓，漏同步它风险最大。四仓 md5 已一致 （4945940093b4b8413b7d3eec8bf6a5ec），四仓 --all 全绿。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Patbond Flutter
Patbond 客户端，可运行在 Android、iOS、Web 和桌面平台。
功能
- 注册登录、当前用户资料与头像、宠物头像
- 宠物档案、体重与疫苗记录、健康档案与照护提醒
- 社区：Feed 游标分页、帖子发布与详情、单层评论、点赞与收藏、关注
- 中文本地化（
flutter_localizations）与统一的日期录入 - AI 创作（M4 进行中）
仍为本地演示交互的部分：AI 创作页（M4 的替换目标）、预约、以及首页的天气/位置/圈子/促销卡四张卡片。后四项是刻意保留的 demo 占位并已在 ADR-022 登记去向，不是遗漏——天气与位置需接外部服务，圈子实为话题（ADR-018 剪出），促销卡属 M5 服务域。
数据以服务端为唯一事实来源，shared_preferences 只用于本地偏好与 anonymousId，不再持久化业务数据。
运行
flutter clean
flutter pub get
flutter run
Web 调试：
flutter run -d chrome
后端地址通过 --dart-define 注入，默认指向本机各服务端口（auth 8081 / user 8082 / pet 8083 / community 8084 / creation 8085）。
本地门禁
与 CI 同一套命令（.gitea/workflows/ci.yml）：
dart format --output=none --set-exit-if-changed lib test
flutter analyze
flutter test
每人每仓启用一次 pre-commit 凭证防泄漏钩子（ADR-021）：
git config core.hooksPath scripts/hooks
scripts/check-secrets.sh 是四仓同构副本，调整规则时四仓同步提交。
手工 E2E 脚本
仓库根目录下的 test_e2e_*_manual.dart 是按迭代累积的端到端烟囱脚本，需要一个在跑的后端，用 dart run 执行：
dart run test_e2e_m3_manual.dart
两点须知：
- 这些脚本不被
flutter test收集，因此常规测试跑绿并不代表它们跑过；它们只在发布回归时手工执行。 - 它们被
flutter analyze覆盖，所以文件顶部需要// ignore_for_file: avoid_print。
发布回归要求跑全部脚本，份数以 patbond-doc 的 docs/development/releases.md 为准。
真机验证
部分能力桌面端不可替代（移动端后台生命周期、platform 枚举不含 linux 故桌面埋点会被服务端拒收、选图与压缩无桌面实现），这些项目集中登记在 patbond-doc 的 docs/development/device-verification.md，含逐项步骤与通过标准。模拟器是被接受的路径，不必等真机。
相关仓库
| 仓库 | 内容 |
|---|---|
patbond-api |
Spring Boot 多模块后端 |
patbond-ai |
AI 生成服务（Python），只调服务商 API |
patbond-doc |
契约（docs/api/openapi.yaml）、架构决策（docs/architecture/decisions.md）、迭代报告与发布记录 |