修复买断制付费评审问题：后台消耗统计、定价上限校验、付费入口自动化断言

- admin.rs：钱包流水来源映射补齐第 17 个变体（索引 16 → game_purchase），后台「消耗泥点」白名单新增 game_purchase，并抽出效果分类与单行累加函数 - profile.rs：消耗口径抽出 profile_wallet_ledger_source_counts_as_consumption，消费投影增量、历史花费重建、投影初始化三处一并纳入 GamePurchase - module-game-distribution/errors.rs：价格上限文案改为插值 MAX_GAME_PRICE_MUD_POINTS，并新增文案断言 - 新增 scripts/check-game-distribution-price-limit-parity.mjs 并挂进 npm run lint（随 Repository checks 在 CI 生效）：断言 TS / 服务端 Rust / AGC Rust 常量与网页侧别名四处同源 - api-server 发行网关抽出可注入 loader 的 serve_public_release_asset，付费 404 严格发生在读取包字节之前；播放会话准入抽出 resolve_paid_play_session_entitlement - 新增 api-server 单测：付费发行路径 404 且零次读包字节、免费放行且读到包字节、未购买 403 与作者 / 已购买 / 管理员放行 - spacetime-module：把「先判定后扣费」从源码扫描改为 resolve_game_purchase_pre_charge_plan 纯函数断言，删除 include_str 源码切片用例 - E2E 脚本：平台同源断言缺配置时记 SKIP 并在报告末尾汇总 SKIP 清单，E2E_REQUIRE_PLATFORM_ORIGIN=1 时缺配置直接 FAIL，汇总行改为输出 PASS/FAIL/WARN/SKIP 计数 - 修正注释里不存在的路由 POST /api/game-distribution/play-sessions（真实为 POST /api/game-distribution/games/{gameId}/play-session）与「管理员令牌 403」口径（403 需带 admin 角色的用户令牌）
2026-10-06 02:24:40 +08:00
parent 4d901eec65
commit dcef9b62a8
15 changed files with 980 additions and 188 deletions
@@ -701,7 +701,9 @@ export default defineConfig(({ mode }) => {
        // 平台付费游戏播放会话入口：`/api/game-distribution/play-sessions/<token>/…` 是 sandbox
        // iframe 的 src，包内相对资源沿同一前缀解析。它必须排在通用 `/api/game-distribution`
        // 规则之前，否则 Cookie 会被带到 api-server 播放网关并触发 403（纵深防御保留）；
-        // 生产由 nginx 同名前缀 location 做同一件事。
+        // 生产由 nginx 同名前缀 location 做同一件事。前缀键同时覆盖 `/play-sessions/<token>`
+        // （无尾斜杠）；创建会话的 `POST /api/game-distribution/games/<gameId>/play-session`
+        // 不在此前缀下，仍走通用 `/api/game-distribution` 并保留 Cookie。
        '/api/game-distribution/play-sessions/': {
          target: runtimeServerTarget,
          changeOrigin: true,