test(interface): 接口冒烟闭环 2026-11-03 11:09 — 通过率 45% (fix=0 reg=0); 测试用例 361/386 完成(文档化219)

INTERFACE_TEST_REPORT.md

@@ -1,4 +1,4 @@
-# CFC 接口冒烟测试报告 (20261103_104344)
+# CFC 接口冒烟测试报告 (20261103_110643)
 
 - 目标: cfc.iwintrue.com  用例总数: **546**
 - 业务成功率(BIZ_OK): **249/546 = 45%**
@@ -14,21 +14,12 @@
 
 > 说明：冒烟为空体请求，部分 500/400 属预期（缺必填参数）。NOT_FOUND 与回归劣化才需优先处理。
 
-### CONN_ERR 明细（2）
-- `POST /api/user/portrait/generate`、`POST /api/user/portrait/regenerate` —— 冒烟客户端 `--timeout` 默认 10s 先超时；该两接口为长耗时 AI 端点（历史直连实测 9.7s~60s+，其中 generate 曾多次 504/60s）。**属测量口径 + 网关超时双层问题，非本轮新发劣化。**
-
-## Playwright E2E 冒烟（api 层）
-- 结果：**51 passed / 3 failed / 3 skipped**（首跑被沙箱 safe-delete 超时中断，已手工重跑取证）
-- 红用例 3 项均为已知存量缺口、无新增：TC-P-N02/X-N01 AI 教练 46003 会员门禁（测试口径）、TC-A-N05 后台未授权返 500 应 401/403、TC-P-N11 上传非 PDF 未拒绝。
-
-> 说明：冒烟为空体请求，部分 500/400 属预期（缺必填参数）。NOT_FOUND 与回归劣化才需优先处理。
-
 
 ## 测试用例完成情况
 - 自动化用例总数（可执行 `test()`）：**386**（api 层 55 / 角色分包 52 / DOM 层 279）
 - 文档化用例（设计层 TC-xxxx）：**219**
 - 已完成（自动化且未被跳过）：**361/386 = 93%**
-- 已实跑通过：接口冒烟 BIZ_OK **249** 端点 + API e2e **51 通过 / 3 失败 / 3 跳过**（来源 playwright_smoke.log）
+- 已实跑通过：接口冒烟 BIZ_OK **249** 端点 + API e2e 本轮 **51** 通过 / 3 failed / 3 skipped（来源 playwright_smoke.log）
 
 ### 未完成 / 未开始的原因（共 3 类）
 1. [279 项] DOM 型 E2E 无法执行（CFC-ENV-001）：279 个用例已编写，但远程 cfc.iwintrue.com 为纯 Spring Boot API 后端、未部署 uni-app H5 / cfc-web 前端，浏览器型用例无法运行，未开始执行。

playwright_smoke.log

@@ -1,67 +1,52 @@
 
 Running 57 tests using 1 worker
 
-  ok  1 [desktop] › e2e\api\api-smoke.spec.js:18:3 › API级冒烟（远程后端） › 自注册链路可用（拿到有效 token） (22ms)
-  ok  2 [desktop] › e2e\api\api-smoke.spec.js:24:3 › API级冒烟（远程后端） › 家庭成员列表接口可调用 (code=200) (128ms)
-  ok  3 [desktop] › e2e\api\api-smoke.spec.js:30:3 › API级冒烟（远程后端） › 能量概览接口可调用 (code=200) (139ms)
-  ok  4 [desktop] › e2e\api\api-smoke.spec.js:36:3 › API级冒烟（远程后端） › 成员列表参数校验生效（越权家庭 → 403） (119ms)
-  ok  5 [desktop] › e2e\api\article-api.spec.js:26:3 › 【API级】文章管理全流程 › [场景1] 查看文章列表 - 期望返回文章列表 (55ms)
-  ok  6 [desktop] › e2e\api\article-api.spec.js:35:3 › 【API级】文章管理全流程 › [场景2] 文章分类 - 期望分类列表可用 (44ms)
-  ok  7 [desktop] › e2e\api\article-api.spec.js:43:3 › 【API级】文章管理全流程 › [场景3] 查看文章详情 - 期望返回文章内容 (170ms)
-  ok  8 [desktop] › e2e\api\article-api.spec.js:59:3 › 【API级】文章管理全流程 › [场景4] 我的文章 - 期望返回登录用户发布记录 (115ms)
-  ok  9 [desktop] › e2e\api\article-api.spec.js:67:3 › 【API级】文章管理全流程 › [场景5] 发布文章缺少标题 - 期望返回错误提示 (74ms)
-  ok 10 [desktop] › e2e\api\article-api.spec.js:73:3 › 【API级】文章管理全流程 › [场景5b] 精选文章 - 期望可获取 (37ms)
-  ok 11 [desktop] › e2e\api\article-api.spec.js:81:3 › 【API级】文章管理全流程 › [场景6] 家长角色发布文章 - 期望受权限/审核流程约束 (124ms)
-  ok 12 [desktop] › e2e\api\contact-api.spec.js:41:3 › 【API级】联系人管理全流程 › [场景1] 创建联系人 - 期望创建成功 (158ms)
-  ok 13 [desktop] › e2e\api\contact-api.spec.js:51:3 › 【API级】联系人管理全流程 › [场景2] 通讯录导入 - 期望导入成功 (182ms)
-  ok 14 [desktop] › e2e\api\contact-api.spec.js:64:3 › 【API级】联系人管理全流程 › [场景3] 记录互动 - 期望记录成功 (244ms)
-  ok 15 [desktop] › e2e\api\contact-api.spec.js:77:3 › 【API级】联系人管理全流程 › [场景4] 编辑联系人 - 期望更新成功 (266ms)
-  ok 16 [desktop] › e2e\api\contact-api.spec.js:88:3 › 【API级】联系人管理全流程 › [场景4b] 删除联系人 - 期望从列表中移除 (322ms)
-  ok 17 [desktop] › e2e\api\contact-api.spec.js:103:3 › 【API级】联系人管理全流程 › [场景5b] 越权操作他人联系人 - 期望被拒绝 (277ms)
-  ok 18 [desktop] › e2e\api\energy-api.spec.js:34:3 › 【API级】能量系统收支全流程 › [场景1] 获取家庭能量沙盘 - 期望返回五维能量数据 (78ms)
-  ok 19 [desktop] › e2e\api\energy-api.spec.js:41:3 › 【API级】能量系统收支全流程 › [场景1b] 未加入家庭/越权访问 - 期望返回错误提示 (61ms)
-  ok 20 [desktop] › e2e\api\energy-api.spec.js:53:3 › 【API级】能量系统收支全流程 › [场景2] 任务完成能量发放 - 期望能量增加且流水记录 (177ms)
-  ok 21 [desktop] › e2e\api\energy-api.spec.js:74:3 › 【API级】能量系统收支全流程 › [场景2b] 能量发放缺参 - 期望返回错误提示 (70ms)
-  ok 22 [desktop] › e2e\api\energy-api.spec.js:82:3 › 【API级】能量系统收支全流程 › [场景3] 能量兑换心愿 - 期望参数校验生效且未扣减能量 (175ms)
-  ok 23 [desktop] › e2e\api\energy-api.spec.js:106:3 › 【API级】能量系统收支全流程 › [场景4] 查询能量流水 - 期望返回分页记录 (97ms)
-  ok 24 [desktop] › e2e\api\energy-api.spec.js:116:3 › 【API级】能量系统收支全流程 › [场景5] 获取五维能量概览 - 期望返回五维汇总数据 (95ms)
-  ok 25 [desktop] › e2e\api\energy-api.spec.js:131:3 › 【API级】能量系统收支全流程 › [场景6] 完整能量收支流程 - 期望全流程成功 (221ms)
-  ok 26 [desktop] › e2e\api\family-member-api.spec.js:39:3 › 【API级】家庭成员管理全流程 › [场景1] 获取成员列表 - 期望返回成员数据 (82ms)
-  ok 27 [desktop] › e2e\api\family-member-api.spec.js:46:3 › 【API级】家庭成员管理全流程 › [场景1b] 越权访问他人家庭 - 期望 403 拒绝 (76ms)
-  ok 28 [desktop] › e2e\api\family-member-api.spec.js:54:3 › 【API级】家庭成员管理全流程 › [场景2] 添加新家庭成员 - 期望添加成功并返回完整信息 (16.9s)
-  ok 29 [desktop] › e2e\api\family-member-api.spec.js:63:3 › 【API级】家庭成员管理全流程 › [场景2b] 添加成员时昵称为空 - 期望返回错误提示 (113ms)
-  ok 30 [desktop] › e2e\api\family-member-api.spec.js:74:3 › 【API级】家庭成员管理全流程 › [场景2c] 添加成员时辈分等级为空 - 期望返回错误提示 (75ms)
-  ok 31 [desktop] › e2e\api\family-member-api.spec.js:85:3 › 【API级】家庭成员管理全流程 › [场景2d] 添加成员时辈分等级非法 - 期望返回错误提示 (82ms)
-  ok 32 [desktop] › e2e\api\family-member-api.spec.js:98:3 › 【API级】家庭成员管理全流程 › [场景3] 查看家庭成员列表 - 期望返回所有成员及关系信息 (1.7s)
-  -  33 [desktop] › e2e\api\family-member-api.spec.js:120:3 › 【API级】家庭成员管理全流程 › [场景4] 更新成员关系/昵称 - 期望更新成功并返回新信息
-  ok 34 [desktop] › e2e\api\family-member-api.spec.js:138:3 › 【API级】家庭成员管理全流程 › [场景4c] 已知缺陷复现 - nickname 未生效但 gender/birthday 生效 (1.7s)
-  ok 35 [desktop] › e2e\api\family-member-api.spec.js:158:3 › 【API级】家庭成员管理全流程 › [场景5] 切换到成员视角 - 期望返回切换凭证 (1.6s)
-  ok 36 [desktop] › e2e\api\family-member-api.spec.js:167:3 › 【API级】家庭成员管理全流程 › [场景5b] 切换到本人视角 - 期望返回错误提示 (1.2s)
-  ok 37 [desktop] › e2e\api\family-member-api.spec.js:179:3 › 【API级】家庭成员管理全流程 › [场景6] 移除家庭成员 - 期望成员从家庭中移除 (2.4s)
-  ok 38 [desktop] › e2e\api\family-member-api.spec.js:192:3 › 【API级】家庭成员管理全流程 › [场景6b] 非管理员尝试踢人 - 期望权限不足拒绝 (2.8s)
-  ok 39 [desktop] › e2e\api\family-member-api.spec.js:202:3 › 【API级】家庭成员管理全流程 › [场景7] 完整家庭成员管理流程 - 期望全流程成功 (2.3s)
-  ok 40 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:56:1 › [TC-G-N03] 非微信H5兜底登录：手机号注册登录路径 UA 无关 (363ms)
-  ok 41 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:63:1 › [TC-G-N02/P-N06/C-N03/T-N04/S-N03/X-N07] 多端 UA 兼容：同请求不同客户端返回一致 (510ms)
+[1/57] [desktop] › e2e\api\api-smoke.spec.js:18:3 › API级冒烟（远程后端） › 自注册链路可用（拿到有效 token）
+[2/57] [desktop] › e2e\api\api-smoke.spec.js:24:3 › API级冒烟（远程后端） › 家庭成员列表接口可调用 (code=200)
+[3/57] [desktop] › e2e\api\api-smoke.spec.js:30:3 › API级冒烟（远程后端） › 能量概览接口可调用 (code=200)
+[4/57] [desktop] › e2e\api\api-smoke.spec.js:36:3 › API级冒烟（远程后端） › 成员列表参数校验生效（越权家庭 → 403）
+[5/57] [desktop] › e2e\api\article-api.spec.js:26:3 › 【API级】文章管理全流程 › [场景1] 查看文章列表 - 期望返回文章列表
+[6/57] [desktop] › e2e\api\article-api.spec.js:35:3 › 【API级】文章管理全流程 › [场景2] 文章分类 - 期望分类列表可用
+[7/57] [desktop] › e2e\api\article-api.spec.js:43:3 › 【API级】文章管理全流程 › [场景3] 查看文章详情 - 期望返回文章内容
+[8/57] [desktop] › e2e\api\article-api.spec.js:59:3 › 【API级】文章管理全流程 › [场景4] 我的文章 - 期望返回登录用户发布记录
+[9/57] [desktop] › e2e\api\article-api.spec.js:67:3 › 【API级】文章管理全流程 › [场景5] 发布文章缺少标题 - 期望返回错误提示
+[10/57] [desktop] › e2e\api\article-api.spec.js:73:3 › 【API级】文章管理全流程 › [场景5b] 精选文章 - 期望可获取
+[11/57] [desktop] › e2e\api\article-api.spec.js:81:3 › 【API级】文章管理全流程 › [场景6] 家长角色发布文章 - 期望受权限/审核流程约束
+[12/57] [desktop] › e2e\api\contact-api.spec.js:41:3 › 【API级】联系人管理全流程 › [场景1] 创建联系人 - 期望创建成功
+[13/57] [desktop] › e2e\api\contact-api.spec.js:51:3 › 【API级】联系人管理全流程 › [场景2] 通讯录导入 - 期望导入成功
+[14/57] [desktop] › e2e\api\contact-api.spec.js:64:3 › 【API级】联系人管理全流程 › [场景3] 记录互动 - 期望记录成功
+[15/57] [desktop] › e2e\api\contact-api.spec.js:77:3 › 【API级】联系人管理全流程 › [场景4] 编辑联系人 - 期望更新成功
+[16/57] [desktop] › e2e\api\contact-api.spec.js:88:3 › 【API级】联系人管理全流程 › [场景4b] 删除联系人 - 期望从列表中移除
+[17/57] [desktop] › e2e\api\contact-api.spec.js:103:3 › 【API级】联系人管理全流程 › [场景5b] 越权操作他人联系人 - 期望被拒绝
+[18/57] [desktop] › e2e\api\energy-api.spec.js:34:3 › 【API级】能量系统收支全流程 › [场景1] 获取家庭能量沙盘 - 期望返回五维能量数据
+[19/57] [desktop] › e2e\api\energy-api.spec.js:41:3 › 【API级】能量系统收支全流程 › [场景1b] 未加入家庭/越权访问 - 期望返回错误提示
+[20/57] [desktop] › e2e\api\energy-api.spec.js:53:3 › 【API级】能量系统收支全流程 › [场景2] 任务完成能量发放 - 期望能量增加且流水记录
+[21/57] [desktop] › e2e\api\energy-api.spec.js:74:3 › 【API级】能量系统收支全流程 › [场景2b] 能量发放缺参 - 期望返回错误提示
+[22/57] [desktop] › e2e\api\energy-api.spec.js:82:3 › 【API级】能量系统收支全流程 › [场景3] 能量兑换心愿 - 期望参数校验生效且未扣减能量
+[23/57] [desktop] › e2e\api\energy-api.spec.js:106:3 › 【API级】能量系统收支全流程 › [场景4] 查询能量流水 - 期望返回分页记录
+[24/57] [desktop] › e2e\api\energy-api.spec.js:116:3 › 【API级】能量系统收支全流程 › [场景5] 获取五维能量概览 - 期望返回五维汇总数据
+[25/57] [desktop] › e2e\api\energy-api.spec.js:131:3 › 【API级】能量系统收支全流程 › [场景6] 完整能量收支流程 - 期望全流程成功
+[26/57] [desktop] › e2e\api\family-member-api.spec.js:39:3 › 【API级】家庭成员管理全流程 › [场景1] 获取成员列表 - 期望返回成员数据
+[27/57] [desktop] › e2e\api\family-member-api.spec.js:46:3 › 【API级】家庭成员管理全流程 › [场景1b] 越权访问他人家庭 - 期望 403 拒绝
+[28/57] [desktop] › e2e\api\family-member-api.spec.js:54:3 › 【API级】家庭成员管理全流程 › [场景2] 添加新家庭成员 - 期望添加成功并返回完整信息
+[29/57] [desktop] › e2e\api\family-member-api.spec.js:63:3 › 【API级】家庭成员管理全流程 › [场景2b] 添加成员时昵称为空 - 期望返回错误提示
+[30/57] [desktop] › e2e\api\family-member-api.spec.js:74:3 › 【API级】家庭成员管理全流程 › [场景2c] 添加成员时辈分等级为空 - 期望返回错误提示
+[31/57] [desktop] › e2e\api\family-member-api.spec.js:85:3 › 【API级】家庭成员管理全流程 › [场景2d] 添加成员时辈分等级非法 - 期望返回错误提示
+[32/57] [desktop] › e2e\api\family-member-api.spec.js:98:3 › 【API级】家庭成员管理全流程 › [场景3] 查看家庭成员列表 - 期望返回所有成员及关系信息
+[33/57] [desktop] › e2e\api\family-member-api.spec.js:120:3 › 【API级】家庭成员管理全流程 › [场景4] 更新成员关系/昵称 - 期望更新成功并返回新信息
+[34/57] [desktop] › e2e\api\family-member-api.spec.js:138:3 › 【API级】家庭成员管理全流程 › [场景4c] 已知缺陷复现 - nickname 未生效但 gender/birthday 生效
+[35/57] [desktop] › e2e\api\family-member-api.spec.js:158:3 › 【API级】家庭成员管理全流程 › [场景5] 切换到成员视角 - 期望返回切换凭证
+[36/57] [desktop] › e2e\api\family-member-api.spec.js:167:3 › 【API级】家庭成员管理全流程 › [场景5b] 切换到本人视角 - 期望返回错误提示
+[37/57] [desktop] › e2e\api\family-member-api.spec.js:179:3 › 【API级】家庭成员管理全流程 › [场景6] 移除家庭成员 - 期望成员从家庭中移除
+[38/57] [desktop] › e2e\api\family-member-api.spec.js:192:3 › 【API级】家庭成员管理全流程 › [场景6b] 非管理员尝试踢人 - 期望权限不足拒绝
+[39/57] [desktop] › e2e\api\family-member-api.spec.js:202:3 › 【API级】家庭成员管理全流程 › [场景7] 完整家庭成员管理流程 - 期望全流程成功
+[40/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:56:1 › [TC-G-N03] 非微信H5兜底登录：手机号注册登录路径 UA 无关
+[41/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:63:1 › [TC-G-N02/P-N06/C-N03/T-N04/S-N03/X-N07] 多端 UA 兼容：同请求不同客户端返回一致
+[42/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:79:1 › [TC-A-N04/X-N02] 限流熔断稳定性：爆发请求下系统不死（不出现 5xx 雪崩）
+[desktop] › e2e\api\nonfunc-perf-compat.spec.js:79:1 › [TC-A-N04/X-N02] 限流熔断稳定性：爆发请求下系统不死（不出现 5xx 雪崩）
 [限流] 状态分布=[200,200,200,200,200,200,200,200,200,200,200,200,200,200,200,200,200,200,200,200] 其中429=0
-  ok 42 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:79:1 › [TC-A-N04/X-N02] 限流熔断稳定性：爆发请求下系统不死（不出现 5xx 雪崩） (889ms)
-  x  43 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:92:1 › [TC-P-N02/X-N01] 并发不串数据：并行 AI 请求各自独立响应 (386ms)
-[耗时] 家庭列表 83ms
-  ok 44 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:106:1 › [响应时间基线] 已登录家庭列表单请求耗时冒烟 ≤ 8s (531ms)
-  -  45 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:117:6 › [TC-C-N01/X-N04] 任务打卡幂等：重复提交不重复计分（需任务流夹具）
-  -  46 [desktop] › e2e\api\nonfunc-perf-compat.spec.js:122:6 › [TC-X-N03] 活动名额并发不超卖：100 名额 / 瞬时 500 请求（需活动夹具 + 压测授权）
-  ok 47 [desktop] › e2e\api\nonfunc-security.spec.js:50:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权访问能量概览被拒(401/403) (71ms)
-  ok 48 [desktop] › e2e\api\nonfunc-security.spec.js:55:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权访问家庭成员列表被拒(401/403) (53ms)
-  ok 49 [desktop] › e2e\api\nonfunc-security.spec.js:60:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权调用 AI 健康教练被拒(401/403) (55ms)
-  ok 50 [desktop] › e2e\api\nonfunc-security.spec.js:66:3 › 非功能/安全接口冒烟 › [TC-P-N09] IDOR：越权访问他人家庭成员列表 → 403 (241ms)
-  x  51 [desktop] › e2e\api\nonfunc-security.spec.js:75:3 › 非功能/安全接口冒烟 › [TC-A-N05] 非管理员访问后台接口被拒(401/403) (47ms)
-  ok 52 [desktop] › e2e\api\nonfunc-security.spec.js:81:3 › 非功能/安全接口冒烟 › [TC-C-N07] 角色切换接口未授权被拒(401/403) (240ms)
-  ok 53 [desktop] › e2e\api\nonfunc-security.spec.js:86:3 › 非功能/安全接口冒烟 › [TC-C-N07] 权限提升防护：家长不可切换为未持有角色 (360ms)
-  ok 54 [desktop] › e2e\api\nonfunc-security.spec.js:93:3 › 非功能/安全接口冒烟 › [TC-C-N07] 角色切换自身合法角色正常(基线) (158ms)
-  ok 55 [desktop] › e2e\api\nonfunc-security.spec.js:101:3 › 非功能/安全接口冒烟 › [TC-P-N10] AI 健康教练 XSS：query 注入脚本不回显原始脚本且不错 500 (163ms)
-  ok 56 [desktop] › e2e\api\nonfunc-security.spec.js:109:3 › 非功能/安全接口冒烟 › [TC-A-N06] 活动反馈存储型 XSS：提交含脚本 comment，列表不回显原始脚本 (186ms)
-  x  57 [desktop] › e2e\api\nonfunc-security.spec.js:121:3 › 非功能/安全接口冒烟 › [TC-P-N11] 报告上传非 PDF/恶意内容被拒(非 200) (300ms)
-
 
+[43/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:92:1 › [TC-P-N02/X-N01] 并发不串数据：并行 AI 请求各自独立响应
   1) [desktop] › e2e\api\nonfunc-perf-compat.spec.js:92:1 › [TC-P-N02/X-N01] 并发不串数据：并行 AI 请求各自独立响应 ─
 
     Error: 第0个请求返回异常: {"code":46003,"message":"该功能为会员专享，请先开通会员","data":null}
@@ -82,6 +67,18 @@ Running 57 tests using 1 worker
 
     Error Context: .api-artifacts\api-nonfunc-perf-compat--T-9a7ce-X-N01-并发不串数据：并行-AI-请求各自独立响应-desktop\error-context.md
 
+
+[44/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:106:1 › [响应时间基线] 已登录家庭列表单请求耗时冒烟 ≤ 8s
+[desktop] › e2e\api\nonfunc-perf-compat.spec.js:106:1 › [响应时间基线] 已登录家庭列表单请求耗时冒烟 ≤ 8s
+[耗时] 家庭列表 107ms
+
+[45/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:117:6 › [TC-C-N01/X-N04] 任务打卡幂等：重复提交不重复计分（需任务流夹具）
+[46/57] [desktop] › e2e\api\nonfunc-perf-compat.spec.js:122:6 › [TC-X-N03] 活动名额并发不超卖：100 名额 / 瞬时 500 请求（需活动夹具 + 压测授权）
+[47/57] [desktop] › e2e\api\nonfunc-security.spec.js:50:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权访问能量概览被拒(401/403)
+[48/57] [desktop] › e2e\api\nonfunc-security.spec.js:55:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权访问家庭成员列表被拒(401/403)
+[49/57] [desktop] › e2e\api\nonfunc-security.spec.js:60:3 › 非功能/安全接口冒烟 › [TC-G-N04] 未授权调用 AI 健康教练被拒(401/403)
+[50/57] [desktop] › e2e\api\nonfunc-security.spec.js:66:3 › 非功能/安全接口冒烟 › [TC-P-N09] IDOR：越权访问他人家庭成员列表 → 403
+[51/57] [desktop] › e2e\api\nonfunc-security.spec.js:75:3 › 非功能/安全接口冒烟 › [TC-A-N05] 非管理员访问后台接口被拒(401/403)
   2) [desktop] › e2e\api\nonfunc-security.spec.js:75:3 › 非功能/安全接口冒烟 › [TC-A-N05] 非管理员访问后台接口被拒(401/403) 
 
     Error: 后台接口未授权应 401/403，实际 code=500 msg=手机号和验证码不能为空
@@ -101,6 +98,13 @@ Running 57 tests using 1 worker
 
     Error Context: .api-artifacts\api-nonfunc-security-非功能-安-1d575-A-N05-非管理员访问后台接口被拒-401-403--desktop\error-context.md
 
+
+[52/57] [desktop] › e2e\api\nonfunc-security.spec.js:81:3 › 非功能/安全接口冒烟 › [TC-C-N07] 角色切换接口未授权被拒(401/403)
+[53/57] [desktop] › e2e\api\nonfunc-security.spec.js:86:3 › 非功能/安全接口冒烟 › [TC-C-N07] 权限提升防护：家长不可切换为未持有角色
+[54/57] [desktop] › e2e\api\nonfunc-security.spec.js:93:3 › 非功能/安全接口冒烟 › [TC-C-N07] 角色切换自身合法角色正常(基线)
+[55/57] [desktop] › e2e\api\nonfunc-security.spec.js:101:3 › 非功能/安全接口冒烟 › [TC-P-N10] AI 健康教练 XSS：query 注入脚本不回显原始脚本且不错 500
+[56/57] [desktop] › e2e\api\nonfunc-security.spec.js:109:3 › 非功能/安全接口冒烟 › [TC-A-N06] 活动反馈存储型 XSS：提交含脚本 comment，列表不回显原始脚本
+[57/57] [desktop] › e2e\api\nonfunc-security.spec.js:121:3 › 非功能/安全接口冒烟 › [TC-P-N11] 报告上传非 PDF/恶意内容被拒(非 200)
   3) [desktop] › e2e\api\nonfunc-security.spec.js:121:3 › 非功能/安全接口冒烟 › [TC-P-N11] 报告上传非 PDF/恶意内容被拒(非 200) 
 
     Error: expect(received).toBeTruthy()
@@ -118,9 +122,10 @@ Running 57 tests using 1 worker
 
     Error Context: .api-artifacts\api-nonfunc-security-非功能-安-18c8a-N11-报告上传非-PDF-恶意内容被拒-非-200--desktop\error-context.md
 
+
   3 failed
     [desktop] › e2e\api\nonfunc-perf-compat.spec.js:92:1 › [TC-P-N02/X-N01] 并发不串数据：并行 AI 请求各自独立响应 ──
     [desktop] › e2e\api\nonfunc-security.spec.js:75:3 › 非功能/安全接口冒烟 › [TC-A-N05] 非管理员访问后台接口被拒(401/403) 
     [desktop] › e2e\api\nonfunc-security.spec.js:121:3 › 非功能/安全接口冒烟 › [TC-P-N11] 报告上传非 PDF/恶意内容被拒(非 200) 
   3 skipped
-  51 passed (1.1m)
+  51 passed (52.7s)

playwright_smoke_report.md

@@ -1,12 +1,7 @@
 
 ## Playwright E2E 冒烟（api 层，独立，不阻断主闭环）
 - 执行器: /d/cfc/tests/node_modules/.bin/playwright test -c playwright.config.api.js --project=desktop
-- 结果: **51 passed / 3 failed / 3 skipped（1.1m）**
-- 说明: 主闭环首跑时执行器被沙箱 `[safe-delete]` 清理临时目录超时中断（工具链问题，非用例失败），已手工重跑取得上述真实结果，日志已覆盖写入 `playwright_smoke.log`。
-- 红用例（与上一轮完全一致，**无新增**）:
-  1. `nonfunc-perf-compat.spec.js:92` [TC-P-N02/X-N01] 并发 AI 请求报 46003「该功能为会员专享，请先开通会员」——测试账号无会员，属测试口径问题。
-  2. `nonfunc-security.spec.js:75` [TC-A-N05] 后台接口未授权应 401/403，实际 code=500「手机号和验证码不能为空」——缺鉴权过滤器。
-  3. `nonfunc-security.spec.js:121` [TC-P-N11] 报告上传非 PDF / 恶意内容应返非 200，实际未拒绝——上传格式校验缺失。
+- 结果: **51 passed / 3 failed / 3 skipped**
 - 覆盖: tests/e2e/api/*.spec.js（含 nonfunc-security 安全契约、nonfunc-perf-compat 性能兼容）
-- 说明: 红用例=已知后端缺口，作持续告警；失败不阻断本闭环。
+- 说明: 红用例=已知后端缺口（权限提升/开放端点/上传未校验/缺鉴权过滤器），作持续告警；失败不阻断本闭环。
 - 明细: /d/cfc/playwright_smoke.log