refactor(desktop): db/live_session/engine 超限模块硬拆与诊断模块清理

Author: Aparencia

app/src-tauri/src/commands.rs

@@ -32,6 +32,29 @@ const MAX_IMAGES: usize = 20;
 /// 拼接输入段/块数量上限（防恶意超大列表拖垮拼接）。
 const MAX_INPUT_ITEMS: usize = 5000;
 
+/// 音频文件扩展名白名单（安全 L1 修复：transcribe_audio 不得接受任意非音频路径，
+/// 与 commands_import::VIDEO_EXTENSIONS 同口径）。
+const AUDIO_EXTENSIONS: [&str; 6] = ["mp3", "wav", "m4a", "flac", "ogg", "aac"];
+/// 图片文件扩展名白名单（安全 L1 修复：recognize_image 同口径）。
+const IMAGE_EXTENSIONS: [&str; 5] = ["png", "jpg", "jpeg", "webp", "bmp"];
+
+/// 扩展名白名单校验（安全 L1）：返回小写扩展名，不在白名单内返回可诊断错误。
+/// Why：旧实现接受任意绝对路径无限制——非媒体文件进推理管线只能得到
+/// 模糊的引擎报错，且扩大了 IPC 入参攻击面；白名单前置拒绝可诊断。
+fn require_media_extension(path: &str, allowed: &[&str], kind: &str) -> Result<String, String> {
+    let ext = std::path::Path::new(path)
+        .extension()
+        .and_then(|e| e.to_str())
+        .map(|e| e.to_ascii_lowercase())
+        .unwrap_or_default();
+    if !allowed.contains(&ext.as_str()) {
+        // 三维复审 #7：无扩展名时显示"（无扩展名）"而非空的 "."（可诊断性）
+        let shown = if ext.is_empty() { "（无扩展名）".to_string() } else { format!(".{}", ext) };
+        return Err(format!("不支持的{}文件类型: {}（支持: {}）", kind, shown, allowed.join("/")));
+    }
+    Ok(ext)
+}
+
 /// 校验并归一化标题：空串回退默认名，超长截断（TD-005 统一口径，commands_session 复用）。
 pub(crate) fn normalize_title(raw: String, fallback: &str) -> String {
     let trimmed = raw.trim().to_string();
@@ -150,8 +173,13 @@ pub async fn transcribe_audio(state: State<'_, AppState>, path: String) -> Resul
     if path.trim().is_empty() {
         return Err("音频路径为空".to_string());
     }
+    // 安全 L1 修复：扩展名白名单前置校验（拒绝非音频路径）
+    require_media_extension(&path, &AUDIO_EXTENSIONS, "音频")?;
     let engines = state.engines.clone();
-    tauri::async_runtime::spawn_blocking(move || engines.transcribe(&path))
+    // H2 修复：有界等待变体——引擎卡死时返回可诊断超时错误而非永久阻塞
+    tauri::async_runtime::spawn_blocking(move || {
+        engines.transcribe_timeout(&path, crate::engine::ASR_REQUEST_TIMEOUT)
+    })
         .await
         .map_err(|e| format!("任务调度失败: {}", e))?
         .map_err(|e| e.to_string())
@@ -163,8 +191,13 @@ pub async fn recognize_image(state: State<'_, AppState>, path: String) -> Result
     if path.trim().is_empty() {
         return Err("图片路径为空".to_string());
     }
+    // 安全 L1 修复：扩展名白名单前置校验（拒绝非图片路径）
+    require_media_extension(&path, &IMAGE_EXTENSIONS, "图片")?;
     let engines = state.engines.clone();
-    tauri::async_runtime::spawn_blocking(move || engines.recognize(&path))
+    // H2 修复：有界等待变体（同 transcribe_audio）
+    tauri::async_runtime::spawn_blocking(move || {
+        engines.recognize_timeout(&path, crate::engine::OCR_REQUEST_TIMEOUT)
+    })
         .await
         .map_err(|e| format!("任务调度失败: {}", e))?
         .map_err(|e| e.to_string())
@@ -224,20 +257,35 @@ pub async fn process_to_note(
     if audio_path.as_ref().is_some_and(|p| p.trim().is_empty()) {
         return Err("音频路径为空".to_string());
     }
+    // 安全 L1 修复（三维复审 #4）：直送媒体路径同样套用扩展名白名单，
+    // 与 transcribe_audio/recognize_image 同口径（此前本 command 是缺口）
+    if let Some(p) = audio_path.as_deref() {
+        require_media_extension(p, &AUDIO_EXTENSIONS, "音频")?;
+    }
+    for p in &image_paths {
+        require_media_extension(p, &IMAGE_EXTENSIONS, "图片")?;
+    }
     let title = normalize_title(title, "未命名笔记");
     let engines = state.engines.clone();
     let db = state.db.clone();
     tauri::async_runtime::spawn_blocking(move || {
         // 1) 转写（可选音频）
+        // H2 修复：有界等待变体——Err 携带超时/引擎诊断信息返回前端
+        // 三维复审 #3：整文件转写用 ASR_FILE_TIMEOUT（30 分钟）——耗时与音频
+        // 时长线性相关，短请求 60s 预算会误杀长录音（行为契约回归）
         let mut segments = Vec::new();
         if let Some(path) = audio_path {
-            segments.push(engines.transcribe(&path).map_err(|e| e.to_string())?);
+            segments.push(
+                engines
+                    .transcribe_timeout(&path, crate::engine::ASR_FILE_TIMEOUT)
+                    .map_err(|e| e.to_string())?,
+            );
         }
         // 2) 多图 OCR（单图失败跳过不阻断，但记录警告——TD-001 修复：不再静默吞错）
         let mut ocr_blocks = Vec::new();
         let mut skipped: Vec<String> = Vec::new();
         for path in image_paths {
-            match engines.recognize(&path) {
+            match engines.recognize_timeout(&path, crate::engine::OCR_REQUEST_TIMEOUT) {
                 Ok(blocks) => ocr_blocks.extend(blocks),
                 Err(e) => skipped.push(format!("{}: {}", path, e)),
             }

app/src-tauri/src/commands_ai_enrich.rs

@@ -129,8 +129,9 @@ pub async fn ai_enrich_start(
         tasks.insert(task_id, AiTaskEntry { state: AiTaskState::Pending, result: None, target_id: note_id });
         trim_tasks(&mut tasks);
     }
-    // F2 任务中心（2026-08-21）：任务记录落库（写库失败不阻断 AI 调用）
-    let _ = st.db.insert_ai_task(&crate::db_ai_tasks::AiTaskRecord {
+    // F2 任务中心（2026-08-21）：任务记录落库。L4 修复：写库失败仍不阻断
+    // AI 调用，但不再静默（落库失败 = 重启后任务不可恢复，必须可观测）
+    if let Err(e) = st.db.insert_ai_task(&crate::db_ai_tasks::AiTaskRecord {
         task_id,
         op_type: "enrich".to_string(),
         ref_id: note_id,
@@ -144,7 +145,9 @@ pub async fn ai_enrich_start(
         created_at: crate::db_sessions_rows::unix_seconds(),
         finished_at: None,
         adopted: false,
-    });
+    }) {
+        eprintln!("[AiTasks] enrich 任务 {} 落库失败（不阻断 AI 调用；重启后不可恢复）: {}", task_id, e);
+    }
     let st2 = st.clone();
     tauri::async_runtime::spawn_blocking(move || run_enrich_task(st2, task_id, note_id, kinds, mock));
     Ok(AiTaskHandle { task_id, state: AiTaskState::Pending })

app/src-tauri/src/commands_ai_refine.rs

@@ -168,8 +168,9 @@ pub async fn ai_refine_start(
         trim_tasks(&mut tasks);
     }
     // F2 任务中心（2026-08-21）：任务记录落库（pending 起步；终态在
-    // run_refine_task 回写——写库失败不阻断 AI 调用，H2 设计）
-    let _ = st.db.insert_ai_task(&crate::db_ai_tasks::AiTaskRecord {
+    // run_refine_task 回写）。L4 修复：写库失败仍不阻断 AI 调用（H2 设计不变），
+    // 但不再静默——落库失败意味着任务中心重启后无法恢复该任务，必须可观测
+    if let Err(e) = st.db.insert_ai_task(&crate::db_ai_tasks::AiTaskRecord {
         task_id,
         op_type: "refine".to_string(),
         ref_id: session_id,
@@ -183,7 +184,9 @@ pub async fn ai_refine_start(
         created_at: crate::db_sessions_rows::unix_seconds(),
         finished_at: None,
         adopted: false,
-    });
+    }) {
+        eprintln!("[AiTasks] refine 任务 {} 落库失败（不阻断 AI 调用；重启后不可恢复）: {}", task_id, e);
+    }
     let st2 = st.clone();
     tauri::async_runtime::spawn_blocking(move || crate::ai_refine_task::run_refine_task(st2, task_id, session_id, mock));
     Ok(AiTaskHandle { task_id, state: AiTaskState::Pending })

app/src-tauri/src/commands_live.rs

@@ -12,7 +12,7 @@ use std::sync::Arc;
 use std::time::Instant;
 
 use serde::Serialize;
-use tauri::State;
+use tauri::{Emitter, State};
 
 use crate::commands::AppState;
 use crate::live_session::LiveSessionParams;
@@ -153,16 +153,25 @@ fn trigger_auto_refine(state: &AppState, session_id: i64) {
     eprintln!("[Refine] 会话 {} 停止：检测到表格/公式区域，自动触发结构精修", session_id);
     let state: AppState = (*state).clone();
     tauri::async_runtime::spawn_blocking(move || {
-        let _ = crate::commands_refine_inner::run_refine(&state, session_id);
+        // L1 修复：不再静默吞错——run_refine 失败（引擎/落库异常）时日志 +
+        // 事件双通道可观测；与内部降级路径同事件名（session:refine-skipped），
+        // 前端已有监听无需新增。不阻断语义保留（自动精修是增强非关键路径）
+        if let Err(e) = crate::commands_refine_inner::run_refine(&state, session_id) {
+            eprintln!("[Refine] 会话 {} 自动精修失败: {}", session_id, e);
+            let _ = state.app.emit("session:refine-skipped", format!("自动精修失败: {}", e));
+        }
     });
 }
 
 /// 查询实时会话状态（活动会话 id + 预热就绪标记 + 暂停标记）。
 #[tauri::command]
 pub fn live_session_status(state: State<'_, AppState>) -> LiveSessionStatus {
+    // L1 修复：active_session_id 只查一次存局部变量（原两次调用间状态可能
+    // 变化导致 active 与 session_id 口径不一致；也省一次锁）
+    let active_id = state.live_session.active_session_id();
     LiveSessionStatus {
-        active: state.live_session.active_session_id().is_some(),
-        session_id: state.live_session.active_session_id(),
+        active: active_id.is_some(),
+        session_id: active_id,
         prepared: matches!(
             state.live_session.prepare_status(),
             crate::live_session_prepare::PrepareStatus::Ready

app/src-tauri/src/commands_session.rs

@@ -323,7 +323,9 @@ pub async fn search_ocr_blocks(
     state: State<'_, AppState>,
     keyword: String,
 ) -> Result<Vec<crate::db_ocr_search::OcrBlockHit>, String> {
-    crate::db_ocr_search::search_command(&state.db, &keyword).map_err(|e| e.to_string())
+    // M4 修复：传入数据目录——命中图路径做真实存在性校验（不再假数据）
+    crate::db_ocr_search::search_command(&state.db, Some(&state.data_dir), &keyword)
+        .map_err(|e| e.to_string())
 }
 
 /// 片段上下文（纯函数）：命中位置前后各 12 字符（省略号标注截断）。