458 lines
17 KiB
Markdown
458 lines
17 KiB
Markdown
# FULL AUDIT V3（review/full-audit-v3）
|
||
|
||
审阅时间：2026-03-02
|
||
分支：`review/full-audit-v3`
|
||
范围：后端 + 前端（按你的清单全覆盖）
|
||
|
||
## 审阅说明
|
||
- 当前分支中未找到你提到的上一轮报告文件 `docs/LIVE_TRADING_REVIEW.md`，因此本轮以代码现状做完整复核，并尽量对照你描述的“已修复点”验证。
|
||
- 已确认若干上轮高优先级修复仍在（例如：`/api/live/*` 紧急接口管理员校验、`reduceOnly` 紧急平仓、TP1后SL重挂失败不推进状态等）。
|
||
- 下面仅列出**本轮仍存在/新发现**问题。
|
||
|
||
---
|
||
|
||
## P0（资金安全 / 核心正确性）
|
||
|
||
### P0-1 风控进程失联时实盘仍会开仓（Fail-Open）
|
||
- 文件:行号：`backend/live_executor.py:321-334`
|
||
- 问题描述：`execute_entry()` 读取 `/tmp/risk_guard_state.json` 失败时，当前逻辑是 `pass` 或“告警后继续交易”。这意味着 `risk_guard` 崩溃/未启动/状态文件损坏时，系统会在**无风控联动**情况下继续开新仓。
|
||
- 风险评估：高概率形成失控开仓窗口，属于直接资金风险。
|
||
- 修复代码建议：
|
||
```python
|
||
# backend/live_executor.py
|
||
state_path = "/tmp/risk_guard_state.json"
|
||
try:
|
||
st = os.stat(state_path)
|
||
# 15秒内未更新视为risk_guard失联
|
||
if time.time() - st.st_mtime > 15:
|
||
logger.error(f"[{symbol}] 风控状态文件过期，拒绝开仓")
|
||
return None
|
||
|
||
with open(state_path) as f:
|
||
risk_state = json.load(f)
|
||
|
||
if risk_state.get("block_new_entries") or risk_state.get("reduce_only"):
|
||
logger.warning(f"[{symbol}] 风控阻断开仓: {risk_state.get('circuit_break_reason', 'N/A')}")
|
||
return None
|
||
|
||
except FileNotFoundError:
|
||
logger.error(f"[{symbol}] 风控状态文件不存在，拒绝开仓")
|
||
return None
|
||
except Exception as e:
|
||
logger.error(f"[{symbol}] 读取风控状态失败({e})，拒绝开仓")
|
||
return None
|
||
```
|
||
|
||
### P0-2 1R基准在执行层/对账层/风控层不一致，导致风险预算失真
|
||
- 文件:行号：
|
||
- `backend/live_executor.py:67-80`（从 `live_config` 动态刷新 `RISK_PER_TRADE_USD`）
|
||
- `backend/position_sync.py:54,469-483`（固定环境变量值用于fee/funding换算）
|
||
- `backend/risk_guard.py:61,232,551`（固定环境变量值用于R换算与日限判断）
|
||
- 问题描述：实盘配置页可修改 `risk_per_trade_usd`，但 `position_sync/risk_guard` 仍按启动时环境变量计算。结果是同一笔交易在不同模块里 `R` 值不一致。
|
||
- 风险评估：当实际1R小于模块内旧值时，会**低估亏损R**，可能延迟熔断，属于资金安全风险。
|
||
- 修复代码建议：
|
||
```python
|
||
# backend/position_sync.py / backend/risk_guard.py 共用
|
||
|
||
def load_live_risk_usd(conn, default=2.0):
|
||
try:
|
||
cur = conn.cursor()
|
||
cur.execute("SELECT value FROM live_config WHERE key='risk_per_trade_usd'")
|
||
row = cur.fetchone()
|
||
return float(row[0]) if row and row[0] else default
|
||
except Exception:
|
||
return default
|
||
|
||
# 在每轮主循环开始时刷新
|
||
risk_usd = load_live_risk_usd(conn)
|
||
|
||
# 使用 risk_usd 统一替换静态 RISK_PER_TRADE_USD
|
||
fee_r = actual_fee_usdt / risk_usd if risk_usd > 0 else 0
|
||
unrealized_r = total_unrealized / risk_usd if risk_usd > 0 else 0
|
||
threshold = risk_usd * MIN_BALANCE_MULTIPLE
|
||
```
|
||
|
||
### P0-3 熔断 `close_all` 不校验平仓结果，可能“已熔断但未平仓”
|
||
- 文件:行号：`backend/risk_guard.py:343-357`
|
||
- 问题描述：`trigger_circuit_break(action="close_all")` 对 `POST /fapi/v1/order` 返回值未校验，日志直接记录“紧急平仓”，没有失败重试/二次验仓。
|
||
- 风险评估：在网络抖动、限流、精度错误等场景会留下未平仓暴露仓位，属于直接资金风险。
|
||
- 修复代码建议：
|
||
```python
|
||
# backend/risk_guard.py
|
||
close_resp, close_status = await binance_request(session, "POST", "/fapi/v1/order", {
|
||
"symbol": symbol,
|
||
"side": close_side,
|
||
"type": "MARKET",
|
||
"quantity": qty_str,
|
||
"reduceOnly": "true",
|
||
})
|
||
|
||
if close_status != 200:
|
||
logger.error(f"[{symbol}] 紧急平仓失败: {close_resp}")
|
||
_log_event(conn, "critical", "risk", f"紧急平仓失败 {symbol}", symbol,
|
||
{"response": str(close_resp)})
|
||
continue
|
||
|
||
# 二次验仓
|
||
verify, v_status = await binance_request(session, "GET", "/fapi/v2/positionRisk", {"symbol": symbol})
|
||
if v_status == 200 and any(abs(float(p.get("positionAmt", 0))) > 0 and p.get("symbol") == symbol for p in verify):
|
||
logger.error(f"[{symbol}] 紧急平仓后仍有仓位，进入人工告警")
|
||
```
|
||
|
||
### P0-4 V5辅助层 Coinbase Premium 单位不一致，评分被系统性放大
|
||
- 文件:行号：
|
||
- `backend/market_data_collector.py:126`（`premium_pct = ... * 100`，以“百分比值”存储）
|
||
- `backend/signal_engine.py:576-579`（按 `0.0005` 阈值判断，语义是“小数比例”）
|
||
- 问题描述：存储值是百分比（如 `0.05` 表示 0.05%），但评分阈值按比例值（0.0005=0.05%）处理，导致大多数微小溢价都被判为强辅助信号。
|
||
- 风险评估：信号评分体系失真（你要求重点检查的“评分正确性”），会显著改变开仓频率与方向。
|
||
- 修复代码建议：
|
||
```python
|
||
# backend/market_data_collector.py
|
||
premium_ratio = (coinbase_price - binance_price) / binance_price
|
||
payload = {
|
||
"premium_ratio": premium_ratio, # 0.0005 = 0.05%
|
||
"premium_pct": premium_ratio * 100.0, # 展示用途
|
||
...
|
||
}
|
||
|
||
# backend/signal_engine.py
|
||
premium_ratio = to_float((self.market_indicators.get("coinbase_premium") or {}).get("premium_ratio")) \
|
||
if isinstance(self.market_indicators.get("coinbase_premium"), dict) else None
|
||
|
||
if premium_ratio is None:
|
||
aux_score = 2
|
||
elif (direction == "LONG" and premium_ratio > 0.0005) or (direction == "SHORT" and premium_ratio < -0.0005):
|
||
aux_score = 5
|
||
elif abs(premium_ratio) <= 0.0005:
|
||
aux_score = 2
|
||
else:
|
||
aux_score = 0
|
||
```
|
||
|
||
---
|
||
|
||
## P1（逻辑正确性 / 并发与健壮性）
|
||
|
||
### P1-1 LISTEN连接断开后无自愈，信号链路可永久中断
|
||
- 文件:行号：`backend/live_executor.py:636-664, 644-655`
|
||
- 问题描述：仅 `work_conn` 有 `ensure_db_conn()`，`listen_conn` 没有重连逻辑。`listen_conn.poll()` 异常后会进入外层异常分支，下一轮继续使用坏连接。
|
||
- 风险评估：信号监听失效，开仓链路中断。
|
||
- 修复代码建议：
|
||
```python
|
||
def ensure_listen_conn(conn):
|
||
try:
|
||
conn.poll()
|
||
return conn
|
||
except Exception:
|
||
try:
|
||
conn.close()
|
||
except Exception:
|
||
pass
|
||
new_conn = get_db_connection()
|
||
cur = new_conn.cursor()
|
||
cur.execute("LISTEN new_signal;")
|
||
logger.warning("LISTEN连接已重建")
|
||
return new_conn
|
||
|
||
# 主循环中
|
||
listen_conn = ensure_listen_conn(listen_conn)
|
||
```
|
||
|
||
### P1-2 冷启动只加载4小时历史，但策略依赖24小时窗口统计
|
||
- 文件:行号：`backend/signal_engine.py:110-113, 971`
|
||
- 问题描述：`win_day` 用于 `p95/p99` 及大单拥挤判断，但 `load_historical(state, WINDOW_MID)` 只回灌4h，重启后前20h统计失真。
|
||
- 风险评估：重启后信号质量不稳定，评分偏移。
|
||
- 修复代码建议：
|
||
```python
|
||
# backend/signal_engine.py
|
||
for sym, state in states.items():
|
||
# 至少加载DAY窗口，保证p95/p99与day-cvd有效
|
||
load_historical(state, WINDOW_DAY)
|
||
```
|
||
|
||
### P1-3 资金费率收益未计入净PnL，净值统计偏差
|
||
- 文件:行号：`backend/position_sync.py:480-483`
|
||
- 问题描述：当前仅在 `funding_usdt < 0` 时扣减 `funding_r`，正向funding收益被忽略。
|
||
- 风险评估：`net_pnl_r` 被低估，影响绩效和风控阈值判断一致性。
|
||
- 修复代码建议：
|
||
```python
|
||
risk_usd = load_live_risk_usd(conn)
|
||
funding_r = (funding_usdt / risk_usd) if risk_usd > 0 else 0
|
||
# funding正值应增加净收益，负值应减少净收益
|
||
pnl_r = gross_pnl_r - fee_r + funding_r
|
||
```
|
||
|
||
### P1-4 风控规则“数据新鲜度”未真正落地
|
||
- 文件:行号：`backend/risk_guard.py:70-71, 98-99, 248-257`
|
||
- 问题描述：定义了 `MARKET_DATA_STALE_SEC / ACCOUNT_UPDATE_STALE_SEC` 与 `last_market_data/last_account_update`，但未更新也未纳入熔断判断。
|
||
- 风险评估：行情/账户数据陈旧时无法触发预期保护。
|
||
- 修复代码建议：
|
||
```python
|
||
def check_data_freshness(conn):
|
||
now = time.time()
|
||
issues = []
|
||
|
||
# API健康
|
||
api_gap = now - risk_state.last_api_success
|
||
if api_gap > API_DISCONNECT_THRESHOLD_SEC:
|
||
issues.append(f"API无响应{api_gap:.0f}秒")
|
||
|
||
# 行情新鲜度（基于signal_indicators最新ts）
|
||
cur = conn.cursor()
|
||
cur.execute("SELECT MAX(ts) FROM signal_indicators")
|
||
row = cur.fetchone()
|
||
if row and row[0]:
|
||
market_age = now - (row[0] / 1000)
|
||
if market_age > MARKET_DATA_STALE_SEC:
|
||
issues.append(f"行情数据延迟{market_age:.1f}秒")
|
||
|
||
return issues
|
||
```
|
||
|
||
### P1-5 Refresh Token轮转非原子，存在并发重放窗口
|
||
- 文件:行号：`backend/auth.py:313-325`
|
||
- 问题描述：先 `SELECT` 后 `UPDATE revoked=1`，并发请求可同时通过校验，导致同一refresh token被重复换新。
|
||
- 风险评估：会话安全边界被削弱。
|
||
- 修复代码建议：
|
||
```python
|
||
@router.post("/auth/refresh")
|
||
def refresh_token(body: RefreshReq):
|
||
now_iso = datetime.utcnow().isoformat()
|
||
row = _fetchone(
|
||
"UPDATE refresh_tokens "
|
||
"SET revoked = 1 "
|
||
"WHERE token = %s AND revoked = 0 AND expires_at > %s "
|
||
"RETURNING user_id",
|
||
(body.refresh_token, now_iso),
|
||
)
|
||
if not row:
|
||
raise HTTPException(status_code=401, detail="invalid refresh token")
|
||
|
||
user = _fetchone("SELECT * FROM users WHERE id = %s", (row["user_id"],))
|
||
...
|
||
```
|
||
|
||
### P1-6 `init_schema()` 未包含 live 表结构，部署依赖隐式外部DDL
|
||
- 文件:行号：`backend/db.py:166-306, 345-363`
|
||
- 问题描述：`SCHEMA_SQL` 里没有 `live_trades/live_config/live_events`，但运行时广泛依赖这些表。
|
||
- 风险评估：新环境或灾备恢复时会直接启动失败。
|
||
- 修复代码建议：
|
||
```sql
|
||
-- backend/db.py SCHEMA_SQL 追加
|
||
CREATE TABLE IF NOT EXISTS live_config (
|
||
key TEXT PRIMARY KEY,
|
||
value TEXT NOT NULL,
|
||
label TEXT,
|
||
updated_at TIMESTAMP DEFAULT NOW()
|
||
);
|
||
|
||
CREATE TABLE IF NOT EXISTS live_events (
|
||
id BIGSERIAL PRIMARY KEY,
|
||
ts BIGINT DEFAULT (EXTRACT(EPOCH FROM NOW()) * 1000)::BIGINT,
|
||
level TEXT,
|
||
category TEXT,
|
||
symbol TEXT,
|
||
message TEXT,
|
||
detail JSONB
|
||
);
|
||
|
||
CREATE TABLE IF NOT EXISTS live_trades (
|
||
id BIGSERIAL PRIMARY KEY,
|
||
symbol TEXT NOT NULL,
|
||
strategy TEXT NOT NULL,
|
||
direction TEXT NOT NULL,
|
||
status TEXT NOT NULL DEFAULT 'active',
|
||
entry_price DOUBLE PRECISION,
|
||
exit_price DOUBLE PRECISION,
|
||
entry_ts BIGINT,
|
||
exit_ts BIGINT,
|
||
pnl_r DOUBLE PRECISION,
|
||
risk_distance DOUBLE PRECISION,
|
||
tp1_hit BOOLEAN DEFAULT FALSE,
|
||
created_at TIMESTAMP DEFAULT NOW()
|
||
);
|
||
```
|
||
|
||
---
|
||
|
||
## P2（状态一致性 / 前后端一致性 / 性能）
|
||
|
||
### P2-1 `_get_risk_usd()` 无缓存且被循环多次调用
|
||
- 文件:行号：`backend/main.py:1283, 1356, 1476-1482`
|
||
- 问题描述：函数注释写“缓存60秒”，实际每次调用都查DB；且在列表循环内重复调用。
|
||
- 风险评估：不必要的DB放大与同响应内数值不一致风险。
|
||
- 修复代码建议：
|
||
```python
|
||
_risk_cache = {"v": 2.0, "ts": 0.0}
|
||
|
||
async def _get_risk_usd() -> float:
|
||
now = time.time()
|
||
if now - _risk_cache["ts"] < 60:
|
||
return _risk_cache["v"]
|
||
try:
|
||
row = await async_fetchrow("SELECT value FROM live_config WHERE key = $1", "risk_per_trade_usd")
|
||
v = float(row["value"]) if row else 2.0
|
||
except Exception:
|
||
v = 2.0
|
||
_risk_cache.update({"v": v, "ts": now})
|
||
return v
|
||
|
||
# 调用侧每个接口先取一次
|
||
risk_usd = await _get_risk_usd()
|
||
```
|
||
|
||
### P2-2 实盘页顶部文案硬编码“测试网”，与后端环境可能不一致
|
||
- 文件:行号：`frontend/app/live/page.tsx:740`
|
||
- 问题描述：页面固定展示“测试网”，即使后端切到 production 也不会变化。
|
||
- 风险评估：操作员环境感知错误，容易误判操作风险。
|
||
- 修复代码建议：
|
||
```tsx
|
||
const [tradeEnv, setTradeEnv] = useState("unknown");
|
||
useEffect(() => {
|
||
(async () => {
|
||
const r = await authFetch("/api/live/config");
|
||
if (r.ok) {
|
||
const cfg = await r.json();
|
||
setTradeEnv(cfg?.trade_env?.value || "unknown");
|
||
}
|
||
})();
|
||
}, []);
|
||
|
||
<p className="text-[10px] text-slate-500">
|
||
V5.2策略 · 币安USDT永续合约 · {tradeEnv === "production" ? "生产网" : "测试网"}
|
||
</p>
|
||
```
|
||
|
||
### P2-3 模拟盘前端仍有 `1R=$200` 硬编码，和配置页不一致
|
||
- 文件:行号：
|
||
- `frontend/app/paper/page.tsx:234`
|
||
- `frontend/app/paper-v52/page.tsx:297`
|
||
- 问题描述：浮盈USDT使用 `unrealR * 200` 固定换算，与 `paper_config` 的 `initial_balance*risk_per_trade` 不一致。
|
||
- 风险评估：前端显示误导，策略评估偏差。
|
||
- 修复代码建议：
|
||
```tsx
|
||
const [paper1R, setPaper1R] = useState(200);
|
||
useEffect(() => {
|
||
(async () => {
|
||
const r = await authFetch("/api/paper/config");
|
||
if (r.ok) {
|
||
const cfg = await r.json();
|
||
setPaper1R((cfg.initial_balance || 10000) * (cfg.risk_per_trade || 0.02));
|
||
}
|
||
})();
|
||
}, []);
|
||
|
||
const unrealUsdt = unrealR * paper1R;
|
||
```
|
||
|
||
### P2-4 XRP/SOL 在 Coinbase Premium 采集中每轮抛异常
|
||
- 文件:行号：`backend/market_data_collector.py:112-117, 160-165`
|
||
- 问题描述：`collect_symbol()` 对4币种都调用 `collect_coinbase_premium()`，但 `pair_map` 仅 BTC/ETH，XRP/SOL 会 `KeyError`。
|
||
- 风险评估：日志噪音、错误监控污染、无意义异常重试。
|
||
- 修复代码建议：
|
||
```python
|
||
pair_map = {
|
||
"BTCUSDT": "BTC-USD",
|
||
"ETHUSDT": "ETH-USD",
|
||
"XRPUSDT": "XRP-USD",
|
||
"SOLUSDT": "SOL-USD",
|
||
}
|
||
coinbase_pair = pair_map.get(symbol)
|
||
if not coinbase_pair:
|
||
logger.info("[%s] coinbase_premium skipped (no mapping)", symbol)
|
||
return
|
||
```
|
||
|
||
---
|
||
|
||
## P3（代码质量 / 安全规范）
|
||
|
||
### P3-1 多处保留默认数据库密码
|
||
- 文件:行号：
|
||
- `backend/db.py:19, 28`
|
||
- `backend/market_data_collector.py:19`
|
||
- 问题描述：默认密码 `arb_engine_2026` 仍作为fallback。
|
||
- 风险评估：凭据管理不符合生产安全基线。
|
||
- 修复代码建议：
|
||
```python
|
||
PG_PASS = os.getenv("PG_PASS")
|
||
if not PG_PASS:
|
||
raise RuntimeError("PG_PASS is required")
|
||
|
||
CLOUD_PG_PASS = os.getenv("CLOUD_PG_PASS")
|
||
if CLOUD_PG_ENABLED and not CLOUD_PG_PASS:
|
||
raise RuntimeError("CLOUD_PG_PASS is required when CLOUD_PG_ENABLED=true")
|
||
```
|
||
|
||
### P3-2 `fetch_pending_signals()` 使用字符串拼接SQL
|
||
- 文件:行号：`backend/live_executor.py:528-542`
|
||
- 问题描述：`strategies_str` 通过f-string注入SQL，可维护性与安全性都较差。
|
||
- 风险评估：策略名包含特殊字符会导致SQL异常，且不符合参数化规范。
|
||
- 修复代码建议：
|
||
```python
|
||
cur.execute(
|
||
"""
|
||
SELECT si.id, si.symbol, si.signal, si.score, si.ts, si.factors, si.strategy, si.price
|
||
FROM signal_indicators si
|
||
WHERE si.signal IS NOT NULL
|
||
AND si.signal != ''
|
||
AND si.strategy = ANY(%s)
|
||
AND si.ts > extract(epoch from now()) * 1000 - 60000
|
||
AND NOT EXISTS (
|
||
SELECT 1 FROM live_trades lt
|
||
WHERE lt.signal_id = si.id AND lt.strategy = si.strategy
|
||
)
|
||
ORDER BY si.ts DESC
|
||
""",
|
||
(ENABLED_STRATEGIES,)
|
||
)
|
||
```
|
||
|
||
### P3-3 对账日志存在乱码（编码污染）
|
||
- 文件:行号：`backend/position_sync.py:447-448`
|
||
- 问题描述：注释和日志出现 mojibake（`ä¸...`），影响排障可读性。
|
||
- 风险评估：低风险，但会降低紧急问题定位效率。
|
||
- 修复代码建议：
|
||
```python
|
||
# fallback: 未找到明确平仓成交，延后本轮结算
|
||
logger.warning(f"[{symbol}] 未找到明确平仓成交，延后结算")
|
||
```
|
||
|
||
### P3-4 `ensure_partitions()` 在高频flush路径重复调用
|
||
- 文件:行号：`backend/agg_trades_collector.py:77`
|
||
- 问题描述：每次 `flush_buffer()` 都调用分区DDL检查。
|
||
- 风险评估：不必要的DB负担，影响吞吐稳定性。
|
||
- 修复代码建议：
|
||
```python
|
||
# 启动时 + 定时任务中维护分区，不在flush热路径调用
|
||
# flush_buffer() 内删除 ensure_partitions()
|
||
|
||
async def ensure_partitions_loop():
|
||
while True:
|
||
try:
|
||
ensure_partitions()
|
||
except Exception as e:
|
||
logger.warning(f"ensure_partitions_loop error: {e}")
|
||
await asyncio.sleep(3600)
|
||
```
|
||
|
||
---
|
||
|
||
## 是否可以上实盘
|
||
**结论：当前代码不建议上实盘。**
|
||
|
||
### 必须先修复的阻断项（Blocking）
|
||
1. `P0-1` 风控失联 fail-open（`live_executor` 仍可开仓）。
|
||
2. `P0-2` 1R基准跨模块不一致（会导致风控阈值偏差）。
|
||
3. `P0-3` `close_all` 未校验平仓结果（可能“已熔断未平仓”）。
|
||
4. `P0-4` 评分公式单位错误（Coinbase Premium层被系统性放大）。
|
||
5. `P1-1` LISTEN链路无重连（可导致信号执行中断）。
|
||
6. `P1-6` 缺少 live 表初始化DDL（新环境不可恢复启动）。
|
||
|
||
当以上阻断项修复并回归后，再进行一次针对：
|
||
- 熔断全链路演练（含限流/超时注入）
|
||
- 重启恢复演练（signal_engine + live_executor + position_sync）
|
||
- 评分一致性回放（V5.1/V5.2样本）
|
||
|
||
通过后再进入实盘灰度。
|