From fe658c697a778ac29f9fdc07479a865eea73c29e Mon Sep 17 00:00:00 2001 From: Zareian Date: Fri, 2 Oct 2026 13:04:41 +0330 Subject: [PATCH] bazaar: a pack bought through Bazaar now gives its credits; verify reports the real order status Bazaar orders are only created through POST /api/payment/orders, which took no planId, so a pack order had plan_id=None: Bazaar verified the purchase, the order became paid, and grant_pack never ran. The endpoint now takes planId (rejected when unknown) and snapshots the plan title. The verify response also returned the pre-payment status ('pending') because apply_order_payment_result updates its own copy of the order. Co-Authored-By: Claude Opus 5.5 --- docs/ai-cost-and-guardrails.md | 4 +- payment/serializers.py | 3 ++ payment/tests_bazaar_pack.py | 68 ++++++++++++++++++++++++++++++++++ payment/views.py | 14 +++++++ 4 files changed, 88 insertions(+), 1 deletion(-) create mode 100644 payment/tests_bazaar_pack.py diff --git a/docs/ai-cost-and-guardrails.md b/docs/ai-cost-and-guardrails.md index e6a1a94..5778145 100644 --- a/docs/ai-cost-and-guardrails.md +++ b/docs/ai-cost-and-guardrails.md @@ -3,6 +3,7 @@ نسخه‌ی کامل برای مدیرعامل (جدول و نمودار، HTML و PDF): `~/Desktop/گزارشات Tadrisino/گزارش-۲۶/`. این فایل خلاصه‌ی فنیِ همان است و می‌گوید عددها از کجا آمده‌اند و چطور دوباره اندازه گرفته می‌شوند. +قیمتِ هر توکن و تاریخچه‌ی قیمت‌ها در `docs/model-prices.md` است. ## هزینه‌ی هر سوال (مهرِ ۱۴۰۵، پرامپتِ `tutor-v11-math-only`؛ از `tutor-v12-age-tone` لحن برای ۱۸+ بزرگسالانه است، `gpt-4.1-mini`) @@ -64,7 +65,8 @@ Message.objects.filter(role='assistant', created_at__gte=since).values('conversa - اپ موجودی را از `GET /api/ai/quota` می‌خواند و بعد از هر جواب از `remainingQuota` و `credits`ِ خودِ جواب. صفحه‌ی خرید `GET /api/subscription/status` (`questionCredits`، `unlimitedHeartsUntil`) را می‌خواند. - **کافه‌بازار:** هر بسته باید در پنلِ بازار «محصولِ مصرفی» تعریف شود و اپِ اندروید بعد از تأیید - consume کند. این هنوز انجام نشده است. + consume کند. این هنوز انجام نشده است. سفارشِ بازارِ یک بسته باید با `planId` ساخته شود + (`POST /api/payment/orders`)؛ تا ۲۰۲۶-۱۰-۰۲ این فیلد وجود نداشت و پرداختِ بسته از بازار هیچ اعتباری نمی‌داد. ## محافظِ دستیار (`rag/services/guardrails.py`) diff --git a/payment/serializers.py b/payment/serializers.py index 417e907..4fd618d 100644 --- a/payment/serializers.py +++ b/payment/serializers.py @@ -14,6 +14,9 @@ class CreateOrderRequestSerializer(serializers.Serializer): # قیمت رو کنترل می‌کنه، نه ما). provider = serializers.ChoiceField(choices=['gateway', 'bazaar'], required=False, default='gateway') bazaarProductSku = serializers.CharField(required=False, allow_blank=True) + # بسته‌ی سوال (subscription.Plan با kind='pack'): بدونِ این، سفارشِ بسته بی‌plan_id ساخته می‌شد و + # پرداختش هیچ اعتباری نمی‌داد (بازبینیِ ۲۰۲۶-۱۰-۰۲). + planId = serializers.CharField(required=False, allow_null=True, allow_blank=True) class BazaarVerifyRequestSerializer(serializers.Serializer): diff --git a/payment/tests_bazaar_pack.py b/payment/tests_bazaar_pack.py new file mode 100644 index 0000000..f0dab44 --- /dev/null +++ b/payment/tests_bazaar_pack.py @@ -0,0 +1,68 @@ +""" +خریدِ بسته‌ی سوال از راهِ کافه‌بازار (بازبینیِ ۲۰۲۶-۱۰-۰۲). + +سفارشِ بازار فقط از `POST /api/payment/orders` (کلیدِ داخلی) ساخته می‌شود. آن endpoint +`planId` نمی‌گرفت، پس سفارشِ بسته بی‌`plan_id` ساخته می‌شد و بعد از تأییدِ بازار «paid» می‌شد +بی‌آن‌که `grant_pack` چیزی بدهد: پول گرفته می‌شد و اعتباری نمی‌آمد. پاسخِ تأیید هم وضعیتِ +پیش از پرداخت («pending») را برمی‌گرداند. بازار با `bazaar.verify_purchase`ِ ساختگی آزموده +می‌شود؛ خریدِ واقعیِ بازار هنوز هیچ‌جا آزموده نشده. +""" +from unittest.mock import patch + +from django.core.cache import cache +from django.test import TestCase, override_settings +from rest_framework.test import APIClient + +from accounts.authentication import issue_access_token +from accounts.models import User +from subscription.models import Plan +from subscription.services import credit_balance + +from .bazaar import BazaarPurchaseResult +from .models import Order + + +@override_settings(INTERNAL_SERVICE_KEY='internal-test-key') +class BazaarPackTests(TestCase): + def setUp(self): + cache.clear() + self.user = User.objects.create(phone='09120007101', is_guest=False) + self.client = APIClient() + self.client.credentials(HTTP_AUTHORIZATION=f'Bearer {issue_access_token(self.user.id)}') + self.pack = Plan.objects.get(kind='pack', question_credits=20) + + def tearDown(self): + cache.clear() + + def create_bazaar_order(self, **extra): + response = APIClient().post('/api/payment/orders', { + 'userId': str(self.user.id), 'amount': self.pack.price, 'provider': 'bazaar', + 'bazaarProductSku': 'pack20', **extra, + }, format='json', HTTP_X_INTERNAL_KEY='internal-test-key') + self.assertEqual(response.status_code, 200, response.content) + return response.json()['orderId'] + + def verify(self, order_id, valid=True): + with patch('payment.bazaar.verify_purchase', + return_value=BazaarPurchaseResult(is_valid=valid, purchase_state=0 if valid else None)): + return self.client.post('/api/payment/bazaar/verify', { + 'orderId': order_id, 'productSku': 'pack20', 'purchaseToken': 'token-1'}, format='json') + + def test_a_pack_bought_through_bazaar_gives_its_credits(self): + order_id = self.create_bazaar_order(planId=str(self.pack.id)) + order = Order.objects.get(pk=order_id) + self.assertEqual((order.plan_id, order.plan_title, order.list_price), (self.pack.id, self.pack.title, self.pack.price)) + self.verify(order_id) + self.assertEqual(credit_balance(self.user.id), 20) + + def test_verify_reports_the_status_the_order_actually_has(self): + order_id = self.create_bazaar_order(planId=str(self.pack.id)) + response = self.verify(order_id) + self.assertEqual(Order.objects.get(pk=order_id).status, 'paid') + self.assertEqual(response.json()['status'], 'paid') + + def test_unknown_plan_is_rejected(self): + response = APIClient().post('/api/payment/orders', { + 'userId': str(self.user.id), 'amount': 1, 'provider': 'bazaar', 'planId': '999999', + }, format='json', HTTP_X_INTERNAL_KEY='internal-test-key') + self.assertEqual(response.status_code, 400) diff --git a/payment/views.py b/payment/views.py index ee78da5..05cf2f0 100644 --- a/payment/views.py +++ b/payment/views.py @@ -7,6 +7,7 @@ from django.utils.html import escape from django.shortcuts import get_object_or_404 from drf_spectacular.types import OpenApiTypes from drf_spectacular.utils import OpenApiParameter, extend_schema +from rest_framework.exceptions import ValidationError from rest_framework.permissions import AllowAny, IsAuthenticated from rest_framework.response import Response from rest_framework.throttling import ScopedRateThrottle @@ -99,6 +100,14 @@ class CreateOrderView(APIView): serializer.is_valid(raise_exception=True) v = serializer.validated_data + plan = None + if v.get('planId'): + from subscription.models import Plan + + plan = Plan.objects.filter(pk=v['planId']).first() if str(v['planId']).isdigit() else None + if plan is None: + raise ValidationError({'planId': 'پلنی با این شناسه وجود ندارد.'}) + order, payment_url = create_order( user_id=int(v['userId']), amount=v['amount'], @@ -107,6 +116,8 @@ class CreateOrderView(APIView): idempotency_key=request.headers.get('Idempotency-Key'), provider=v.get('provider') or 'gateway', bazaar_product_sku=v.get('bazaarProductSku') or '', + plan_id=plan.id if plan else None, + plan_title=plan.title if plan else '', ) data = { 'orderId': str(order.id), 'status': order.status, @@ -336,6 +347,9 @@ class BazaarVerifyPurchaseView(APIView): new_status=new_status, event='bazaar_verify', ) + # apply_order_payment_result سفارش را از نو می‌خواند و همان را عوض می‌کند؛ این نمونه هنوز + # وضعیتِ پیش از پرداخت را دارد. بدونِ این، پاسخ «pending» بود درحالی‌که سفارش «paid» شده بود. + order.refresh_from_db(fields=['status']) data = {'orderId': str(order.id), 'status': order.status, 'valid': result.is_valid} return Response(BazaarVerifyResponseSerializer(data).data)