上禾体检一体机
匿名检测二维码认领整体方案

02 · 已验证事实

03 · 目标流程

04 · 业务规则

05 · 二维码协议与密钥管理

timeMillis_rawData_deviceID_Sex_Age_UserID

• 小程序只做一次 URL 解码并提交完整 URL。
• 后台校验固定前缀 https://szs.yyangpt.cn/haerbin/。
• 密文可包含 /、+、=，不能按最后一个斜杠截取。
• Base64 严格解码；RC4 使用与设备一致的 UTF-8 密钥。
• RC4 不带认证，必须与真实回调会话、设备、匿名标识、时间和认领状态交叉验证。

设备密钥

每台设备生成独立 32 位 [A-Za-z0-9_] 密钥，通过 U 盘根目录的 svh/upanconfig.sh 写入 qrCodeSecretKey=<密钥>。

服务端保存

AES 主密钥只保存在服务器环境变量或 KMS。正式 SQL 只建字段，不包含任何真实密钥。

06 · 数据设计

新增 ydy_measurement_claim，将匿名定位、认领状态和审计从 raw JSON 中独立出来。

唯一键建议 vendor + session_id；定位索引建议 external_user_id + device_no + measure_time。正式 SQL 版本由发布负责人确认。

07 · API 契约

既有上传接口

POST /api/shanghe.callback/result

外部协议不变。匿名首条建立 PENDING claim；已认领会话后续上传按 claim 外部标识沿用身份。

新增小程序认领接口

POST /api/shanghe.claim/bind
Access-Token: <当前登录令牌>

{
  "qrUrl": "https://szs.yyangpt.cn/haerbin/<完整密文>",
  "scancodeTime": 1788747677
}

qrUrl 必填；scancodeTime 可选。请求禁止出现 targetUserId、aiUserId 或手机号。

接口登记位置：AI运动营养师 / 上禾体检一体机。

08 · 系统改造

发布顺序

1. 数据库结构。
2. 服务端主密钥配置、设备密钥密文和后端代码。
3. Apifox 联调与自动化。
4. 小程序发布。
5. 最后通过 U 盘配置设备密钥，执行真机验收。

09 · 异常、事务与回滚

• 结果未落库：返回可重试，不创建空认领。
• 密文、设备、时间或租户不合法：拒绝且业务数据不变。
• 并发认领：claim/session 行锁，仅一个用户成功。
• 认领事务失败：回滚 claim、session 和 health_record；raw 始终保留。
• 跨库身高体重附属同步在核心事务提交后执行，失败记录 WARN，不撤销健康报告。
• 功能回滚通过开关停用认领；上传继续 raw-only，不删除已产生的 claim 和已认领报告。

10 · 验收与测试

建议性能目标：正常认领 p95 ≤ 800ms、错误率 < 0.1%；最终阈值需技术负责人结合现网容量确认。

11 · P0 待确认项

12 · 请审核这些决策

• 第一条模块上传后即可认领。
• 同一二维码只认领一个 session，后续模块自动追加。
• 同用户重复扫码幂等，不同用户禁止覆盖。
• 设备级密钥加密存储，真实值不进入 Git。
• 新增独立的 ydy_measurement_claim，不扫描 raw JSON 猜测。
• 确认二维码有效期、未就绪等待时间和认领后跳转页。
• 确认手机号模式和既有指标映射完全兼容。

完整 AI 可执行方案、字段明细、AC 编号和测试矩阵：shanghe-qrcode-claim-solution.md