test(gateway): 补上「钱路径」与租户隔离的回归测试 —— P0 最高优先级缺口

完成度审计(见记忆 completion-audit)最尖的一条:涉及钱的路径此前 0 测试,
支付一上线 bug=真实错账;租户数据层隔离也只测了角色门禁没测数据层真隔离。
把本会话 live 手验过的断言固化成回归测试。

测试基建:纯 Go sqlite(glebarez,无 CGO)内存库,迁同款模型+建部分唯一索引+
挂租户作用域回调,复用生产 store 方法测真逻辑。CI ubuntu 无 Postgres 也能跑
(此前 store 测试全是纯逻辑,DB 事务逻辑从没进过关卡)。

钱路径不变量(6):
- GrantCredits 记分录+增余额,余额恒等于 SUM(ledger)
- 兑换码核销一次性(CAS)+原子入账,重复核销余额纹丝不动
- 账本(kind,ref)部分唯一索引:重复 grant 被兜底拦下、usage 不受约束
- MarkOrderPaid CAS 幂等:重复回调 changed=false 不重复入账
- SaveUsageEvent task_id 幂等:同任务重投不重复扣费
- ReconcileOrders 抓出 order_without_ledger(钱到了积分没给)

租户隔离(3):创建自动填 tenant_id、查询按 ctx 租户过滤、跨租户改/删命不中、
WithoutTenant 系统视角全可见。

go build/vet + 全 gateway 测试全绿;sqlite 仅测试引用,不进生产二进制。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/store/testdb_test.go

@@ -0,0 +1,64 @@
+package store
+
+import (
+	"context"
+	"testing"
+
+	"github.com/glebarez/sqlite" // 纯 Go sqlite（无 CGO）：DB 背书的单测在 CI ubuntu 无 Postgres 服务时也能跑
+	"gorm.io/gorm"
+	"gorm.io/gorm/logger"
+)
+
+// newTestStore 起一个内存 sqlite，迁移同款模型 + 建那道支付幂等兜底的部分唯一索引 +
+// 挂租户作用域回调，尽量贴近生产 Postgres 的行为（核心事务/CAS/OnConflict 在两者一致）。
+// 返回的 *Postgres 直接复用生产的 store 方法——测的是真逻辑，不是替身。
+func newTestStore(t *testing.T) *Postgres {
+	t.Helper()
+	// 静音 gorm 日志：计费路径故意查 pricing/setting 取不到时回退默认，属预期空查询，别刷屏。
+	db, err := gorm.Open(sqlite.Open(":memory:"), &gorm.Config{Logger: logger.Default.LogMode(logger.Silent)})
+	if err != nil {
+		t.Fatalf("打开内存 sqlite 失败: %v", err)
+	}
+	sqlDB, err := db.DB()
+	if err != nil {
+		t.Fatalf("取 *sql.DB 失败: %v", err)
+	}
+	sqlDB.SetMaxOpenConns(1) // :memory: 每连接一个库，锁死单连接才共享同一份数据
+
+	if err := db.AutoMigrate(
+		&User{}, &Tenant{}, &TenantMember{}, &CreditLedger{}, &PaymentOrder{},
+		&RedeemCode{}, &CreditPack{}, &UsageEvent{}, &UsageRollup{}, &Setting{}, &Pricing{}, &LLMModel{},
+		&KB{}, // 租户作用域模型，验证隔离插件
+	); err != nil {
+		t.Fatalf("AutoMigrate 失败: %v", err)
+	}
+	// 支付入账幂等兜底闸：与 pgsql.go 生产建的同一道部分唯一索引（sqlite 同样支持）。
+	if err := db.Exec(`CREATE UNIQUE INDEX idx_ledger_grant_ref ON sundynix_credit_ledger (kind, ref) WHERE kind = 'grant' AND ref <> ''`).Error; err != nil {
+		t.Fatalf("建幂等索引失败: %v", err)
+	}
+	registerTenantScope(db)
+	return &Postgres{db: db}
+}
+
+// seedTenant 建一个租户行（GrantCredits/MarkOrderPaid 靠 UpdateColumn 更新它的物化余额，
+// 无租户行则余额更新落空 → 破坏「余额 == SUM(ledger)」不变量，故测试必须先建）。
+func seedTenant(t *testing.T, p *Postgres, id string) {
+	t.Helper()
+	if err := p.db.Create(&Tenant{BaseModel: BaseModel{ID: id}, Name: "T-" + id, Slug: "slug-" + id, Status: "active"}).Error; err != nil {
+		t.Fatalf("建租户失败: %v", err)
+	}
+}
+
+// balanceEqualsSumLedger 是计费系统的核心不变量：物化余额 == 账本分录之和。
+// 任何入账/扣费路径违反它都是对账事故。
+func assertBalanceInvariant(t *testing.T, p *Postgres, tenantID string) {
+	t.Helper()
+	ctx := WithoutTenant(context.Background())
+	var sum int64
+	p.db.WithContext(ctx).Model(&CreditLedger{}).Where("tenant_id = ?", tenantID).
+		Select("coalesce(sum(credits_micro),0)").Scan(&sum)
+	bal := p.TenantBalance(ctx, tenantID)
+	if bal != sum {
+		t.Fatalf("不变量破坏：物化余额=%d 但 SUM(ledger)=%d", bal, sum)
+	}
+}