聚焦安全薄弱点的代码审查

代码做了什么

1. 读取网店导出的 orders.csv。
2. 对每一行订单，按 SKU 在 stock.xlsx 中找到商品并扣减数量。
3. 写回更新后的库存，并把汇总记录到 import_log.txt。

整体结构清晰，函数命名也不错。大部分问题出在输入数据和脚本预期不一致。

缺陷与薄弱点

#	行号	严重程度	问题
1	48	高	同一个 CSV 可能被重复导入，没有检查订单号是否已处理过。这是库存变负数最可能的原因。
2	72	高	遇到退款订单中的空值或 "2.0" 时，int(row["qty"]) 会直接崩溃。
3	95	中	SKU 查找区分大小写："gt-101" 和 "GT-101" 被当成两个商品。
4	130	中	打开文件时没有指定 encoding="utf-8"，在 Windows 上中文商品名会乱码报错。
5	201	低	裸 except: 吞掉了真正的错误，日志形同虚设。

修正后的代码片段

问题 1：跳过已导入的订单

processed = load_processed_ids("processed_orders.txt")
for row in reader:
    if row["order_id"] in processed:
        continue
    # ……原有逻辑……
    processed.add(row["order_id"])
save_processed_ids("processed_orders.txt", processed)

原因：即使对同一个文件重复运行脚本，每个订单也只会扣减一次。

问题 2：安全地读取数量

raw = (row.get("qty") or "").strip()
try:
    qty = int(float(raw))
except ValueError:
    log.warning("订单 %s：数量 %r 无效，已跳过", row["order_id"], raw)
    continue

原因：退款或部分退款的行会被跳过并留下清楚的记录，而不是让整个导入中断。

问题 3：统一 SKU 格式

sku = row["sku"].strip().upper()

构建库存字典时也要用同样的 .strip().upper()。

代码风格与可读性

• process() 有 90 行，建议拆成 read_orders、apply_to_stock、write_report 三个函数。
• 把写死的列号（row[7]）换成表头名称。

**请先测试：**每个修改请在文件副本上验证。我们审阅了代码，但没有实际运行。