重构修复验证报告

总体评价

评分: 9/10 -- 所有 P0/P1 问题已正确修复，代码质量良好，编译零报错零警告。存在少量可改进点但不影响推送。

#	问题	状态	验证详情
1	Redis 节点信息统一用 HSET	已修复	`api-server/src/commands.rs:76-84` 使用 `HSET` 写入 `node:{node_id}` hash；`device-server/src/main.rs:77-92` 注册时同样使用 `HSET`。两端数据结构一致，无类型冲突。
2	心跳时 TTL 自动续期	已修复	`api-server/src/commands.rs:116-120` 心跳时调用 `EXPIRE` 刷新 300s TTL；`device-server/src/main.rs:119-123` 同理。两端均保证活跃节点不会被过期清理。
3	NodeRegistry 用 Redis 存储	已修复	`api-server/src/commands.rs:57-59` `NodeRegistry` 持有 `redis::aio::ConnectionManager`，所有读写操作均通过 Redis（`HSET`/`HGETALL`/`KEYS`/`DEL`），无内存缓存。
4	`GET /api/nodes` 正确返回节点列表	已修复	`api-server/src/nodes.rs:55-70` 从 Redis 读取节点，返回 `node_id`、`ip`、`tcp_port` 字段，响应格式 `{"nodes": [...], "count": N}`。
5	`is_device_online()` 正确查询 Redis	已修复	`api-server/src/commands.rs:159-167` 通过 `EXISTS device:online:{imei}` 查询，返回 `bool`，失败时兜底 `false`。

检查项	状态	详情
删除无用 config.toml	通过	`software/` 目录下无 `config.toml` 文件
配置从 .env 读取 (dotenvy)	通过	`api-server/src/config.rs:29` 和 `device-server/src/config.rs:18` 均调用 `dotenvy::dotenv()`
无明文密码硬编码	通过	`JWT_SECRET_DEFAULT` 值为 `"pms-dev-secret-change-me-in-production"`，明确标注需生产替换，且 `Config::validate()` 会输出警告日志。`DEFAULT_PASSWORD = "123456"` 仅用于用户管理初始密码/重置密码，属业务常量。

检查项	状态	详情
限流器用 tokio::sync::Mutex	通过	`report_worker.rs:14` 导入 `tokio::sync::Mutex`，`RateLimiter` 的 `attempts` 字段使用该类型。全项目 grep 确认无 `std::sync::Mutex` 使用。
无阻塞操作	通过	所有 Redis 操作使用 `query_async`，MySQL 操作使用 `sqlx::query().execute().await`，无同步阻塞调用。
后台协程正确处理 Redis 队列	通过	`report_worker.rs` 使用 `BRPOP device:reports`，`reply_worker.rs` 使用 `BRPOP device:replies`，`device-server/main.rs` 使用 `BRPOP device:commands`。错误时 sleep 1s 重试，避免紧密循环。

服务	cargo check	cargo clippy
api-server	零报错	零警告
device-server	零报错	零警告

所有函数均 <= 80 行。较大的函数：

所有模块均有模块级文档注释（//!），公开函数和结构体有 /// 注释。命名语义清晰（如 NodeRegistry、PendingCommands、RateLimiter）。

所有外部 IO 操作返回 Result<T, E>，使用 ? 传播错误
Redis 操作失败时使用 unwrap_or_default() 或 unwrap_or(false) 兜底
无裸 panic! 或 unwrap() 用于外部 IO（仅 expect("DeviceCommand 序列化不应失败") 用于确定不会失败的 serde 序列化，可接受）

KEYS 命令在生产环境应替换为 SCAN
- 位置: api-server/src/commands.rs:128
- 原因: KEYS node:* 在节点数量大时会阻塞 Redis
- 建议: 改用 SCAN 游标迭代，或维护一个 SET 记录活跃节点 ID
JWT_SECRET_DEFAULT 重复定义
- 位置: config.rs:6 和 middleware/auth.rs:33
- 建议: 统一到 config.rs，auth.rs 引用 crate::config::JWT_SECRET_DEFAULT
rand::thread_rng() 在新版 rand 中已弃用
- 位置: report_worker.rs:150
- 当前可编译通过（使用旧版 rand API），但升级 rand 后需改为 rand::rng()

可以推送。 所有 P0/P1 问题已修复，两个服务编译零报错零警告，代码结构清晰，错误处理完善。上述 3 个改进建议为低优先级，可在后续迭代中处理。