XiHan.BasicApp 测试审查

对每个测试给出“保留、改写、合并或删除”结论，并指出它保护的业务或安全不变量。

• 保留：能在回归时失败，覆盖权限、租户、事务、DTO/API、数据隔离、页面状态、路由或真实交互。
• 改写：mock 自证、只断言实现调用、复制生产逻辑计算期望、依赖私有结构或用固定延时碰运气。
• 合并：与相邻用例输入和断言等价，没有新增风险覆盖。
• 删除：不可能失败、只验证常量/框架本身，或已被更清晰的同层测试完整覆盖。

BasicApp 专项

• 后端权限测试同时检查允许与拒绝，租户测试覆盖 TenantId = 0、普通租户和跨租户拒绝。
• 写操作覆盖事务提交/回滚、取消、软删除与唯一索引语义。
• Dynamic API 测试验证授权元数据、路由绑定、DTO 映射和错误，而非只测服务可解析。
• 前端测试覆盖类型化 API、Pinia、动态路由和可观察页面状态；视觉布局和浮层由真实浏览器验证。
• UI 隐藏不是授权测试，快照和类型检查不能替代业务断言。

输出按风险排序并附文件和行号。除非用户要求运行，否则先静态审查；不得通过删除测试、扩大 allowlist 或降低门禁解决生产问题。