feat:刷新时上游异常/卡密不存在自动标记已上报失效

backend/internal/service/rock_binding_refresh.go

@@ -36,6 +36,8 @@ func canRefreshRockBinding(status string) bool {
 // RefreshTokenBinding 通过兑换码调用上游 refresh，人工同步一次绑定状态。
 //
 // 规则（只同步上游实时状态，不再用本地预期 UID 拦截）：
+//   - 上游状态异常（abnormal）→ 本地同步 abnormal（已上报失效）；
+//   - 上游明确返回「Token 不存在」(404) → 本地同步 abnormal（已上报失效）；
 //   - 上游已发货 → 本地同步 redeemed；
 //   - 上游已绑定 → 本地直接同步 bound，并清空绑定错误标记；
 //   - 上游未绑定 → 本地状态保持不变（不自动把 bound 退回 using）。
@@ -57,6 +59,7 @@ func (s *RockService) RefreshTokenBinding(ctx context.Context, tokenID uint) (*T
 	}
 
 	ref, err := s.client.RefreshRedeemBinding(ctx, token.RedeemCode)
+	upstreamNotFound := false
 	if err != nil {
 		// 公开端接口不可用时，降级到管理端 refresh（需要 upstream_token_id + Bearer）。
 		var statusErr *RockUpstreamStatusError
@@ -66,10 +69,16 @@ func (s *RockService) RefreshTokenBinding(ctx context.Context, tokenID uint) (*T
 			ref, err = s.client.RefreshToken(ctx, cfg.BearerToken, token.UpstreamTokenID)
 		}
 		if err != nil {
-			return nil, fmt.Errorf("刷新上游绑定状态失败: %w", err)
+			// 只有上游明确返回「Token 不存在」才判定卡密已删除；超时/500/网关 404 等仍按失败处理。
+			if isRockTokenNotFoundError(err) {
+				upstreamNotFound = true
+				ref = nil
+			} else {
+				return nil, fmt.Errorf("刷新上游绑定状态失败: %w", err)
+			}
 		}
 	}
-	if ref == nil {
+	if !upstreamNotFound && ref == nil {
 		return nil, errors.New("上游未返回刷新结果")
 	}
 
@@ -80,8 +89,18 @@ func (s *RockService) RefreshTokenBinding(ctx context.Context, tokenID uint) (*T
 	if !canRefreshRockBinding(token.Status) {
 		return nil, fmt.Errorf("Token 状态已变为 %s，无法再刷新绑定状态", token.Status)
 	}
+	if upstreamNotFound {
+		return s.markTokenAbnormalByRefresh(ctx, &token,
+			"上游卡密不存在（刷新自动同步）", "上游未找到该 Token，已标记为已上报失效")
+	}
 
 	now := time.Now()
+	upstreamStatus := strings.ToLower(strings.TrimSpace(ref.Token.Status))
+	if upstreamStatus == model.RockStatusAbnormal {
+		return s.markTokenAbnormalByRefresh(ctx, &token,
+			"上游状态异常（刷新自动同步）", "上游状态异常，已标记为已上报失效")
+	}
+
 	originalStatus := token.Status
 	originalRoleName := token.ActualRoleName
 	originalRoleID := token.ActualRoleID
@@ -118,7 +137,6 @@ func (s *RockService) RefreshTokenBinding(ctx context.Context, tokenID uint) (*T
 		result.Channel = actualChannel
 	}
 
-	upstreamStatus := strings.ToLower(strings.TrimSpace(ref.Token.Status))
 	redeemedAtRaw := strings.TrimSpace(ref.Token.RedeemedAt)
 
 	switch {
@@ -188,6 +206,65 @@ func displayRockRole(name, roleID string) string {
 	return strings.TrimSpace(roleID)
 }
 
+// isRockTokenNotFoundError 判断上游是否明确返回「Token 不存在」。
+//
+// 必须同时满足 HTTP 404 且响应体包含 Token 不存在的语义，
+// 避免把网关、路由缺失等普通 404 误判成卡密被删除。
+func isRockTokenNotFoundError(err error) bool {
+	var statusErr *RockUpstreamStatusError
+	if !errors.As(err, &statusErr) || statusErr.StatusCode != http.StatusNotFound {
+		return false
+	}
+	body := strings.ToLower(strings.TrimSpace(statusErr.Body))
+	if strings.Contains(body, "不存在") {
+		return true
+	}
+	if !strings.Contains(body, "token") {
+		return false
+	}
+	return strings.Contains(body, "not found") ||
+		strings.Contains(body, "not exist") ||
+		strings.Contains(body, "does not exist")
+}
+
+// markTokenAbnormalByRefresh 把刷新时确认已失效的 Token 标记为「已上报失效」。
+//
+// 备注策略：仅在原备注为空时写入系统原因，避免覆盖人工备注。
+// 已交付（status=redeemed 或 redeemed_at 非空）的 Token 不会被降级。
+func (s *RockService) markTokenAbnormalByRefresh(ctx context.Context, token *model.RockToken, remark, message string) (*TokenBindingRefreshResult, error) {
+	if token == nil {
+		return nil, errors.New("Token 不存在")
+	}
+	if token.Status == model.RockStatusRedeemed || token.RedeemedAt != nil {
+		return nil, errors.New("该 Token 已有发货记录，不能标记为已上报失效")
+	}
+
+	updates := map[string]interface{}{
+		"status":     model.RockStatusAbnormal,
+		"updated_at": time.Now(),
+	}
+	if strings.TrimSpace(token.Remark) == "" {
+		updates["remark"] = remark
+	}
+	if err := s.db.WithContext(ctx).Model(token).Updates(updates).Error; err != nil {
+		return nil, err
+	}
+	s.refreshCache.Delete(token.UpstreamTokenID)
+
+	result := &TokenBindingRefreshResult{
+		Status:  model.RockStatusAbnormal,
+		Changed: true,
+		Warning: true,
+		Message: message,
+	}
+	_ = writeAudit(s.db.WithContext(ctx), nil, nil, nil, "rock_token.refresh_binding", "rock_token",
+		fmt.Sprintf("%d", token.ID), map[string]interface{}{
+			"status":  result.Status,
+			"message": result.Message,
+		})
+	return result, nil
+}
+
 func resolveRockBoundAt(ref *RockRefreshResponse, fallback time.Time) time.Time {
 	if ref != nil {
 		if t, ok := parseRockTime(ref.Token.BindChangedAt); ok {