删除 Sushi ID 账号不会清掉 Iron Tide 榜上的记录

[longmaolab]

上线验证时发现的（2026-08-17）。不紧急，但属于隐私承诺的缺口，该补。

现象

删掉一个 Sushi ID 账号，站级榜会级联清空（外键 ON DELETE CASCADE，验证过）。
但 Iron Tide 的 93 张详细榜是另一个数据库，没有任何外键关系——那个人的成绩、
以及我们存下来的 display_name，会继续留在榜上。

实测：删号后 Sushi ID 库是 0 users / 0 scores，Iron Tide 库里那条
player_id = sushi:<已删除的账号> 还在，照常显示名字。

为什么算问题

面板里对登录玩家写着「登录用的名字永远不会出现在任何榜上」，这条仍然成立。
但**「我删号了」这个动作没有传导到这里**——玩家会合理地以为删号就删干净了。

匿名档不受影响：面板里的「把我从榜上撤下来」是直接调本服务的，一直有效。

可能的做法

1. 反向查询（改动最小）：定期拿库里所有 kind=sushi 的 player_id 去问 Sushi ID
   还在不在，不在就把这些记录置 hidden。需要 Sushi ID 加一个「这个账号还存在吗」的服务间接口。
2. 删号时通知：Sushi ID 在 DELETE /auth/account 里回调各计分服务。更及时，但要引入 webhook 和重试。
3. 不存 display_name，每次渲染榜单时现查。最干净，但每次看榜都要跨服务调用。

倾向 1——它不需要在删号这个关键路径上引入新的失败点，延迟几小时对这个场景可以接受。

相关

• docs/LEADERBOARD.md 第 3.1 节（隐私）应当在修好之前写明这个限制
• server-leaderboard/db.js 的 players.display_name
• Sushi ID: VideoGameTips/sushigamelab api/app.js 的 /internal/runs/:runId（现成的服务间通道）

[longmaolab]

更新（2026-08-17 上线后）：现状确认 + 方案 1 现在便宜多了

线上实测确认过了，不是推测：删掉一个 Sushi ID 账号之后，
sushigamelab.sqlite 归零（0 users, 0 scores，外键级联生效），
而 leaderboard.db 里那条 player_id = sushi:<已删除账号> 的记录还在，
连我们存的 display_name 一起。

有个变化：服务间通道已经存在了

原文里方案 1 写着「需要 Sushi ID 加一个『这个账号还存在吗』的服务间接口」——
上线时为了别的原因已经加了一个：

GET /sushi-api/internal/runs/:runId    （X-Service-Token 认证）

它是给计分服务端查「这个 run 是谁的」用的，附带就回答了「这个账号还在不在」。
但它是按 runId 查的，而 sessions.sushi_run_id 只留 7 天就被清理任务删了，
所以拿它做对账只对最近一周的记录有效。

要覆盖全部历史记录，还是得加一个按 userId 查的：

GET /sushi-api/internal/users/:userId  ->  404 表示账号已不存在

有了它，对账任务就是一句话：把 players 里所有 kind='sushi' 的挨个问一遍，
404 的把它的记录置 hidden。不需要 webhook、不需要在删号那条关键路径上引入新的失败点，
延迟几小时对这个场景完全可以接受。

修之前的止损

匿名档一直是干净的——面板里的「把我从榜上撤下来」直接调本服务，立刻生效。
登录档的玩家如果现在就要清干净，家长可以用管理页手动隐藏：

curl -s -H "X-Admin-Token: $TOKEN" https://sushigamelab.com/irontide-api/admin/data
curl -s -X POST -H "X-Admin-Token: $TOKEN" -H 'Content-Type: application/json' \
  -d '{"action":"status","id":<记录id>,"status":"hidden"}' \
  https://sushigamelab.com/irontide-api/admin/action

已经写进文档

docs/LEADERBOARD.md 第 3.1 节现在明写着这条限制，而不是含糊过去——
玩家删号时会合理地以为两边都删了，在修好之前这件事该让人看得见。