AI 给登录功能写了 300 行代码，实际只需要 30 行——过度设计陷阱与 TaoToken 配置纠偏

1. 登录功能被 AI 写成 300 行问题出在哪你让 AI 实现一个用户登录功能需求一句话输入用户名密码验证通过返回 token。结果它给你端出来一套认证抽象层——AuthStrategy接口、OAuth2Strategy、JWTStrategy、SessionStrategy三个实现类、一个StrategyFactory工厂、再加一个AuthPluginManager插件管理器。三百行代码结构图能画满一屏看起来相当专业。但你把调用链捋一遍会发现真正跑通的路径只有一条login(username, password)查库比对签发 token。剩下三分之二的代码是为「以后可能要加 OAuth2」「以后可能要支持 Session」准备的。问题是这些「以后」在你的项目里大概率不会来。这不是 AI 写错了而是它在按「最佳实践」的默认模板输出。策略模式、工厂模式、插件化单拎出来都是好设计但好设计的前提是你真的需要那个扩展点。AI 不知道你的项目要不要 OAuth2它只知道「可扩展是好代码」于是全给你做上。这就是典型的过度设计陷阱为不存在的未来需求买单。这篇就围绕这个场景讲清楚三件事怎么用 TDD 把 300 行砍回 30 行、怎么用 TaoToken 统一管理 AI 编码时的 Key 配置、以及怎么在 settings.json / config.toml 里把模型接入固定下来让 AI 后续生成代码时不再默认堆架构。适合正在用 AI 写业务代码、被生成结果复杂度困扰的开发者。2. 先解决 Key 管理再谈代码纠偏在动手砍代码之前有个前置问题得先处理你用什么模型来帮你做这次重构。如果每次让 AI 改代码都要重新配一遍 Key、换一个供应商、改一次 base_url那纠偏过程本身就会变成新的混乱源。TaoToken 在这里的角色是统一入口。它把模型调用收敛到一个 API 地址和一把 Key 上你切换模型、切换编码场景时改的是配置而不是散落在各处的环境变量。官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 注意 API 地址不带 UTM 参数配置时直接用这个。对登录功能重构这个场景来说你需要的是一个稳定的模型对话能力把 300 行代码贴进去让它逐段说明哪些是当前需求必需的、哪些是预判未来的。这个动作适合走模型对话入口地址是 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite 。如果你是要长期做编码和 Agent 类任务比如让 AI 持续参与重构、跑测试、改配置那更适合用 Coding Plan地址是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 。Key 的创建在控制台的 API Keys 页面https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。生成后先复制保存后面配置里要用。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到参数不确定时对照着看。提示Key 只显示一次生成后立刻存到本地密钥管理里不要直接写进会提交到仓库的配置文件。3. 可复制的配置骨架settings.json 与 config.toml配置这件事我建议分两层一层是编辑器/客户端的 settings.json管的是「AI 助手怎么连模型」一层是项目里的 config.toml管的是「这个项目的编码规范约束」。两层配合才能让 AI 后续生成代码时不再默认堆抽象。3.1 settings.json 骨架以常见的编辑器 AI 插件配置为例核心是把 base_url 和 api_key 指向 TaoToken{ ai.provider: openai-compatible, ai.baseUrl: https://taotoken.net/api, ai.apiKey: ${env:TAOTOKEN_API_KEY}, ai.model: claude-sonnet-4-20250514, ai.temperature: 0.2, ai.maxTokens: 4096, ai.systemPromptFile: .ai/system-prompt.md }几个参数说明一下。baseUrl固定用https://taotoken.net/api不要加尾部斜杠。apiKey用环境变量引用别硬编码这样换机器时只改环境变量。temperature设 0.2 是因为重构类任务要的是稳定输出不是发散创意。systemPromptFile指向项目内的提示词文件把「禁止过度设计」这类约束写进去比每次对话里重复交代更省事。环境变量这样设export TAOTOKEN_API_KEYsk-你的keyWindows PowerShell 用$env:TAOTOKEN_API_KEYsk-你的key3.2 config.toml 骨架项目根目录放一个 config.toml把编码约束固化下来[project] name auth-demo language python test_framework pytest [ai.constraints] yagni true max_function_lines 30 forbid_patterns [StrategyFactory, PluginManager, AbstractAuthLayer] require_test_first true [ai.review] check_over_design true check_unused_abstraction true report_style conciseforbid_patterns这一项很关键。它明确告诉 AI这个项目里不要出现工厂类、插件管理器、抽象认证层。require_test_first true对应 TDD 纪律让 AI 先写测试再写实现。max_function_lines 30是个软约束超过就提示拆分或说明理由。3.3 system-prompt.md 里写什么.ai/system-prompt.md放一段简短约束你是本项目的编码助手。遵守以下规则 1. 只实现当前明确需求不预判未来扩展。 2. 新增抽象前必须说明当前有几个调用方需要它。 3. 优先写测试再写最小实现最后才考虑重构。 4. 单个函数不超过 30 行超过需给出理由。 5. 禁止引入策略模式、工厂模式、插件架构除非需求明确要求。这段提示词配合 config.toml能把 AI 的默认输出从「架构展示」拉回「需求实现」。4. 用 TDD 把 300 行砍回 30 行配置就位后开始实际重构。核心方法是 TDD 三步RED、GREEN、REFACTOR。每一步都只为当前需求服务。4.1 RED先写失败测试锁住意图不要先让 AI 改代码先让它写测试。测试描述的是业务意图不是实现结构# test_login.py import pytest from auth.login import login def test_login_with_valid_credentials_returns_token(): token login(alice, correct-password) assert token is not None assert len(token) 20 def test_login_with_wrong_password_raises(): with pytest.raises(ValueError): login(alice, wrong-password)此时auth/login.py还不存在跑测试必然失败。这个「红」的状态很重要它证明测试确实在检验东西而不是走过场。pytest test_login.py -v # 预期ModuleNotFoundError 或 ImportError测试红4.2 GREEN写最小实现让测试变绿现在让 AI 写实现但明确要求不要接口、不要工厂、不要插件就一个函数。# auth/login.py import hashlib import hmac import time import jwt SECRET your-secret-key def login(username: str, password: str) - str: user _find_user(username) if user is None or not _verify_password(password, user[password_hash]): raise ValueError(invalid credentials) return _issue_token(username) def _find_user(username: str): # 实际项目替换为数据库查询 fake_db {alice: {password_hash: _hash(correct-password)}} return fake_db.get(username) def _verify_password(password: str, stored_hash: str) - bool: return hmac.compare_digest(_hash(password), stored_hash) def _hash(password: str) - str: return hashlib.sha256(password.encode()).hexdigest() def _issue_token(username: str) - str: payload {sub: username, exp: int(time.time()) 3600} return jwt.encode(payload, SECRET, algorithmHS256)跑测试pytest test_login.py -v # 预期2 passed测试绿到这里功能已经跑通了。整个实现加上辅助函数不到 30 行没有一行是为「未来」写的。4.3 REFACTOR真需要时才抽象只有当项目确实要加第二种登录方式时才允许重构。比如产品明确要求加 OAuth2这时候再提取抽象# auth/strategies.py —— 仅在确实需要第二种登录方式时创建 from typing import Protocol class LoginStrategy(Protocol): def authenticate(self, credential: dict) - str: ... class PasswordStrategy: def authenticate(self, credential: dict) - str: return login(credential[username], credential[password])注意顺序先有需求再有抽象。不是先搭好框架等需求来填。4.4 让 AI 帮你识别过度设计把原来那 300 行贴给模型对话用这个提示词以下是一段 AI 生成的登录代码。请逐段标注 1. 哪些代码在当前需求用户名密码登录返回 token下会被执行 2. 哪些是为未来需求准备的、当前无调用方的 3. 给出删除建议保留最小可运行实现。 输出格式文件路径 | 行号范围 | 分类 | 理由实测下来模型能比较准确地标出工厂类和插件管理器属于「无调用方」类别。这一步用模型对话入口做最顺手地址在 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite 。5. 验证请求与成功结果配置和重构都做完后要验证两件事模型接入是否通、重构后的代码是否真的能跑。5.1 验证模型接入用 curl 发一个最小请求确认 Key 和 base_url 配置正确curl -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [{role: user, content: 回复 OK 两个字母}], max_tokens: 16 }预期返回里能看到content: OK之类的响应。如果返回 401检查 Key 是否复制完整返回 404检查 base_url 是不是写成了带路径的地址。5.2 验证重构结果跑完整测试套件并统计代码行数pytest test_login.py -v wc -l auth/login.py预期输出类似test_login.py::test_login_with_valid_credentials_returns_token PASSED test_login.py::test_login_with_wrong_password_raises PASSED 2 passed in 0.12s 28 auth/login.py28 行两个测试通过。对比原来的 300 行删掉的是没有调用方的抽象层保留的是真正跑通的逻辑。5.3 验证 AI 后续输出是否收敛再让 AI 加一个小功能比如「登录失败三次锁定账户」观察它是否还会默认堆架构在现有 login 函数基础上增加登录失败三次锁定账户的逻辑。 要求不新增类不引入新抽象只修改现有函数和测试。如果配置生效AI 应该只在login函数里加计数逻辑而不是新建一个LockStrategy或AttemptManager。这一步能验证你的 settings.json 和 config.toml 是否真的起了约束作用。6. 本篇常见错排查6.1 配置了但 AI 还是堆架构最常见的原因是 system-prompt.md 没被加载。检查 settings.json 里ai.systemPromptFile的路径是否正确以及文件是否真的存在于项目根目录。另一个原因是 config.toml 的forbid_patterns写得太泛AI 可能换个名字绕过去比如把StrategyFactory改成AuthResolver。这时候要把约束写成语义描述而不是只列类名。6.2 测试跑不起来ModuleNotFoundError: No module named auth通常是没在项目根目录跑 pytest或者缺少__init__.py。在auth/目录下加一个空的__init__.py即可。jwt模块报错则是没装依赖pip install pyjwt pytest6.3 curl 返回 401 或 403先确认环境变量是否真的导出成功echo $TAOTOKEN_API_KEY如果输出为空说明 export 没生效重新执行一遍。如果 Key 里有特殊字符注意 shell 转义。403 一般是 Key 权限问题去控制台确认这个 Key 是否绑定了对应模型。6.4 base_url 写错导致 404TaoToken 的 API 地址是https://taotoken.net/api不要写成https://taotoken.net/api/v1再让客户端自己拼/v1也不要加尾部斜杠。不同客户端对 base_url 的处理方式不一样有的会自动补/v1/chat/completions有的不会。对照接入文档确认你用的客户端该怎么填。6.5 重构后测试绿了但线上报错大概率是_find_user里的假数据没换成真实数据库查询。测试用的是内存假数据线上要接真实存储。这一步别让 AI 猜你的表结构把 schema 贴给它再改。7. 把纠偏能力固定下来过度设计这件事单次纠偏不难难的是让 AI 在后续每次生成里都保持克制。我的做法是把这套约束沉淀成项目模板settings.json 管接入config.toml 管规则system-prompt.md 管语气测试文件管边界。四样东西进版本库换项目时直接复制。模型接入这块用 TaoToken 统一 Key 的好处是配置只写一次后面换模型、换场景都不用动 base_url。长期做编码和 Agent 任务的话Coding Plan 比按次调用更省心地址在 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 。接入细节和参数对照看文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite Key 在 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 生成。最后留一个我常用的检查动作每次 AI 生成完代码先别急着合并跑一遍wc -l和测试再问自己一句——这段代码里有多少行是当前需求真的会执行的。如果比例低于一半就该回去砍了。