📝 код-ревью 20: разобрал fixme-комменты из задачи — валидация входа, схема ответа, async-параллелизм get_many

Author: esemi

code-review-practice/solutions/20_api_response_parser.md

@@ -32,16 +32,28 @@
    API отдаёт Кельвины; если формат/версия сменится (Цельсий/Фаренгейт), температура молча
    станет бессмысленной. Хотя бы вынести константу с именем и не хардкодить конверсию вслепую.
 
-8. **`get_many` падает целиком из-за одного города** (строка 30). Dict-comprehension по всем
-   городам: первое же исключение в `get_weather` (нет города, таймаут) уронит **весь** батч.
-   Для устойчивого пакетного запроса стоит обрабатывать ошибки по городу отдельно (собрать
-   успехи, а неудачи — в отдельный список/лог).
+8. **`get_many` падает целиком из-за одного города и работает последовательно** (строка 30).
+   Dict-comprehension по всем городам: первое же исключение в `get_weather` (нет города, таймаут)
+   уронит **весь** батч — стоит обрабатывать ошибки по городу отдельно (собрать успехи, а
+   неудачи — в список/лог). Плюс запросы идут по одному, синхронно: на большом списке городов
+   это долго. Параллелить — через `asyncio` + async-клиент (`httpx`) или `ThreadPoolExecutor`
+   с ограничением конкурентности.
 
 9. **`get_forecast` не считает статус/таймаут** — те же проблемы, что 3–5, плюс главный
    `eval` из п.1.
 
 10. **Нет аннотаций типов** (все функции). `city: str`, `days: int`, тип результата.
 
+11. **Вход `city`/`days` не валидируется и не нормализуется** (строки 9, 25). Город уходит в
+    запрос как есть: пустая строка, лишние пробелы, произвольный регистр — всё летит на API
+    (и ломает URL, см. п.6). Стоит нормализовать (`strip`, регистр) и отклонять заведомо
+    невалидное; `days` — проверять на разумный диапазон, а не слать любое число.
+
+12. **Ответ возвращается сырым dict без схемы** (строки 18–22, 28). Наружу отдаётся
+    вручную собранный словарь — контракт клиента нигде не описан, опечатка в ключе не ловится.
+    Возвращать стоит типизированную модель (dataclass/pydantic), тогда и результат `get_weather`,
+    и элементы `get_forecast` имеют явный проверяемый формат.
+
 **Итого:** `eval` над ответом (RCE), слепое доверие структуре и отсутствие проверки статуса/
 таймаутов. Мораль: ответ внешнего API — недоверенные данные; парсить его `json()` (никогда
 `eval`), проверять статус, обкладывать таймаутом и не доверять, что ключи на месте.