prod/HY2XS_flamy
5
1
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 6 Wiki Activity

fix(installer): harden admin smoke and rollback cleanup

Browse Source
This commit is contained in:
Crimson
2026-09-07 22:39:30 +05:00
parent bf10810cfc
commit 079094591b
15 changed files with 1095 additions and 261 deletions
Download Patch File Download Diff File Expand all files Collapse all files
orchestrator/test/admin-credentials.test.ts
+219 -78
View File
@@ -12,8 +12,14 @@ import {
ADMIN_USERNAME_MAX_LENGTH,
ADMIN_USERNAME_MIN_LENGTH,
ADMIN_USERNAME_PATTERN,
isValidAdminPassword
isValidAdminPassword,
} from "../src/config/profile";
import {
ADMIN_LOGIN_SMOKE_USER_AGENT,
buildAdminLoginRequest,
isRejectedLogin,
isSuccessfulLogin,
} from "../src/steps/smoke";
import { baselineConfig, envText } from "./fixtures";
/**
@@ -31,7 +37,7 @@ const REPO_ROOT = path.resolve(import.meta.dir, "..", "..");
function goContract(): string {
return fs.readFileSync(
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
"utf8"
"utf8",
);
}
@@ -41,7 +47,9 @@ function goConst(name: string): string {
if (numeric) {
return numeric[1];
}
const backticked = source.match(new RegExp(`\\b${name}\\s*=\\s*\`([^\`]*)\``));
const backticked = source.match(
new RegExp(`\\b${name}\\s*=\\s*\`([^\`]*)\``),
);
if (backticked) {
return backticked[1];
}
@@ -68,14 +76,24 @@ describe("контракт учётных данных совпадает с а
// Go-бинарника и импортировать его константы не может. Проверяется поэтому
// не отсутствие копии, а её совпадение с оригиналом — сверкой по исходнику.
test("границы совпадают с credential.Admin*", () => {
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(goConst("AdminUsernameMinLength"));
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(
goConst("AdminUsernameMinLength"),
);
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(
goConst("AdminUsernameMaxLength"),
);
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(
goConst("AdminPasswordMinLength"),
);
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(
goConst("AdminPasswordMaxLength"),
);
// Предел bcrypt — ОТДЕЛЬНАЯ константа и отдельная сверка: пока его тут не
// было, оркестратор пропускал в hy2xs.env пароль, который админка не могла
// захешировать, и установка заканчивалась сервером без администратора.
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(
goConst("AdminPasswordMaxBytes"),
);
});
test("набор символов логина совпадает с классом из Go", () => {
@@ -83,8 +101,11 @@ describe("контракт учётных данных совпадает с а
// raw-строке, в TypeScript — в обычной, где обратный слеш удваивается.
const declared = goConst("adminUsernameCharacterClass");
const mirrored = ADMIN_USERNAME_PATTERN.source.replace(
new RegExp(`^\\^\\[|\\]\\{${ADMIN_USERNAME_MIN_LENGTH},${ADMIN_USERNAME_MAX_LENGTH}\\}\\$$`, "g"),
""
new RegExp(
`^\\^\\[|\\]\\{${ADMIN_USERNAME_MIN_LENGTH},${ADMIN_USERNAME_MAX_LENGTH}\\}\\$$`,
"g",
),
"",
);
expect(mirrored).toBe(declared);
});
@@ -105,7 +126,10 @@ describe("контракт учётных данных совпадает с а
test("путь формы входа собран из базового пространства имён API", () => {
expect(ADMIN_LOGIN_PATH).toBe("/api/auth/login");
const router = fs.readFileSync(path.join(REPO_ROOT, "apps", "router", "auth.go"), "utf8");
const router = fs.readFileSync(
path.join(REPO_ROOT, "apps", "router", "auth.go"),
"utf8",
);
expect(router).toContain('auth.POST("/login"');
expect(router).toContain('authApi.Group("/auth")');
});
@@ -122,66 +146,81 @@ describe("HY2XS_ADMIN_USER проверяется при разборе окру
// шесть. Установка проходила целиком, а панель не впускала никого.
test("значение по умолчанию не короче минимума", () => {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_USER: null }));
expect(config.adminUser.length).toBeGreaterThanOrEqual(ADMIN_USERNAME_MIN_LENGTH);
expect(config.adminUser.length).toBeGreaterThanOrEqual(
ADMIN_USERNAME_MIN_LENGTH,
);
});
// Умолчание обязано совпадать с запасным значением админки: иначе установка
// без явного HY2XS_ADMIN_USER создаёт одну учётную запись, а админка при
// повреждённом окружении ищет другую.
test("умолчание совпадает с запасным значением админки и с packaged env", () => {
const dao = fs.readFileSync(path.join(REPO_ROOT, "apps", "dao", "sqlite.go"), "utf8");
const dao = fs.readFileSync(
path.join(REPO_ROOT, "apps", "dao", "sqlite.go"),
"utf8",
);
expect(dao).toContain('adminUser = "hy2xsadmin"');
const packaged = fs.readFileSync(
path.join(REPO_ROOT, "package", "config", "hy2xs.env"),
"utf8"
"utf8",
);
expect(packaged).toContain("HY2XS_ADMIN_USER=hy2xsadmin");
});
test("слишком короткий логин роняет установку", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
/invalid HY2XS_ADMIN_USER/
/invalid HY2XS_ADMIN_USER/,
);
});
test("слишком длинный логин роняет установку", () => {
expect(() =>
baselineConfig({ HY2XS_ADMIN_USER: "a".repeat(ADMIN_USERNAME_MAX_LENGTH + 1) })
baselineConfig({
HY2XS_ADMIN_USER: "a".repeat(ADMIN_USERNAME_MAX_LENGTH + 1),
}),
).toThrow(/invalid HY2XS_ADMIN_USER/);
});
test("логин с пробелом, кириллицей или переводом строки роняет установку", () => {
for (const rejected of ["hy2xs admin", "админ12", "hy2xs\tadmin"]) {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: rejected })).toThrow(
/invalid HY2XS_ADMIN_USER/
/invalid HY2XS_ADMIN_USER/,
);
}
});
test("отказ называет и границы, и набор символов", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
new RegExp(`${ADMIN_USERNAME_MIN_LENGTH}.*${ADMIN_USERNAME_MAX_LENGTH}`)
new RegExp(`${ADMIN_USERNAME_MIN_LENGTH}.*${ADMIN_USERNAME_MAX_LENGTH}`),
);
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
/a-z A-Z 0-9/,
);
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(/a-z A-Z 0-9/);
});
// Значение уезжает в hy2xs.env и оттуда в базу. Пробел по краям превращался
// бы в часть имени учётной записи, и вход отказывал бы «неверным логином» —
// отказом, который невозможно связать с причиной.
test("окружающие пробелы снимаются, а не уезжают в имя учётной записи", () => {
expect(baselineConfig({ HY2XS_ADMIN_USER: " hy2xsadmin " }).adminUser).toBe("hy2xsadmin");
expect(
baselineConfig({ HY2XS_ADMIN_USER: " hy2xsadmin " }).adminUser,
).toBe("hy2xsadmin");
});
test("точка в логине принимается: набор не сужается задним числом", () => {
expect(baselineConfig({ HY2XS_ADMIN_USER: "admin.ops" }).adminUser).toBe("admin.ops");
expect(baselineConfig({ HY2XS_ADMIN_USER: "admin.ops" }).adminUser).toBe(
"admin.ops",
);
});
});
describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разборе окружения", () => {
test("сгенерированный пароль проходит контракт панели", () => {
for (const raw of ["", "__GENERATE__"]) {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: raw }));
const config = parseRuntimeEnv(
envText({ HY2XS_ADMIN_INITIAL_PASSWORD: raw }),
);
const length = [...config.adminInitialPassword].length;
expect(length).toBeGreaterThanOrEqual(ADMIN_PASSWORD_MIN_LENGTH);
expect(length).toBeLessThanOrEqual(ADMIN_PASSWORD_MAX_LENGTH);
@@ -189,26 +228,31 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
});
test("слишком короткий пароль роняет установку", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: "12345" })).toThrow(
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
);
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: "12345" }),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
});
test("слишком длинный пароль роняет установку", () => {
expect(() =>
baselineConfig({
HY2XS_ADMIN_INITIAL_PASSWORD: "a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1)
})
HY2XS_ADMIN_INITIAL_PASSWORD: "a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
}),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
});
// Набор символов пароля сервером не ограничивается, и оркестратор не имеет
// права быть строже: отвергнутый здесь пароль сервер принял бы.
test("пароль из произвольных символов принимается", () => {
for (const password of ["p@ssw0rd?!", "пароль-администратора", "a b c d e f"]) {
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: password }).adminInitialPassword).toBe(
password
);
for (const password of [
"p@ssw0rd?!",
"пароль-администратора",
"a b c d e f",
]) {
expect(
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: password })
.adminInitialPassword,
).toBe(password);
}
});
@@ -226,8 +270,12 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
test("границы пароля проверяются и в символах, и в байтах", () => {
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
// ниже проверяли бы не то, что написано.
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(
ADMIN_PASSWORD_MAX_BYTES,
);
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(
ADMIN_PASSWORD_MAX_BYTES,
);
const accepted = [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
@@ -235,13 +283,14 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
"я".repeat(36),
"😀".repeat(18),
"abcde ",
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH)
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH),
];
for (const password of accepted) {
expect(isValidAdminPassword(password)).toBe(true);
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }).adminInitialPassword).toBe(
password
);
expect(
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })
.adminInitialPassword,
).toBe(password);
}
const rejected = [
@@ -249,13 +298,13 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
"я".repeat(37),
"😀".repeat(19),
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH),
];
for (const password of rejected) {
expect(isValidAdminPassword(password)).toBe(false);
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })).toThrow(
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
);
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
}
});
@@ -264,11 +313,13 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
// отправило бы оператора сокращать пароль, отвергнутый не за это.
test("отказ называет и символы, и байты", () => {
const tooManyBytes = `"${"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)}"`;
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`)
);
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`)
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes }),
).toThrow(new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`));
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes }),
).toThrow(
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`),
);
});
@@ -282,7 +333,9 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
// генератор — такой же источник значения, как и оператор.
test("сгенерированный пароль проходит контракт целиком", () => {
for (let i = 0; i < 50; i += 1) {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }));
const config = parseRuntimeEnv(
envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }),
);
expect(isValidAdminPassword(config.adminInitialPassword)).toBe(true);
}
});
@@ -290,7 +343,10 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
describe("smoke выполняет настоящий вход в панель", () => {
const smoke = () =>
fs.readFileSync(path.join(REPO_ROOT, "orchestrator", "src", "steps", "smoke.ts"), "utf8");
fs.readFileSync(
path.join(REPO_ROOT, "orchestrator", "src", "steps", "smoke.ts"),
"utf8",
);
// Главный барьер этого релиза. Пока установка отвечала на вопрос «работает ли
// панель» только фактом LISTEN и ответом /healthz, RC2 объявлял успешной
@@ -303,23 +359,38 @@ describe("smoke выполняет настоящий вход в панель",
});
test("успех определяется конвертом ответа и выданным токеном", () => {
// Админка отвечает HTTP 200 и на отказ: проверка по коду HTTP приняла бы за
// успешный вход любой отказ.
const source = smoke();
expect(source).toMatch(/"code"\\s\*:\\s\*20000/);
expect(source).toMatch(/accessToken/);
expect(
isSuccessfulLogin(
JSON.stringify({
code: 20000,
type: "ok",
data: { accessToken: "jwt", tokenType: "Bearer" },
}),
),
).toBe(true);
expect(
isSuccessfulLogin(
JSON.stringify({ code: 50000, data: { accessToken: "jwt" } }),
),
).toBe(false);
expect(
isSuccessfulLogin(
JSON.stringify({ code: 20000, data: { accessToken: "" } }),
),
).toBe(false);
expect(isSuccessfulLogin("not json")).toBe(false);
});
test("учётные данные не попадают ни в команду ошибки, ни в сообщение", () => {
const source = smoke();
const start = source.indexOf("async function assertAdminLoginWorks");
expect(start).toBeGreaterThan(-1);
const body = source.slice(start, source.indexOf("\nfunction isSuccessfulLogin"));
const body = source.slice(start, source.indexOf("\ntype JsonObject"));
// runReadOnly (без Secret) кладёт команду в текст ошибки, а команда несёт
// пароль администратора.
expect(body).not.toMatch(/(?<!Secret)runReadOnly`/);
expect(body).toMatch(/runReadOnlySecret`/);
expect(body.match(/runReadOnlySecret`/g)).toHaveLength(1);
// Подстановка в tagged template — это НЕ утечка: значения там проходят
// через shellQuote и в текст ошибки не попадают. Утечкой была бы подстановка
@@ -327,12 +398,17 @@ describe("smoke выполняет настоящий вход в панель",
// в журнал установки и в diagnostics-бандл.
const messages = [
...body.matchAll(/\binfo\(([\s\S]*?)\);/g),
...body.matchAll(/new Error\(([\s\S]*?)\);/g)
...body.matchAll(/new Error\(([\s\S]*?)\);/g),
].map((match) => match[1]);
expect(messages.length).toBeGreaterThan(0);
for (const message of messages) {
for (const secret of ["adminPassword", "payload", "response", "body}"]) {
for (const secret of [
"adminPassword",
"request.body",
"response",
"body}",
]) {
expect(message).not.toContain(`\${${secret}`);
}
}
@@ -343,11 +419,42 @@ describe("smoke выполняет настоящий вход в панель",
expect(body).toContain("describeIssuedToken(response)");
});
test("тело запроса собирается JSON.stringify, а не интерполяцией", () => {
// Пароль задаёт оператор: кавычка или обратный слеш в нём сломали бы сам
// запрос, и проверка объявила бы рабочую установку сломанной.
const body = smoke();
expect(body).toContain("JSON.stringify({ username: adminUser, pass: adminPassword })");
test("обе пробы используют один wire-helper", () => {
const source = codeOf(smoke());
expect(source.match(/requestAdminLogin\(/g)).toHaveLength(3); // два вызова и определение
const helperStart = source.indexOf("async function requestAdminLogin");
const helper = source.slice(
helperStart,
source.indexOf("type JsonObject", helperStart),
);
expect(helperStart).toBeGreaterThan(-1);
expect(helper.match(/runReadOnlySecret`curl/g)).toHaveLength(1);
});
test("wire-тело содержит pass, а не несовместимый alias password", () => {
const request = buildAdminLoginRequest('admin"name', "pass\\word ");
expect(JSON.parse(request.body)).toEqual({
username: 'admin"name',
pass: "pass\\word ",
});
expect(request.body).not.toContain('"password"');
expect(request.contentType).toBe("application/json");
});
test("UA smoke проходит действующее scanner-правило", () => {
const filter = fs.readFileSync(
path.join(REPO_ROOT, "apps", "middleware", "filter.go"),
"utf8",
);
const declared = filter.match(/regexp\.MatchString\(`\(\?i\)([^`]+)`/);
expect(declared).not.toBeNull();
const scannerPattern = new RegExp(declared![1], "i");
expect(scannerPattern.test("curl/8.10.1")).toBe(true);
expect(scannerPattern.test(ADMIN_LOGIN_SMOKE_USER_AGENT)).toBe(false);
expect(buildAdminLoginRequest("hy2xsadmin", "secret1").userAgent).toBe(
ADMIN_LOGIN_SMOKE_USER_AGENT,
);
});
test("отрицательная проба не зависит от режима операции", () => {
@@ -357,7 +464,10 @@ describe("smoke выполняет настоящий вход в панель",
// дефект RC2.
const source = smoke();
const start = source.indexOf("async function assertAdminLoginWorks");
const body = source.slice(start, source.indexOf("\nfunction isSuccessfulLogin"));
const body = source.slice(
start,
source.indexOf("\nfunction isSuccessfulLogin"),
);
const rejected = body.indexOf("admin login rejects wrong credentials");
const modeGate = body.indexOf('context.mode !== "install"');
@@ -371,26 +481,53 @@ describe("smoke выполняет настоящий вход в панель",
// закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
// поэтому «неверные учётные данные отвергнуты» этой проверкой не следовало.
test("отрицательная проба сверяет конверт отказа, а не код HTTP", () => {
const source = smoke();
expect(source).toContain("isRejectedLogin");
// Код конверта отказа, доменная причина и ОТСУТСТВИЕ токена — три признака,
// и каждый закрывает свой способ ошибиться.
expect(source).toMatch(/"code"\\s\*:\\s\*50000/);
expect(source).toContain('INVALID_CREDENTIALS_CODE = "invalid_credentials"');
const start = source.indexOf("function isRejectedLogin");
const body = source.slice(start, source.indexOf("\n/**", start));
expect(body).toContain("!/\"accessToken\"");
const rejected = {
code: 50000,
type: "no",
errors: [{ code: "invalid_credentials", message: "wrong password" }],
data: null,
};
expect(isRejectedLogin(JSON.stringify(rejected))).toBe(true);
expect(isRejectedLogin(JSON.stringify({ ...rejected, code: 50001 }))).toBe(
false,
);
expect(
isRejectedLogin(
JSON.stringify({ ...rejected, errors: [{ code: "required" }] }),
),
).toBe(false);
expect(
isRejectedLogin(
JSON.stringify({
...rejected,
data: { accessToken: "unexpected-token" },
}),
),
).toBe(false);
expect(isRejectedLogin(JSON.stringify({ ...rejected, data: { accessToken: "" } }))).toBe(
false,
);
expect(
isRejectedLogin(
JSON.stringify({
code: 50000,
message: 'fake {"code":"invalid_credentials"}',
data: null,
}),
),
).toBe(false);
expect(isRejectedLogin("not json")).toBe(false);
});
// Доменный код обязан совпадать с тем, который объявляет админка.
test("код причины отказа совпадает с constant.ErrCodeInvalidCredentials", () => {
const goErrors = fs.readFileSync(
path.join(REPO_ROOT, "apps", "model", "constant", "error.go"),
"utf8"
"utf8",
);
const declared = goErrors.match(
/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/,
);
const declared = goErrors.match(/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/);
expect(declared).not.toBeNull();
expect(smoke()).toContain(`INVALID_CREDENTIALS_CODE = "${declared![1]}"`);
});
@@ -406,7 +543,9 @@ describe("smoke выполняет настоящий вход в панель",
// acceptance.sh и в codeOf во frontend-contract.test.ts.
expect(codeOf(source)).not.toContain("definitely-not-the-admin-password");
expect(source).toContain('randomBytes(24).toString("base64url")');
expect(source).toContain("negative login probe accidentally used the real admin password");
expect(source).toContain(
"negative login probe accidentally used the real admin password",
);
});
// Bootstrap-секрет читается ПАРСЕРОМ того же формата, которым он написан.
@@ -419,7 +558,9 @@ describe("smoke выполняет настоящий вход в панель",
const source = smoke();
expect(source).toContain("readBootstrapAdminSecret");
expect(source).toContain("parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))");
expect(source).toContain(
"parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))",
);
// Извлечения значения шеллом не остаётся ни одного. Проверки НАЛИЧИЯ
// ключей (`grep -q '^ADMIN_USER='`) при этом законны и остаются: они
orchestrator/test/release-rollover.test.ts
+16 -10
View File
@@ -5,7 +5,7 @@ import {
HYSTERIA_HASHES_ASSET,
HYSTERIA_LINUX_AMD64_ASSET,
selectLatestStableRelease,
type GithubRelease
type GithubRelease,
} from "../src/build/hysteriaRelease";
function assetUrl(tag: string, name: string): string {
@@ -21,13 +21,13 @@ function release(tag: string): GithubRelease {
assets: [
{
name: HYSTERIA_LINUX_AMD64_ASSET,
browser_download_url: assetUrl(tag, HYSTERIA_LINUX_AMD64_ASSET)
browser_download_url: assetUrl(tag, HYSTERIA_LINUX_AMD64_ASSET),
},
{
name: HYSTERIA_HASHES_ASSET,
browser_download_url: assetUrl(tag, HYSTERIA_HASHES_ASSET)
}
]
browser_download_url: assetUrl(tag, HYSTERIA_HASHES_ASSET),
},
],
};
}
@@ -63,7 +63,7 @@ describe("install-time никогда не резолвит latest", () => {
["commands", "install.ts"],
["steps", "hysteria.ts"],
["lib", "packageMeta.ts"],
["commands", "reconfigure.ts"]
["commands", "reconfigure.ts"],
];
test("install-time код не импортирует build-time резолвер", () => {
@@ -83,13 +83,19 @@ describe("install-time никогда не резолвит latest", () => {
test("установка берёт версию, url и sha256 только из metadata пакета", () => {
const install = srcFile("commands", "install.ts");
expect(install).toContain('readPackageValue(options.packageDir, "hysteria.version"');
expect(install).toContain('readPackageValue(options.packageDir, "hysteria.url"');
expect(install).toContain('readPackageValue(options.packageDir, "hysteria.sha256"');
for (const key of ["hysteria.version", "hysteria.url", "hysteria.sha256"]) {
expect(install).toMatch(
new RegExp(
`readPackageValue\\(\\s*options\\.packageDir,\\s*"${key.replace(".", "\\.")}"`,
),
);
}
});
test("отсутствие любой части lock-метаданных прерывает установку", () => {
expect(srcFile("commands", "install.ts")).toContain("missing Hysteria lock metadata in package");
expect(srcFile("commands", "install.ts")).toContain(
"missing Hysteria lock metadata in package",
);
});
test("установленный бинарник сверяется с закреплённой версией", () => {
orchestrator/test/rollback-mandatory.test.ts
+58 -27
View File
@@ -25,7 +25,10 @@ import { persistFailureState, runRollbackStages } from "../src/lib/rollback";
// Пути считаются от файла теста, а не от cwd: `bun test` запускается и из корня
// репозитория (сборка), и из orchestrator/ (разработчик).
function source(relativeToSrc: string): string {
return readFileSync(join(import.meta.dir, "..", "src", relativeToSrc), "utf8");
return readFileSync(
join(import.meta.dir, "..", "src", relativeToSrc),
"utf8",
);
}
describe("стадии отката независимы", () => {
@@ -33,7 +36,7 @@ describe("стадии отката независимы", () => {
const executed: string[] = [];
const failures = await runRollbackStages([
{ name: "firewall", run: async () => void executed.push("firewall") },
{ name: "services", run: async () => void executed.push("services") }
{ name: "services", run: async () => void executed.push("services") },
]);
expect(executed).toEqual(["firewall", "services"]);
@@ -49,10 +52,13 @@ describe("стадии отката независимы", () => {
run: async () => {
executed.push("firewall");
throw new Error("nft: command failed");
}
},
},
{ name: "restore configuration", run: async () => void executed.push("restore") },
{ name: "stop services", run: async () => void executed.push("stop") }
{
name: "restore configuration",
run: async () => void executed.push("restore"),
},
{ name: "stop services", run: async () => void executed.push("stop") },
]);
expect(executed).toEqual(["firewall", "restore", "stop"]);
@@ -67,15 +73,15 @@ describe("стадии отката независимы", () => {
name: "firewall",
run: async () => {
throw new Error("first");
}
},
},
{ name: "healthy", run: async () => undefined },
{
name: "restore configuration",
run: async () => {
throw new Error("second");
}
}
},
},
]);
expect(failures).toHaveLength(2);
@@ -91,14 +97,14 @@ describe("стадии отката независимы", () => {
name: "a",
run: async () => {
throw new Error("boom");
}
},
},
{
name: "b",
run: async () => {
throw new Error("boom");
}
}
},
},
]);
expect(failures).toHaveLength(2);
});
@@ -109,8 +115,8 @@ describe("стадии отката независимы", () => {
name: "weird",
run: async () => {
throw "строковая ошибка";
}
}
},
},
]);
expect(failures[0]).toContain("строковая ошибка");
});
@@ -135,7 +141,7 @@ describe("состояние отказа пишется best effort", () => {
await expect(
persistFailureState(async () => {
throw new Error("ENOSPC: no space left on device");
})
}),
).resolves.toBeUndefined();
});
});
@@ -173,7 +179,10 @@ describe("install: откат обязателен после операцион
// Прямых await-вызовов отката в теле rollbackFailedInstall быть не должно:
// именно они и образовывали отменяемую цепочку.
const start = installSource.indexOf("async function rollbackFailedInstall");
const body = installSource.slice(start, installSource.indexOf("export async function install"));
const body = installSource.slice(
start,
installSource.indexOf("export async function install"),
);
expect(body).toContain("await rollbackFirewallNow(context)");
// Вызов существует только внутри стадии.
const firewallAt = body.indexOf("await rollbackFirewallNow(context)");
@@ -182,14 +191,19 @@ describe("install: откат обязателен после операцион
});
test("остановка сервисов остаётся отдельными стадиями", () => {
for (const stage of ["stop services", "disable services", "reset failed services"]) {
for (const stage of [
"stop services",
"disable services",
"reset failed hysteria-server",
"reset failed hy2xs-admin",
]) {
expect(installSource).toContain(`name: "${stage}"`);
}
});
test("чужие сервисы по-прежнему не трогаются", () => {
expect(installSource).toContain(
"systemd units were not deployed by this operation, leaving services untouched"
"systemd units were not deployed by this operation, leaving services untouched",
);
});
});
@@ -202,7 +216,7 @@ describe("reconfigure: откат обязателен после операци
// выполняться ВНУТРИ persistFailureState, в какую бы строку его ни перенёс
// редактор.
const wrapped = reconfigureSource.match(
/await persistFailureState\(\(\) =>\s*markPhase\(context,\s*classifyReconfigureFailure\(ownership, error\), message\)\s*\)/
/await persistFailureState\(\(\) =>\s*markPhase\(context,\s*classifyReconfigureFailure\(ownership, error\), message\)\s*\)/,
);
expect(wrapped).not.toBeNull();
});
@@ -222,8 +236,12 @@ describe("reconfigure: откат обязателен после операци
// Регрессия: отказ rollbackFirewallNow отменял rollbackCurrentState целиком.
test("порядок сохранён: сначала firewall, затем конфиги", () => {
const firewall = reconfigureSource.indexOf("await rollbackFirewallNow(context)");
const restore = reconfigureSource.indexOf("await rollbackCurrentState(context)");
const firewall = reconfigureSource.indexOf(
"await rollbackFirewallNow(context)",
);
const restore = reconfigureSource.indexOf(
"await rollbackCurrentState(context)",
);
const stages = reconfigureSource.indexOf("await runRollbackStages(stages)");
expect(firewall).toBeGreaterThan(-1);
expect(firewall).toBeLessThan(restore);
@@ -242,14 +260,19 @@ describe("reconfigure: откат обязателен после операци
const start = reconfigureSource.indexOf("function restoreStages(");
const body = reconfigureSource.slice(
start,
reconfigureSource.indexOf("async function rollbackCurrentState")
reconfigureSource.indexOf("async function rollbackCurrentState"),
);
const muted = body
.split(/\r?\n/)
.filter((line) => line.includes("runMutatingVisible`"))
.filter((line) => line.includes("|| true") || line.includes("2>/dev/null"));
.filter(
(line) => line.includes("|| true") || line.includes("2>/dev/null"),
);
expect(muted, `восстановление снова скрывает ошибки: ${muted.join("; ")}`).toEqual([]);
expect(
muted,
`восстановление снова скрывает ошибки: ${muted.join("; ")}`,
).toEqual([]);
});
test("восстановление разбито на независимые стадии", () => {
@@ -260,7 +283,7 @@ describe("reconfigure: откат обязателен после операци
"restore nftables files",
"apply restored ruleset",
"reload systemd units",
"restart services"
"restart services",
]) {
expect(reconfigureSource).toContain(`"${stage}"`);
}
@@ -269,7 +292,9 @@ describe("reconfigure: откат обязателен после операци
// Неполное восстановление обязано доходить до итоговой сводки как отказ.
test("частичное восстановление не выдаётся за успешное", () => {
expect(reconfigureSource).toContain("restoreFailures.length > 0");
expect(reconfigureSource).toContain("восстановление состояния выполнено не полностью");
expect(reconfigureSource).toContain(
"восстановление состояния выполнено не полностью",
);
});
});
@@ -282,12 +307,18 @@ describe("install: команды отката не глушат собстве
// них не выполнялось никогда.
test("стадии остановки сервисов не подавляют код возврата", () => {
const start = installSource.indexOf("async function rollbackFailedInstall");
const body = installSource.slice(start, installSource.indexOf("export async function install"));
const body = installSource.slice(
start,
installSource.indexOf("export async function install"),
);
const muted = body
.split(/\r?\n/)
.filter((line) => line.includes("runMutatingVisible`"))
.filter((line) => line.includes("|| true"));
expect(muted, `стадии отката снова скрывают ошибки: ${muted.join("; ")}`).toEqual([]);
expect(
muted,
`стадии отката снова скрывают ошибки: ${muted.join("; ")}`,
).toEqual([]);
});
});
orchestrator/test/systemd-cleanup.test.ts
+116
View File
@@ -0,0 +1,116 @@
import { describe, expect, test } from "bun:test";
import {
resetFailedUnit,
type ResetFailedDependencies,
} from "../src/lib/systemd";
import type { MutationResult } from "../src/lib/process";
import { runRollbackStages } from "../src/lib/rollback";
function result(exitCode: number, stdout = "", stderr = ""): MutationResult {
return { exitCode, stdout, stderr };
}
function dependencies(
reset: MutationResult,
inspect: MutationResult,
calls: string[] = [],
): ResetFailedDependencies {
return {
reset: async (unit) => {
calls.push(`reset:${unit}`);
return reset;
},
inspect: async (unit) => {
calls.push(`inspect:${unit}`);
return inspect;
},
};
}
describe("systemd rollback cleanup", () => {
test("успешный reset-failed подтверждается наблюдением", async () => {
const calls: string[] = [];
await expect(
resetFailedUnit(
"hy2xs-admin",
dependencies(
result(0),
result(0, "LoadState=loaded\nActiveState=inactive\n"),
calls,
),
),
).resolves.toBeUndefined();
expect(calls).toEqual(["reset:hy2xs-admin", "inspect:hy2xs-admin"]);
});
test("уже выгруженный юнит является успешным конечным состоянием", async () => {
await expect(
resetFailedUnit(
"hy2xs-admin",
dependencies(
result(5, "", "Unit hy2xs-admin.service not loaded."),
result(0, "LoadState=not-found\nActiveState=inactive\n"),
),
),
).resolves.toBeUndefined();
});
test("уже выгруженный юнит не создаёт manual-recovery failure", async () => {
const failures = await runRollbackStages([
{
name: "reset failed hy2xs-admin",
run: async () =>
resetFailedUnit(
"hy2xs-admin",
dependencies(
result(5, "", "Unit hy2xs-admin.service not loaded."),
result(0, "LoadState=not-found\nActiveState=inactive\n"),
),
),
},
]);
expect(failures).toEqual([]);
});
test("решение не зависит от английского текста stderr", async () => {
await expect(
resetFailedUnit(
"hysteria-server",
dependencies(
result(5, "", "модуль не загружен"),
result(0, "LoadState=not-found\nActiveState=inactive\n"),
),
),
).resolves.toBeUndefined();
});
test("сохранившееся failed-состояние остаётся настоящим отказом", async () => {
await expect(
resetFailedUnit(
"hysteria-server",
dependencies(
result(1, "", "access denied"),
result(0, "LoadState=loaded\nActiveState=failed\n"),
),
),
).rejects.toThrow("remains failed");
});
test("ошибка наблюдения не выдаётся за успешную уборку", async () => {
await expect(
resetFailedUnit(
"hysteria-server",
dependencies(result(1), result(1, "", "Failed to connect to bus")),
),
).rejects.toThrow("cannot verify systemd state");
});
test("неполный ответ systemctl show отклоняется fail-closed", async () => {
await expect(
resetFailedUnit(
"hysteria-server",
dependencies(result(0), result(0, "LoadState=loaded\n")),
),
).rejects.toThrow("did not return LoadState and ActiveState");
});
});