prod/HY2XS_flamy
5
1
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 6 Wiki Activity

fix(installer): harden admin smoke and rollback cleanup

Browse Source
This commit is contained in:
Crimson
2026-09-07 22:39:30 +05:00
parent bf10810cfc
commit 079094591b
15 changed files with 1095 additions and 261 deletions
Download Patch File Download Diff File Expand all files Collapse all files
orchestrator/test/admin-credentials.test.ts
+219 -78
View File
@@ -12,8 +12,14 @@ import {
ADMIN_USERNAME_MAX_LENGTH,
ADMIN_USERNAME_MIN_LENGTH,
ADMIN_USERNAME_PATTERN,
isValidAdminPassword
isValidAdminPassword,
} from "../src/config/profile";
import {
ADMIN_LOGIN_SMOKE_USER_AGENT,
buildAdminLoginRequest,
isRejectedLogin,
isSuccessfulLogin,
} from "../src/steps/smoke";
import { baselineConfig, envText } from "./fixtures";
/**
@@ -31,7 +37,7 @@ const REPO_ROOT = path.resolve(import.meta.dir, "..", "..");
function goContract(): string {
return fs.readFileSync(
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
"utf8"
"utf8",
);
}
@@ -41,7 +47,9 @@ function goConst(name: string): string {
if (numeric) {
return numeric[1];
}
const backticked = source.match(new RegExp(`\\b${name}\\s*=\\s*\`([^\`]*)\``));
const backticked = source.match(
new RegExp(`\\b${name}\\s*=\\s*\`([^\`]*)\``),
);
if (backticked) {
return backticked[1];
}
@@ -68,14 +76,24 @@ describe("контракт учётных данных совпадает с а
// Go-бинарника и импортировать его константы не может. Проверяется поэтому
// не отсутствие копии, а её совпадение с оригиналом — сверкой по исходнику.
test("границы совпадают с credential.Admin*", () => {
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(goConst("AdminUsernameMinLength"));
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(
goConst("AdminUsernameMinLength"),
);
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(
goConst("AdminUsernameMaxLength"),
);
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(
goConst("AdminPasswordMinLength"),
);
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(
goConst("AdminPasswordMaxLength"),
);
// Предел bcrypt — ОТДЕЛЬНАЯ константа и отдельная сверка: пока его тут не
// было, оркестратор пропускал в hy2xs.env пароль, который админка не могла
// захешировать, и установка заканчивалась сервером без администратора.
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(
goConst("AdminPasswordMaxBytes"),
);
});
test("набор символов логина совпадает с классом из Go", () => {
@@ -83,8 +101,11 @@ describe("контракт учётных данных совпадает с а
// raw-строке, в TypeScript — в обычной, где обратный слеш удваивается.
const declared = goConst("adminUsernameCharacterClass");
const mirrored = ADMIN_USERNAME_PATTERN.source.replace(
new RegExp(`^\\^\\[|\\]\\{${ADMIN_USERNAME_MIN_LENGTH},${ADMIN_USERNAME_MAX_LENGTH}\\}\\$$`, "g"),
""
new RegExp(
`^\\^\\[|\\]\\{${ADMIN_USERNAME_MIN_LENGTH},${ADMIN_USERNAME_MAX_LENGTH}\\}\\$$`,
"g",
),
"",
);
expect(mirrored).toBe(declared);
});
@@ -105,7 +126,10 @@ describe("контракт учётных данных совпадает с а
test("путь формы входа собран из базового пространства имён API", () => {
expect(ADMIN_LOGIN_PATH).toBe("/api/auth/login");
const router = fs.readFileSync(path.join(REPO_ROOT, "apps", "router", "auth.go"), "utf8");
const router = fs.readFileSync(
path.join(REPO_ROOT, "apps", "router", "auth.go"),
"utf8",
);
expect(router).toContain('auth.POST("/login"');
expect(router).toContain('authApi.Group("/auth")');
});
@@ -122,66 +146,81 @@ describe("HY2XS_ADMIN_USER проверяется при разборе окру
// шесть. Установка проходила целиком, а панель не впускала никого.
test("значение по умолчанию не короче минимума", () => {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_USER: null }));
expect(config.adminUser.length).toBeGreaterThanOrEqual(ADMIN_USERNAME_MIN_LENGTH);
expect(config.adminUser.length).toBeGreaterThanOrEqual(
ADMIN_USERNAME_MIN_LENGTH,
);
});
// Умолчание обязано совпадать с запасным значением админки: иначе установка
// без явного HY2XS_ADMIN_USER создаёт одну учётную запись, а админка при
// повреждённом окружении ищет другую.
test("умолчание совпадает с запасным значением админки и с packaged env", () => {
const dao = fs.readFileSync(path.join(REPO_ROOT, "apps", "dao", "sqlite.go"), "utf8");
const dao = fs.readFileSync(
path.join(REPO_ROOT, "apps", "dao", "sqlite.go"),
"utf8",
);
expect(dao).toContain('adminUser = "hy2xsadmin"');
const packaged = fs.readFileSync(
path.join(REPO_ROOT, "package", "config", "hy2xs.env"),
"utf8"
"utf8",
);
expect(packaged).toContain("HY2XS_ADMIN_USER=hy2xsadmin");
});
test("слишком короткий логин роняет установку", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
/invalid HY2XS_ADMIN_USER/
/invalid HY2XS_ADMIN_USER/,
);
});
test("слишком длинный логин роняет установку", () => {
expect(() =>
baselineConfig({ HY2XS_ADMIN_USER: "a".repeat(ADMIN_USERNAME_MAX_LENGTH + 1) })
baselineConfig({
HY2XS_ADMIN_USER: "a".repeat(ADMIN_USERNAME_MAX_LENGTH + 1),
}),
).toThrow(/invalid HY2XS_ADMIN_USER/);
});
test("логин с пробелом, кириллицей или переводом строки роняет установку", () => {
for (const rejected of ["hy2xs admin", "админ12", "hy2xs\tadmin"]) {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: rejected })).toThrow(
/invalid HY2XS_ADMIN_USER/
/invalid HY2XS_ADMIN_USER/,
);
}
});
test("отказ называет и границы, и набор символов", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
new RegExp(`${ADMIN_USERNAME_MIN_LENGTH}.*${ADMIN_USERNAME_MAX_LENGTH}`)
new RegExp(`${ADMIN_USERNAME_MIN_LENGTH}.*${ADMIN_USERNAME_MAX_LENGTH}`),
);
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(
/a-z A-Z 0-9/,
);
expect(() => baselineConfig({ HY2XS_ADMIN_USER: "admin" })).toThrow(/a-z A-Z 0-9/);
});
// Значение уезжает в hy2xs.env и оттуда в базу. Пробел по краям превращался
// бы в часть имени учётной записи, и вход отказывал бы «неверным логином» —
// отказом, который невозможно связать с причиной.
test("окружающие пробелы снимаются, а не уезжают в имя учётной записи", () => {
expect(baselineConfig({ HY2XS_ADMIN_USER: " hy2xsadmin " }).adminUser).toBe("hy2xsadmin");
expect(
baselineConfig({ HY2XS_ADMIN_USER: " hy2xsadmin " }).adminUser,
).toBe("hy2xsadmin");
});
test("точка в логине принимается: набор не сужается задним числом", () => {
expect(baselineConfig({ HY2XS_ADMIN_USER: "admin.ops" }).adminUser).toBe("admin.ops");
expect(baselineConfig({ HY2XS_ADMIN_USER: "admin.ops" }).adminUser).toBe(
"admin.ops",
);
});
});
describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разборе окружения", () => {
test("сгенерированный пароль проходит контракт панели", () => {
for (const raw of ["", "__GENERATE__"]) {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: raw }));
const config = parseRuntimeEnv(
envText({ HY2XS_ADMIN_INITIAL_PASSWORD: raw }),
);
const length = [...config.adminInitialPassword].length;
expect(length).toBeGreaterThanOrEqual(ADMIN_PASSWORD_MIN_LENGTH);
expect(length).toBeLessThanOrEqual(ADMIN_PASSWORD_MAX_LENGTH);
@@ -189,26 +228,31 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
});
test("слишком короткий пароль роняет установку", () => {
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: "12345" })).toThrow(
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
);
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: "12345" }),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
});
test("слишком длинный пароль роняет установку", () => {
expect(() =>
baselineConfig({
HY2XS_ADMIN_INITIAL_PASSWORD: "a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1)
})
HY2XS_ADMIN_INITIAL_PASSWORD: "a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
}),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
});
// Набор символов пароля сервером не ограничивается, и оркестратор не имеет
// права быть строже: отвергнутый здесь пароль сервер принял бы.
test("пароль из произвольных символов принимается", () => {
for (const password of ["p@ssw0rd?!", "пароль-администратора", "a b c d e f"]) {
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: password }).adminInitialPassword).toBe(
password
);
for (const password of [
"p@ssw0rd?!",
"пароль-администратора",
"a b c d e f",
]) {
expect(
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: password })
.adminInitialPassword,
).toBe(password);
}
});
@@ -226,8 +270,12 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
test("границы пароля проверяются и в символах, и в байтах", () => {
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
// ниже проверяли бы не то, что написано.
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(
ADMIN_PASSWORD_MAX_BYTES,
);
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(
ADMIN_PASSWORD_MAX_BYTES,
);
const accepted = [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
@@ -235,13 +283,14 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
"я".repeat(36),
"😀".repeat(18),
"abcde ",
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH)
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH),
];
for (const password of accepted) {
expect(isValidAdminPassword(password)).toBe(true);
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }).adminInitialPassword).toBe(
password
);
expect(
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })
.adminInitialPassword,
).toBe(password);
}
const rejected = [
@@ -249,13 +298,13 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
"я".repeat(37),
"😀".repeat(19),
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH),
];
for (const password of rejected) {
expect(isValidAdminPassword(password)).toBe(false);
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })).toThrow(
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
);
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }),
).toThrow(/invalid HY2XS_ADMIN_INITIAL_PASSWORD/);
}
});
@@ -264,11 +313,13 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
// отправило бы оператора сокращать пароль, отвергнутый не за это.
test("отказ называет и символы, и байты", () => {
const tooManyBytes = `"${"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)}"`;
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`)
);
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`)
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes }),
).toThrow(new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`));
expect(() =>
baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes }),
).toThrow(
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`),
);
});
@@ -282,7 +333,9 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
// генератор — такой же источник значения, как и оператор.
test("сгенерированный пароль проходит контракт целиком", () => {
for (let i = 0; i < 50; i += 1) {
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }));
const config = parseRuntimeEnv(
envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }),
);
expect(isValidAdminPassword(config.adminInitialPassword)).toBe(true);
}
});
@@ -290,7 +343,10 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
describe("smoke выполняет настоящий вход в панель", () => {
const smoke = () =>
fs.readFileSync(path.join(REPO_ROOT, "orchestrator", "src", "steps", "smoke.ts"), "utf8");
fs.readFileSync(
path.join(REPO_ROOT, "orchestrator", "src", "steps", "smoke.ts"),
"utf8",
);
// Главный барьер этого релиза. Пока установка отвечала на вопрос «работает ли
// панель» только фактом LISTEN и ответом /healthz, RC2 объявлял успешной
@@ -303,23 +359,38 @@ describe("smoke выполняет настоящий вход в панель",
});
test("успех определяется конвертом ответа и выданным токеном", () => {
// Админка отвечает HTTP 200 и на отказ: проверка по коду HTTP приняла бы за
// успешный вход любой отказ.
const source = smoke();
expect(source).toMatch(/"code"\\s\*:\\s\*20000/);
expect(source).toMatch(/accessToken/);
expect(
isSuccessfulLogin(
JSON.stringify({
code: 20000,
type: "ok",
data: { accessToken: "jwt", tokenType: "Bearer" },
}),
),
).toBe(true);
expect(
isSuccessfulLogin(
JSON.stringify({ code: 50000, data: { accessToken: "jwt" } }),
),
).toBe(false);
expect(
isSuccessfulLogin(
JSON.stringify({ code: 20000, data: { accessToken: "" } }),
),
).toBe(false);
expect(isSuccessfulLogin("not json")).toBe(false);
});
test("учётные данные не попадают ни в команду ошибки, ни в сообщение", () => {
const source = smoke();
const start = source.indexOf("async function assertAdminLoginWorks");
expect(start).toBeGreaterThan(-1);
const body = source.slice(start, source.indexOf("\nfunction isSuccessfulLogin"));
const body = source.slice(start, source.indexOf("\ntype JsonObject"));
// runReadOnly (без Secret) кладёт команду в текст ошибки, а команда несёт
// пароль администратора.
expect(body).not.toMatch(/(?<!Secret)runReadOnly`/);
expect(body).toMatch(/runReadOnlySecret`/);
expect(body.match(/runReadOnlySecret`/g)).toHaveLength(1);
// Подстановка в tagged template — это НЕ утечка: значения там проходят
// через shellQuote и в текст ошибки не попадают. Утечкой была бы подстановка
@@ -327,12 +398,17 @@ describe("smoke выполняет настоящий вход в панель",
// в журнал установки и в diagnostics-бандл.
const messages = [
...body.matchAll(/\binfo\(([\s\S]*?)\);/g),
...body.matchAll(/new Error\(([\s\S]*?)\);/g)
...body.matchAll(/new Error\(([\s\S]*?)\);/g),
].map((match) => match[1]);
expect(messages.length).toBeGreaterThan(0);
for (const message of messages) {
for (const secret of ["adminPassword", "payload", "response", "body}"]) {
for (const secret of [
"adminPassword",
"request.body",
"response",
"body}",
]) {
expect(message).not.toContain(`\${${secret}`);
}
}
@@ -343,11 +419,42 @@ describe("smoke выполняет настоящий вход в панель",
expect(body).toContain("describeIssuedToken(response)");
});
test("тело запроса собирается JSON.stringify, а не интерполяцией", () => {
// Пароль задаёт оператор: кавычка или обратный слеш в нём сломали бы сам
// запрос, и проверка объявила бы рабочую установку сломанной.
const body = smoke();
expect(body).toContain("JSON.stringify({ username: adminUser, pass: adminPassword })");
test("обе пробы используют один wire-helper", () => {
const source = codeOf(smoke());
expect(source.match(/requestAdminLogin\(/g)).toHaveLength(3); // два вызова и определение
const helperStart = source.indexOf("async function requestAdminLogin");
const helper = source.slice(
helperStart,
source.indexOf("type JsonObject", helperStart),
);
expect(helperStart).toBeGreaterThan(-1);
expect(helper.match(/runReadOnlySecret`curl/g)).toHaveLength(1);
});
test("wire-тело содержит pass, а не несовместимый alias password", () => {
const request = buildAdminLoginRequest('admin"name', "pass\\word ");
expect(JSON.parse(request.body)).toEqual({
username: 'admin"name',
pass: "pass\\word ",
});
expect(request.body).not.toContain('"password"');
expect(request.contentType).toBe("application/json");
});
test("UA smoke проходит действующее scanner-правило", () => {
const filter = fs.readFileSync(
path.join(REPO_ROOT, "apps", "middleware", "filter.go"),
"utf8",
);
const declared = filter.match(/regexp\.MatchString\(`\(\?i\)([^`]+)`/);
expect(declared).not.toBeNull();
const scannerPattern = new RegExp(declared![1], "i");
expect(scannerPattern.test("curl/8.10.1")).toBe(true);
expect(scannerPattern.test(ADMIN_LOGIN_SMOKE_USER_AGENT)).toBe(false);
expect(buildAdminLoginRequest("hy2xsadmin", "secret1").userAgent).toBe(
ADMIN_LOGIN_SMOKE_USER_AGENT,
);
});
test("отрицательная проба не зависит от режима операции", () => {
@@ -357,7 +464,10 @@ describe("smoke выполняет настоящий вход в панель",
// дефект RC2.
const source = smoke();
const start = source.indexOf("async function assertAdminLoginWorks");
const body = source.slice(start, source.indexOf("\nfunction isSuccessfulLogin"));
const body = source.slice(
start,
source.indexOf("\nfunction isSuccessfulLogin"),
);
const rejected = body.indexOf("admin login rejects wrong credentials");
const modeGate = body.indexOf('context.mode !== "install"');
@@ -371,26 +481,53 @@ describe("smoke выполняет настоящий вход в панель",
// закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
// поэтому «неверные учётные данные отвергнуты» этой проверкой не следовало.
test("отрицательная проба сверяет конверт отказа, а не код HTTP", () => {
const source = smoke();
expect(source).toContain("isRejectedLogin");
// Код конверта отказа, доменная причина и ОТСУТСТВИЕ токена — три признака,
// и каждый закрывает свой способ ошибиться.
expect(source).toMatch(/"code"\\s\*:\\s\*50000/);
expect(source).toContain('INVALID_CREDENTIALS_CODE = "invalid_credentials"');
const start = source.indexOf("function isRejectedLogin");
const body = source.slice(start, source.indexOf("\n/**", start));
expect(body).toContain("!/\"accessToken\"");
const rejected = {
code: 50000,
type: "no",
errors: [{ code: "invalid_credentials", message: "wrong password" }],
data: null,
};
expect(isRejectedLogin(JSON.stringify(rejected))).toBe(true);
expect(isRejectedLogin(JSON.stringify({ ...rejected, code: 50001 }))).toBe(
false,
);
expect(
isRejectedLogin(
JSON.stringify({ ...rejected, errors: [{ code: "required" }] }),
),
).toBe(false);
expect(
isRejectedLogin(
JSON.stringify({
...rejected,
data: { accessToken: "unexpected-token" },
}),
),
).toBe(false);
expect(isRejectedLogin(JSON.stringify({ ...rejected, data: { accessToken: "" } }))).toBe(
false,
);
expect(
isRejectedLogin(
JSON.stringify({
code: 50000,
message: 'fake {"code":"invalid_credentials"}',
data: null,
}),
),
).toBe(false);
expect(isRejectedLogin("not json")).toBe(false);
});
// Доменный код обязан совпадать с тем, который объявляет админка.
test("код причины отказа совпадает с constant.ErrCodeInvalidCredentials", () => {
const goErrors = fs.readFileSync(
path.join(REPO_ROOT, "apps", "model", "constant", "error.go"),
"utf8"
"utf8",
);
const declared = goErrors.match(
/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/,
);
const declared = goErrors.match(/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/);
expect(declared).not.toBeNull();
expect(smoke()).toContain(`INVALID_CREDENTIALS_CODE = "${declared![1]}"`);
});
@@ -406,7 +543,9 @@ describe("smoke выполняет настоящий вход в панель",
// acceptance.sh и в codeOf во frontend-contract.test.ts.
expect(codeOf(source)).not.toContain("definitely-not-the-admin-password");
expect(source).toContain('randomBytes(24).toString("base64url")');
expect(source).toContain("negative login probe accidentally used the real admin password");
expect(source).toContain(
"negative login probe accidentally used the real admin password",
);
});
// Bootstrap-секрет читается ПАРСЕРОМ того же формата, которым он написан.
@@ -419,7 +558,9 @@ describe("smoke выполняет настоящий вход в панель",
const source = smoke();
expect(source).toContain("readBootstrapAdminSecret");
expect(source).toContain("parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))");
expect(source).toContain(
"parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))",
);
// Извлечения значения шеллом не остаётся ни одного. Проверки НАЛИЧИЯ
// ключей (`grep -q '^ADMIN_USER='`) при этом законны и остаются: они