fix(fix3): runtime env hardening and public endpoint source-of-truth

2026-04-28 04:45:43 +05:00
parent 96d9bbcece
commit 12c65c8e31
23 changed files with 131 additions and 238 deletions
@@ -68,6 +68,7 @@ Hysteria2 — основной транспортный компонент се

 Инварианты:
 - `acme` -> только `acme` block в конфиге;
+- `acme` block обязан содержать `type: http|tls|dns` из runtime env (`HY2XS_ACME_TYPE`);
 - `file` -> только `tls.cert`/`tls.key` block;
 - `self_signed_dev` -> только dev сценарии.

@@ -111,3 +112,4 @@ Hysteria2 — основной транспортный компонент се
 7. bundled UI работает поверх актуального состояния сервера
 8. `trafficStats.secret` отдельный от `JWT_SECRET`
 9. IPv6 listen не используется
+10. публичные клиентские endpoint/URL берутся из `HY2XS_PUBLIC_HOST` + `HY2XS_PUBLIC_PORT`, а не из `listen`/request-host