fix(admin): достроить вторые половины отзыва доступа, лимита и журнала

Разбор кода на c0a43ae со сверкой с официальной документацией Hysteria 2.
Общая тема: операции, у которых была только одна из двух необходимых половин.

Отзыв доступа. Запись disabled=1 видит лишь выборка в Hysteria2Auth, то есть
закрывает БУДУЩИЕ обращения к HTTP-auth; установленная QUIC-сессия живёт своей
жизнью и сама не разрывается. После «Отключить» пир пользовался доступом сколько
угодно долго, а панель показывала его отключённым. Появился DisconnectPeers —
только официальный Traffic Stats /kick, без записи в базу; прежний Hysteria2Kick
вместе с разрывом проставлял banned_until и потому для отключения не годился.
Порядок «запись, затем разрыв» обратному не подлежит и доказан снимком базы в
момент прихода /kick. Неудача разрыва не откатывает disabled и сообщается кодом
peer_disconnect_failed: обычная ошибка означала бы для оператора вывод, прямо
противоположный истине. KickPeer переведён на тот же примитив — он писал
banned_until дважды и мог ответить чистым отказом уже в применённом состоянии.

Ограничение устройств. Отказ /online обрабатывался возвратом успеха
авторизации, то есть недоступность 127.0.0.1 превращала объявленный лимит в
безлимит. Вторая половина дыры была тише: Hysteria2Online отдавал пустую карту
БЕЗ ошибки, когда systemd отвечал «служба неактивна», — а этот ответ не
отличается от «спросить systemctl не удалось». Пути разделены: терпимый для
отображения, строгий для решения о доступе. Hysteria2IsRunning убран с путей
принятия решений совсем.

Журнал. entry.Info() вызывался без аргумента, и logrus писал "msg":"" для
каждого запроса — пустой столбец на экране был точным отражением файла. Ветка
«файла ещё нет» отвечала голым массивом вместо {records,total}, поэтому на
свежей установке страница системных логов не работала вовсе. Битая строка
вызывала vo.Fail И continue: клиент получал два JSON-документа подряд.

Панель. Общий LogViewer и utils/download.ts (копий скачивания было четыре, две
ставили запрос вне try и глушили причину); меню на command с быстрым
включением/отключением; popper-style у подсказки; kick с подтверждением и
названным сроком; отмена подтверждений перестала быть ошибкой. Отдельно:
skipErrorToast гасил и транспортный отказ, при том что страницы писали
«перехватчик уже показал» и молчали, — обрыв связи не показывал ничего.

Закреплено go-тестами против настоящего HTTP, контрактными тестами панели и
двумя гейтами приёмки. Ручная часть — в
docs/acceptance/2026-09-01-v1.0.0-rc2-preflight-findings.md.

apps/frontend/src/lang/package/en.ts

@@ -154,12 +154,18 @@ export default {
       credential_format: "“{field}”: contains characters that are not allowed",
       rule_violated: "“{field}”: value is not acceptable",
       validation_failed: "Validation failed",
-      body_invalid: "Request could not be parsed: check field formats and types",
+      body_invalid:
+        "Request could not be parsed: check field formats and types",
       peer_name_taken: "A peer with this name already exists",
       peer_name_reserved: "This name is reserved for the installer peer",
       peer_bootstrap_identity_locked:
         "The installer peer's name and secret are mirrored in a file on the server and cannot be changed from the panel. Delete the bootstrap peer entirely if it is no longer needed.",
       invalid_credentials: "Wrong username or password",
+      // The phrase must open with what has ALREADY been applied, otherwise it
+      // reads as "the operation failed" and the operator repeats an action
+      // that in fact went through.
+      peer_disconnect_failed:
+        "New connections for this peer are now refused, but its active session could not be terminated: the Hysteria Traffic Stats API is unreachable. An established connection may keep working until the client reconnects. Check the hysteria-server service and retry.",
       import_file_extension: "Import accepts .json files only",
       unauthorized: "Signing in is required",
       session_expired: "Session expired",
@@ -185,8 +191,10 @@ export default {
     secret: "Secret",
     form: {
       namePlaceholder: "client-01",
+      // The character set is stated as service.IsValidPeerName accepts it. The
+      // previous wording described the rule that was in force before EX-03.
       nameHint:
-        "Peer identifier: 6 to 32 characters, latin letters, digits and hyphens. The name becomes part of the auto-generated secret and is shown to the client as the profile name.",
+        "Peer identifier: 6 to 32 characters — latin letters, digits and !@#$%^&*()_+-=. The name becomes part of the auto-generated secret and is shown to the client as the profile name.",
       remarkPlaceholder: "laptop",
       remarkHint: "Optional operator note. It is never shown to the client.",
       secretPlaceholder: "leave empty to generate one",
@@ -230,10 +238,22 @@ export default {
     conAt: "Last connection time",
     createTime: "Create Time",
     releaseSuccess: "Release successful",
-    kick: "Kick",
-    kickTip: "Force user to log off",
-    releaseKick: "Release",
-    releaseKickTip: "Remove offline status",
+    kick: "Ban temporarily",
+    kickTip:
+      "Drop the session and refuse new connections until the ban expires",
+    kickConfirm:
+      "Ban peer “{name}” until {until}? The current session will be dropped and new connections refused until then.",
+    kickSuccess: "Peer banned temporarily",
+    releaseKick: "Lift ban",
+    releaseKickTip: "Lift the temporary ban early",
+    // Disabling and the temporary ban are separate mechanisms: the ban expires
+    // on its own, disabling is only undone by hand.
+    enablePeer: "Enable peer",
+    disablePeer: "Disable peer",
+    disableConfirm:
+      "Disable peer “{name}”? The current session will be dropped and new connections refused until the peer is enabled again.",
+    enableSuccess: "Peer enabled",
+    disableSuccess: "Peer disabled",
     createdAt: "Created at",
     bannedUntil: "Banned until",
     totalTraffic: "Total traffic",
@@ -264,6 +284,7 @@ export default {
     level: "Level",
     message: "Message",
     time: "Time",
+    exportFailed: "Could not export the log",
   },
   errorPage: {
     back: "Back",

apps/frontend/src/lang/package/ru.ts

@@ -163,6 +163,11 @@ export default {
       peer_bootstrap_identity_locked:
         "Имя и секрет пира установщика продублированы в файле на сервере и не меняются через панель. Ненужный bootstrap-пир следует удалить целиком.",
       invalid_credentials: "Неверный логин или пароль",
+      // Фраза обязана начинаться с того, что УЖЕ СДЕЛАНО: иначе оператор
+      // прочитает её как «операция не выполнена» и повторит действие, которое
+      // на самом деле применилось.
+      peer_disconnect_failed:
+        "Новые подключения пира запрещены, но завершить его активную сессию не удалось: Traffic Stats API Hysteria недоступен. Установленное соединение может работать до переподключения клиента. Проверьте состояние службы hysteria-server и повторите действие.",
       import_file_extension: "Импорт принимает только файлы .json",
       unauthorized: "Требуется вход в панель",
       session_expired: "Сессия истекла",
@@ -189,8 +194,12 @@ export default {
     secret: "Секрет",
     form: {
       namePlaceholder: "client-01",
+      // Набор символов назван так, как его понимает service.IsValidPeerName.
+      // Прежняя формулировка «латиница, цифры и дефис» осталась от правила,
+      // действовавшего до EX-03: подсказка обещала более узкий набор, чем
+      // сервер принимает, и оператор не имел причин пробовать остальные.
       nameHint:
-        "Идентификатор пира: от 6 до 32 символов, латиница, цифры и дефис. Имя попадает в автогенерируемый секрет и показывается клиенту как название профиля.",
+        "Идентификатор пира: от 6 до 32 символов — латиница, цифры и знаки !@#$%^&*()_+-=. Имя попадает в автогенерируемый секрет и показывается клиенту как название профиля.",
       remarkPlaceholder: "ноутбук",
       remarkHint: "Необязательная пометка для оператора. Клиент её не видит.",
       secretPlaceholder: "оставьте пустым — сгенерируем",
@@ -239,10 +248,21 @@ export default {
     conAt: "Последнее подключение",
     createTime: "Создано",
     releaseSuccess: "Ограничение снято",
-    kick: "Отключить",
-    kickTip: "Принудительно отключить пользователя",
-    releaseKick: "Снять",
-    releaseKickTip: "Снять офлайн-статус",
+    kick: "Временно заблокировать",
+    kickTip: "Прервать соединение и не пускать до истечения срока",
+    kickConfirm:
+      "Заблокировать пир «{name}» до {until}? Текущее соединение будет разорвано, новые подключения до этого времени приниматься не будут.",
+    kickSuccess: "Пир временно заблокирован",
+    releaseKick: "Снять блокировку",
+    releaseKickTip: "Снять временную блокировку досрочно",
+    // Отключение и временная блокировка — разные механизмы: у блокировки есть
+    // срок, который истекает сам, отключение снимается только руками.
+    enablePeer: "Включить пир",
+    disablePeer: "Отключить пир",
+    disableConfirm:
+      "Отключить пир «{name}»? Текущее соединение будет разорвано, а новые подключения запрещены, пока пир не будет включён обратно.",
+    enableSuccess: "Пир включён",
+    disableSuccess: "Пир отключён",
   },
   config: {
     orchestratorManaged: "Управляется hy2xs-orchestrator reconfigure",
@@ -268,6 +288,7 @@ export default {
     level: "Уровень",
     message: "Сообщение",
     time: "Время",
+    exportFailed: "Не удалось выгрузить журнал",
   },
   errorPage: {
     back: "Назад",