fix(admin): достроить вторые половины отзыва доступа, лимита и журнала

Разбор кода на c0a43ae со сверкой с официальной документацией Hysteria 2.
Общая тема: операции, у которых была только одна из двух необходимых половин.

Отзыв доступа. Запись disabled=1 видит лишь выборка в Hysteria2Auth, то есть
закрывает БУДУЩИЕ обращения к HTTP-auth; установленная QUIC-сессия живёт своей
жизнью и сама не разрывается. После «Отключить» пир пользовался доступом сколько
угодно долго, а панель показывала его отключённым. Появился DisconnectPeers —
только официальный Traffic Stats /kick, без записи в базу; прежний Hysteria2Kick
вместе с разрывом проставлял banned_until и потому для отключения не годился.
Порядок «запись, затем разрыв» обратному не подлежит и доказан снимком базы в
момент прихода /kick. Неудача разрыва не откатывает disabled и сообщается кодом
peer_disconnect_failed: обычная ошибка означала бы для оператора вывод, прямо
противоположный истине. KickPeer переведён на тот же примитив — он писал
banned_until дважды и мог ответить чистым отказом уже в применённом состоянии.

Ограничение устройств. Отказ /online обрабатывался возвратом успеха
авторизации, то есть недоступность 127.0.0.1 превращала объявленный лимит в
безлимит. Вторая половина дыры была тише: Hysteria2Online отдавал пустую карту
БЕЗ ошибки, когда systemd отвечал «служба неактивна», — а этот ответ не
отличается от «спросить systemctl не удалось». Пути разделены: терпимый для
отображения, строгий для решения о доступе. Hysteria2IsRunning убран с путей
принятия решений совсем.

Журнал. entry.Info() вызывался без аргумента, и logrus писал "msg":"" для
каждого запроса — пустой столбец на экране был точным отражением файла. Ветка
«файла ещё нет» отвечала голым массивом вместо {records,total}, поэтому на
свежей установке страница системных логов не работала вовсе. Битая строка
вызывала vo.Fail И continue: клиент получал два JSON-документа подряд.

Панель. Общий LogViewer и utils/download.ts (копий скачивания было четыре, две
ставили запрос вне try и глушили причину); меню на command с быстрым
включением/отключением; popper-style у подсказки; kick с подтверждением и
названным сроком; отмена подтверждений перестала быть ошибкой. Отдельно:
skipErrorToast гасил и транспортный отказ, при том что страницы писали
«перехватчик уже показал» и молчали, — обрыв связи не показывал ничего.

Закреплено go-тестами против настоящего HTTP, контрактными тестами панели и
двумя гейтами приёмки. Ручная часть — в
docs/acceptance/2026-09-01-v1.0.0-rc2-preflight-findings.md.

apps/middleware/log.go

@@ -1,6 +1,7 @@
 package middleware
 
 import (
+	"fmt"
 	"sort"
 	"strings"
 	"time"
@@ -79,13 +80,37 @@ func LogHandler() gin.HandlerFunc {
 		}
 
 		entry := logrus.WithFields(fields)
+		message := RequestLogMessage(c.Request.Method, c.Request.URL.Path, statusCode, latencyTime)
 
 		if statusCode >= 500 {
-			entry.Error()
+			entry.Error(message)
 		} else if statusCode >= 400 {
-			entry.Warn()
+			entry.Warn(message)
 		} else {
-			entry.Info()
+			entry.Info(message)
 		}
 	}
 }
+
+// RequestLogMessage собирает человекочитаемое `msg` записи журнала.
+//
+// Раньше здесь стояли `entry.Error()`, `entry.Warn()` и `entry.Info()` — без
+// аргумента. Поля собирались правильно, но logrus честно записывал `"msg":""`
+// для КАЖДОГО HTTP-запроса, и страница системных логов показывала оператору
+// пустой столбец сообщений. Дефект выглядел как рассогласование модели
+// отображения с форматом файла, а был ровно тем, что backend записал.
+//
+// Строка собирается ИЗ ТЕХ ЖЕ величин, что уже лежат в структурных полях, и
+// не добавляет к ним ничего нового. Это сознательно: запись остаётся
+// машиночитаемой, а `msg` существует, чтобы человек мог прочитать её глазами,
+// не собирая строку из шести колонок.
+//
+// Query-строка сюда не попадает, и это не небрежность, а действующий контракт
+// безопасности. Hysteria обращается к машинному endpoint'у как
+// /internal/hysteria/auth?access_token=<machine token> при каждом подключении
+// пира; журнал отдаётся оператору через ExportLog и уезжает в
+// diagnostics-бандл. Логируется путь, а из query — только имена параметров,
+// отдельным полем (см. requestQueryKeys).
+func RequestLogMessage(method string, path string, statusCode int, latency time.Duration) string {
+	return fmt.Sprintf("%s %s → %d (%d ms)", method, path, statusCode, latency.Milliseconds())
+}

apps/middleware/log_test.go

@@ -2,6 +2,7 @@ package middleware
 
 import (
 	"bytes"
+	"encoding/json"
 	"net/http"
 	"net/http/httptest"
 	"strings"
@@ -89,6 +90,71 @@ func TestLogHandlerOmitsQueryKeysWhenThereAreNone(t *testing.T) {
 	}
 }
 
+// Регрессия LOG-01: `entry.Info()` вызывался БЕЗ аргумента, и logrus честно
+// записывал `"msg":""` для каждого HTTP-запроса. Страница системных логов
+// показывала оператору пустой столбец сообщений — она отражала ровно то, что
+// backend записал.
+func TestLogHandlerWritesNonEmptyMessage(t *testing.T) {
+	request := httptest.NewRequest(http.MethodGet, "/api/peers", nil)
+
+	logged := captureLog(t, request)
+
+	var record map[string]any
+	if err := json.Unmarshal([]byte(strings.TrimSpace(logged)), &record); err != nil {
+		t.Fatalf("запись журнала не разбирается как JSON: %s", logged)
+	}
+
+	message, _ := record["msg"].(string)
+	if strings.TrimSpace(message) == "" {
+		t.Fatalf("запись журнала пришла с пустым msg: %s", logged)
+	}
+
+	// `msg` обязан быть читаемым сам по себе: ради этого он и существует.
+	for _, fragment := range []string{"GET", "/api/peers", "200"} {
+		if !strings.Contains(message, fragment) {
+			t.Errorf("в msg нет %q: %q", fragment, message)
+		}
+	}
+
+	// Структурные поля при этом остаются на месте — `msg` их не заменяет.
+	for _, field := range []string{"reqMethod", "reqPath", "statusCode", "latencyTime", "clientIP"} {
+		if _, ok := record[field]; !ok {
+			t.Errorf("структурное поле %q исчезло из записи: %s", field, logged)
+		}
+	}
+}
+
+// Человекочитаемое сообщение НЕ является лазейкой для query-строки: контракт
+// безопасности сильнее удобства чтения.
+func TestLogHandlerMessageNeverCarriesQueryValues(t *testing.T) {
+	request := httptest.NewRequest(
+		http.MethodPost,
+		"/internal/hysteria/auth?access_token="+sentinel,
+		strings.NewReader("{}"),
+	)
+
+	logged := captureLog(t, request)
+
+	var record map[string]any
+	if err := json.Unmarshal([]byte(strings.TrimSpace(logged)), &record); err != nil {
+		t.Fatalf("запись журнала не разбирается как JSON: %s", logged)
+	}
+
+	message, _ := record["msg"].(string)
+	if strings.TrimSpace(message) == "" {
+		t.Fatalf("запись журнала пришла с пустым msg: %s", logged)
+	}
+	if strings.Contains(message, sentinel) {
+		t.Fatalf("machine token попал в msg: %q", message)
+	}
+	if strings.Contains(message, "?") {
+		t.Fatalf("query-строка попала в msg: %q", message)
+	}
+	if !strings.Contains(message, "/internal/hysteria/auth") {
+		t.Fatalf("в msg нет пути запроса: %q", message)
+	}
+}
+
 // Значение секретоподобного параметра не должно попасть в журнал ни на каком
 // маршруте, а не только на машинном.
 func TestLogHandlerRedactsQueryValuesOnOperatorRoutes(t *testing.T) {