fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -15,7 +15,7 @@
|
||||
* принял бы, — панель была строже сервера там, где она не имеет на это права.
|
||||
*
|
||||
* Правило теперь одно на обе формы, и оно сверяется с Go-контрактом
|
||||
* (apps/service/admin_credentials.go) тестом tools/test/frontend-contract.test.ts.
|
||||
* (apps/credential/admin.go) тестом tools/test/frontend-contract.test.ts.
|
||||
*/
|
||||
|
||||
export const ADMIN_USERNAME_MIN_LENGTH = 6;
|
||||
@@ -41,9 +41,98 @@ export const ADMIN_USERNAME_PATTERN = new RegExp(
|
||||
export const ADMIN_USERNAME_CHARSET = "a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=";
|
||||
|
||||
/**
|
||||
* Границы пароля. Набора символов у пароля НЕТ: сервер его не ограничивает ни
|
||||
* при установке, ни при смене, и панель не имеет права отвергать значение,
|
||||
* которое сервер принял бы.
|
||||
* Границы пароля в СИМВОЛАХ Unicode. Набора символов у пароля НЕТ: сервер его
|
||||
* не ограничивает ни при установке, ни при смене, и панель не имеет права
|
||||
* отвергать значение, которое сервер принял бы.
|
||||
*/
|
||||
export const ADMIN_PASSWORD_MIN_LENGTH = 6;
|
||||
export const ADMIN_PASSWORD_MAX_LENGTH = 64;
|
||||
|
||||
/**
|
||||
* Предел bcrypt — в БАЙТАХ, и он существует одновременно с границей в символах.
|
||||
*
|
||||
* `golang.org/x/crypto/bcrypt` отвечает `ErrPasswordTooLong` на пароль длиннее
|
||||
* 72 байт. Через границу в символах это не выражается: у 64 символов длина от
|
||||
* 64 до 256 байт в зависимости от алфавита.
|
||||
*/
|
||||
export const ADMIN_PASSWORD_MAX_BYTES = 72;
|
||||
|
||||
/**
|
||||
* Единственное правило пароля на стороне панели.
|
||||
*
|
||||
* Почему не встроенные `min`/`max` Element Plus. Правила формы Element Plus
|
||||
* делегирует библиотеке `async-validator`, а она сравнивает `min`/`max` строки
|
||||
* с `String.prototype.length`, то есть с числом единиц UTF-16. Go и оркестратор
|
||||
* считают code points. Расхождение не теоретическое:
|
||||
*
|
||||
* "😀😀😀" -> Go: 3 руны -> сервер отказывает (минимум 6)
|
||||
* JS: value.length = 6 -> форма считает минимум достигнутым
|
||||
*
|
||||
* то есть панель отправляла бы заведомо отвергаемый пароль и не могла бы
|
||||
* объяснить отказ. Обратная сторона того же — пароль из 40 эмодзи: 40 code
|
||||
* points укладываются в границу символов и не укладываются в 72 байта.
|
||||
*
|
||||
* Поэтому правило одно и считает ровно то же, что сервер: code points через
|
||||
* итератор строки (он идёт по code points, а не по единицам UTF-16) и байты
|
||||
* через `TextEncoder`, который кодирует именно в UTF-8.
|
||||
*
|
||||
* Управляющие символы (C0 и DEL) — единственное ограничение НАБОРА в
|
||||
* контракте, и оно принадлежит не форме, а транспорту: первый пароль
|
||||
* администратора уезжает в EnvironmentFile systemd, где у перевода строки нет
|
||||
* представления, переживающего запись и чтение. Проверяются они перебором кодов,
|
||||
* а не классом регекспа: литеральные управляющие символы в исходнике невидимы,
|
||||
* и такое правило нельзя проверить глазами при ревью.
|
||||
*/
|
||||
export function isValidAdminPassword(value: string): boolean {
|
||||
let characters = 0;
|
||||
for (const character of value) {
|
||||
const code = character.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) {
|
||||
return false;
|
||||
}
|
||||
characters += 1;
|
||||
}
|
||||
|
||||
if (
|
||||
characters < ADMIN_PASSWORD_MIN_LENGTH ||
|
||||
characters > ADMIN_PASSWORD_MAX_LENGTH
|
||||
) {
|
||||
return false;
|
||||
}
|
||||
|
||||
return new TextEncoder().encode(value).length <= ADMIN_PASSWORD_MAX_BYTES;
|
||||
}
|
||||
|
||||
/**
|
||||
* Правило пароля в том виде, в каком его принимает `el-form`.
|
||||
*
|
||||
* Собрано здесь, а не в каждой форме, по той же причине, по которой здесь живёт
|
||||
* сам контракт: у формы входа и формы смены пароля правило обязано быть одним и
|
||||
* тем же объектом кода, а не двумя совпадающими записями. Пока они были
|
||||
* двумя, они разошлись — 32 против 64 — и панель заперла оператора снаружи
|
||||
* после штатной смены пароля.
|
||||
*
|
||||
* Пустое значение пропускается: о нём отчитывается правило `required`, и без
|
||||
* этого оператор, отправивший пустую форму, читал бы про границы длины вместо
|
||||
* «поле обязательно». Сервер ведёт себя ровно так же — DTO приводит пустой
|
||||
* пароль к «не задано» до проверки правил.
|
||||
*
|
||||
* `message` передаётся аргументом: фраза принадлежит словарю локализации, а
|
||||
* `t()` доступен только внутри компонента.
|
||||
*/
|
||||
export function adminPasswordFormRule(message: string) {
|
||||
return {
|
||||
validator: (
|
||||
_rule: unknown,
|
||||
value: string,
|
||||
callback: (error?: Error) => void
|
||||
) => {
|
||||
if ((value ?? "") === "" || isValidAdminPassword(value)) {
|
||||
callback();
|
||||
return;
|
||||
}
|
||||
callback(new Error(message));
|
||||
},
|
||||
trigger: ["change", "blur"] as string[],
|
||||
};
|
||||
}
|
||||
|
||||
@@ -26,7 +26,8 @@ export default {
|
||||
// смены пароля. См. комментарий в ru.ts.
|
||||
credentials: {
|
||||
usernameFormat: "Username: {min} to {max} characters from {charset}",
|
||||
passwordLength: "Password: {min} to {max} characters",
|
||||
passwordFormat:
|
||||
"Password: {min} to {max} characters and at most {maxBytes} UTF-8 bytes, no control characters",
|
||||
},
|
||||
dashboard: {
|
||||
stale: "Dashboard data is stale. Retrying automatically...",
|
||||
@@ -166,6 +167,8 @@ export default {
|
||||
peer_name:
|
||||
"“{field}”: {min} to {max} characters from {charset}. Spaces, non-latin letters and / : ; . are not allowed",
|
||||
credential_format: "“{field}”: {min} to {max} characters from {charset}",
|
||||
admin_password_format:
|
||||
"“{field}”: {min} to {max} characters and at most {maxBytes} UTF-8 bytes, no control characters",
|
||||
rule_violated: "“{field}”: value is not acceptable",
|
||||
validation_failed: "Validation failed",
|
||||
body_invalid:
|
||||
|
||||
@@ -31,7 +31,12 @@ export default {
|
||||
// приходит из hy2xs.env, и посмотреть его в панели негде.
|
||||
credentials: {
|
||||
usernameFormat: "Логин: от {min} до {max} символов из набора {charset}",
|
||||
passwordLength: "Пароль: от {min} до {max} символов",
|
||||
// Фраза называет ОБЕ границы, потому что их две и они в разных единицах.
|
||||
// Пароль из 40 эмодзи укладывается в 64 символа и не укладывается в 72
|
||||
// байта; сообщение «не длиннее {max} символов» отправило бы оператора
|
||||
// сокращать пароль, отвергнутый не за это.
|
||||
passwordFormat:
|
||||
"Пароль: от {min} до {max} символов и не более {maxBytes} байт в UTF-8, без управляющих символов",
|
||||
},
|
||||
dashboard: {
|
||||
stale:
|
||||
@@ -183,6 +188,8 @@ export default {
|
||||
// словами отказ по ДЛИНЕ: правило одно, и оно проверяет и то, и другое.
|
||||
credential_format:
|
||||
"«{field}»: от {min} до {max} символов из набора {charset}",
|
||||
admin_password_format:
|
||||
"«{field}»: от {min} до {max} символов и не более {maxBytes} байт в UTF-8, без управляющих символов",
|
||||
rule_violated: "«{field}»: значение не подходит",
|
||||
validation_failed: "Проверка данных не пройдена",
|
||||
body_invalid: "Запрос не разобран: проверьте формат и типы полей",
|
||||
|
||||
@@ -44,6 +44,11 @@ export const ERR_CODE = {
|
||||
ruleViolated: "rule_violated",
|
||||
peerName: "peer_name",
|
||||
credentialFormat: "credential_format",
|
||||
// Правило пароля администратора целиком: длина в символах, длина в байтах
|
||||
// (предел bcrypt) и запрет управляющих символов. Отдельный код нужен потому,
|
||||
// что min_length/max_length не умеют назвать отказ по БАЙТАМ, а он бывает у
|
||||
// пароля, укладывающегося в границу символов.
|
||||
adminPasswordFormat: "admin_password_format",
|
||||
peerNameTaken: "peer_name_taken",
|
||||
peerNameReserved: "peer_name_reserved",
|
||||
peerBootstrapLocked: "peer_bootstrap_identity_locked",
|
||||
|
||||
@@ -34,8 +34,10 @@ import { useRoute, useRouter } from "vue-router";
|
||||
import { adminChangePasswordApi } from "@/api/admin";
|
||||
import { useAdminStore } from "@/store/modules/admin";
|
||||
import {
|
||||
ADMIN_PASSWORD_MAX_BYTES,
|
||||
ADMIN_PASSWORD_MAX_LENGTH,
|
||||
ADMIN_PASSWORD_MIN_LENGTH,
|
||||
adminPasswordFormRule,
|
||||
} from "@/constants/credentials";
|
||||
|
||||
const { t } = useI18n();
|
||||
@@ -60,18 +62,22 @@ const form = reactive({
|
||||
// Границы совпадают с формой входа не случайно: пока они расходились, длинный
|
||||
// пароль, назначенный здесь, невозможно было ввести там.
|
||||
//
|
||||
// Правило — собственное, а не встроенные `min`/`max` Element Plus: те
|
||||
// делегируются `async-validator`, который считает длину строки в единицах
|
||||
// UTF-16, тогда как сервер считает code points и вдобавок ограничивает длину в
|
||||
// БАЙТАХ пределом bcrypt. Пароль из 64 кириллических букв проходил здесь и
|
||||
// возвращался с сервера системной ошибкой хеширования.
|
||||
//
|
||||
// Комментарий записан строчными `//`, а не блоком: скан релизных гейтов
|
||||
// отбрасывает только их, и объяснение, называющее убранную конструкцию по
|
||||
// имени, иначе роняет проверку «этой конструкции здесь больше нет».
|
||||
const passwordRule = {
|
||||
min: ADMIN_PASSWORD_MIN_LENGTH,
|
||||
max: ADMIN_PASSWORD_MAX_LENGTH,
|
||||
message: t("credentials.passwordLength", {
|
||||
const passwordRule = adminPasswordFormRule(
|
||||
t("credentials.passwordFormat", {
|
||||
min: ADMIN_PASSWORD_MIN_LENGTH,
|
||||
max: ADMIN_PASSWORD_MAX_LENGTH,
|
||||
}),
|
||||
trigger: ["change", "blur"] as string[],
|
||||
};
|
||||
maxBytes: ADMIN_PASSWORD_MAX_BYTES,
|
||||
})
|
||||
);
|
||||
|
||||
const rules: FormRules = {
|
||||
oldPassword: [
|
||||
|
||||
@@ -84,12 +84,14 @@ import { useAdminStore } from "@/store/modules/admin";
|
||||
import { LocationQuery, LocationQueryValue, useRoute } from "vue-router";
|
||||
import { AdminLoginDto } from "@/api/admin/types";
|
||||
import {
|
||||
ADMIN_PASSWORD_MAX_BYTES,
|
||||
ADMIN_PASSWORD_MAX_LENGTH,
|
||||
ADMIN_PASSWORD_MIN_LENGTH,
|
||||
ADMIN_USERNAME_CHARSET,
|
||||
ADMIN_USERNAME_MAX_LENGTH,
|
||||
ADMIN_USERNAME_MIN_LENGTH,
|
||||
ADMIN_USERNAME_PATTERN,
|
||||
adminPasswordFormRule,
|
||||
} from "@/constants/credentials";
|
||||
|
||||
const adminStore = useAdminStore();
|
||||
@@ -129,6 +131,13 @@ const loginForm = ref<AdminLoginDto>({
|
||||
* символов, из-за чего форма входа отказывалась отправлять пароль, который
|
||||
* сервер принимает: набор пароля сервер не ограничивает нигде. Проверка,
|
||||
* которая умеет только запереть оператора и ничего не защищает, — не проверка.
|
||||
*
|
||||
* Правило пароля — собственное, а не встроенные `min`/`max` Element Plus.
|
||||
* Element Plus делегирует правила формы библиотеке `async-validator`, а она
|
||||
* сравнивает `min`/`max` строки с `String.prototype.length`, то есть считает
|
||||
* единицы UTF-16, тогда как сервер считает code points. Пароль из трёх эмодзи
|
||||
* имел `value.length === 6` и проходил минимум формы, а сервер видел три руны и
|
||||
* отказывал. См. isValidAdminPassword.
|
||||
*/
|
||||
const loginRules = {
|
||||
username: [
|
||||
@@ -153,15 +162,13 @@ const loginRules = {
|
||||
message: t("common.required"),
|
||||
trigger: ["change", "blur"],
|
||||
},
|
||||
{
|
||||
min: ADMIN_PASSWORD_MIN_LENGTH,
|
||||
max: ADMIN_PASSWORD_MAX_LENGTH,
|
||||
message: t("credentials.passwordLength", {
|
||||
adminPasswordFormRule(
|
||||
t("credentials.passwordFormat", {
|
||||
min: ADMIN_PASSWORD_MIN_LENGTH,
|
||||
max: ADMIN_PASSWORD_MAX_LENGTH,
|
||||
}),
|
||||
trigger: ["change", "blur"],
|
||||
},
|
||||
maxBytes: ADMIN_PASSWORD_MAX_BYTES,
|
||||
})
|
||||
),
|
||||
],
|
||||
};
|
||||
|
||||
|
||||
Reference in New Issue
Block a user