fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -542,6 +542,50 @@ production-профилем, а не ищет подстроки. Проверя
|
||||
Сообщение об ошибке для `auth.http.url` намеренно не печатает сам токен: текст
|
||||
уходит в логи и в diagnostics-бандл.
|
||||
|
||||
## Формат env-файлов: у него два читателя
|
||||
|
||||
`/etc/hy2xs/hy2xs.env` разбирает не только оркестратор. Файл объявлен
|
||||
`EnvironmentFile=` в юните `hy2xs-admin`, то есть его читает **systemd**, и
|
||||
формат обязан совпадать у обоих. Пока значения писались интерполяцией
|
||||
(`` `HY2XS_ADMIN_INITIAL_PASSWORD=${config.adminInitialPassword}` ``), а читались
|
||||
построчным `split("=")` с `trim()`, форматом это не являлось: совпадение
|
||||
поведения держалось на том, что в значениях не встречалось ни пробелов по краям,
|
||||
ни кавычек, ни обратных слешей. Продукт при этом обещает оператору, что набор
|
||||
символов пароля не ограничен, а краевой пробел — часть значения.
|
||||
|
||||
Запись и разбор живут в `orchestrator/src/lib/envFile.ts` и повторяют конечный
|
||||
автомат `parse_env_file_internal` из systemd (`src/basic/env-file.c`).
|
||||
Существенны четыре его свойства:
|
||||
|
||||
1. у **незакавыченного** значения срезаются пробелы в конце, `\` уводит в
|
||||
escape, а `\<перевод строки>` склеивает строки;
|
||||
2. в **одинарных** кавычках всё literal до закрывающей кавычки — escape там
|
||||
нет (отличие от `sh`);
|
||||
3. в **двойных** кавычках `\` уводит в escape, и обратный слеш снимается только
|
||||
перед `"`, `\`, `` ` `` и `$` (`SHELL_NEED_ESCAPE`); перед любым другим
|
||||
символом он СОХРАНЯЕТСЯ;
|
||||
4. подстановки переменных в env-файле нет вовсе: `$` внутри значения — обычный
|
||||
символ.
|
||||
|
||||
Из (3) и (4) следует кодирование, которое переживает любое издание systemd:
|
||||
двойные кавычки и экранирование **только** `\` и `"`. Оба входят в
|
||||
`SHELL_NEED_ESCAPE` и разворачиваются одинаково в действующей редакции и в тех,
|
||||
где escape в двойных кавычках снимался безусловно.
|
||||
|
||||
Кавычки ставятся только там, где они нужны: обычные значения (порты, пути,
|
||||
домены, `50 mbps`, base64url-секреты) остаются побайтово прежними, поэтому
|
||||
релизные гейты и инструкции оператора вида `grep '^HY2XS_UI_PORT=8080$'`
|
||||
продолжают работать. Тем же кодировщиком пишется `bootstrap-admin.secret`.
|
||||
|
||||
Одно намеренное расхождение с systemd: строка без `=` — **отказ**, а не
|
||||
пропуск. systemd такую строку молча отбрасывает; молчаливая потеря строки из
|
||||
`hy2xs.env` означала бы установку с настройкой, которую оператор задал, а
|
||||
продукт не увидел. Расхождение в сторону отказа останавливает установку там, где
|
||||
её можно починить.
|
||||
|
||||
Управляющие символы формат не несёт — перевод строки является границей записи, а
|
||||
не данными, — поэтому они запрещены и контрактом пароля.
|
||||
|
||||
## Smoke проверяет, что панель ВПУСКАЕТ
|
||||
|
||||
Открытый порт — это не работающая панель.
|
||||
@@ -557,7 +601,7 @@ production-профилем, а не ищет подстроки. Проверя
|
||||
|
||||
| Проба | Когда | Что требуется |
|
||||
| --- | --- | --- |
|
||||
| заведомо неверные учётные данные | всегда | HTTP 200 с конвертом отказа |
|
||||
| настоящий логин + СЛУЧАЙНЫЙ пароль | всегда | `code: 50000`, причина `invalid_credentials`, `accessToken` отсутствует |
|
||||
| bootstrap-учётные данные из `bootstrap-admin.secret` | только `install` | `code: 20000` и непустой `accessToken` |
|
||||
|
||||
Детали, которые здесь существенны:
|
||||
@@ -565,6 +609,21 @@ production-профилем, а не ищет подстроки. Проверя
|
||||
- **успех определяется конвертом, а не кодом HTTP.** Админка отвечает `200 OK` и
|
||||
на отказ тоже — причина живёт в поле `code`. Проверка «HTTP 200» приняла бы за
|
||||
успешный вход любой отказ, то есть не проверяла бы ничего;
|
||||
- **отказ определяется конвертом по той же причине.** Отрицательная проба
|
||||
сверяла `%{http_code}` с `200` и доказывала ровно одно — что запрос не
|
||||
закончился пятисоткой. Теперь требуются три признака сразу: код конверта
|
||||
`50000` (отказ операции, а не успех и не отказ валидации, который означал бы
|
||||
негодный запрос), доменная причина `invalid_credentials` и ОТСУТСТВИЕ
|
||||
`accessToken`;
|
||||
- **пароль отрицательной пробы генерируется**, а не записан литералом. Записанное
|
||||
в исходнике значение теоретически может оказаться настоящим паролем — и тогда
|
||||
проверка «неверные данные отвергаются» отчиталась бы об успешном входе. На
|
||||
`install`, где настоящий пароль известен, дополнительно утверждается, что
|
||||
проба ему не равна;
|
||||
- **bootstrap-секрет читается парсером формата**, а не `grep … | cut -d= -f2-`.
|
||||
Набор символов пароля не ограничен, пробелы по краям являются его частью, и
|
||||
шелл-конвейер срезал бы их — положительная проба взяла бы не тот пароль и
|
||||
объявила бы рабочую установку сломанной;
|
||||
- **токен требуется отдельно.** `code: 20000` без `accessToken` означал бы
|
||||
панель, которая пускает и не выдаёт сессию;
|
||||
- **тело собирается `JSON.stringify`**, а не интерполяцией в строку: пароль
|
||||
|
||||
@@ -140,7 +140,7 @@ anycast. Отсутствие A-записи фатально при любом
|
||||
Важно:
|
||||
- `HY2XS_ADMIN_INITIAL_PASSWORD` используется только для первичного bootstrap seed;
|
||||
- `HY2XS_ADMIN_CON_PASS` — отдельная runtime-сущность для Hysteria auth/smoke;
|
||||
- bootstrap secret хранится в явном формате `KEY=VALUE` (`ADMIN_USER`, `ADMIN_INITIAL_PASSWORD`, `ADMIN_CON_PASS`), права `0600`;
|
||||
- bootstrap secret хранится в том же формате `KEY=VALUE` (`ADMIN_USER`, `ADMIN_INITIAL_PASSWORD`, `ADMIN_CON_PASS`), права `0600`; значения с пробелами по краям, кавычками или обратными слешами записываются в двойных кавычках — читать файл следует парсером формата, а не `cut -d= -f2-`;
|
||||
- `HY2XS_FORCE_PASSWORD_CHANGE` в production baseline установлен в `false` (forced UX-flow пока не реализован);
|
||||
- после первичного seed перезапуски `hy2xs-admin` не должны переопределять пароль admin и `con_pass`.
|
||||
|
||||
@@ -148,12 +148,12 @@ anycast. Отсутствие A-записи фатально при любом
|
||||
|
||||
`HY2XS_ADMIN_USER` и `HY2XS_ADMIN_INITIAL_PASSWORD` — это значения, которые
|
||||
потом принимает **форма входа в панель**. Оркестратор проверяет их против того
|
||||
же контракта, что и админка (`apps/service/admin_credentials.go`):
|
||||
же контракта, что и админка (`apps/credential/admin.go`):
|
||||
|
||||
| Переменная | Требование | Значение по умолчанию |
|
||||
| --- | --- | --- |
|
||||
| `HY2XS_ADMIN_USER` | 6-32 символа из набора `a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=` | `hy2xsadmin` |
|
||||
| `HY2XS_ADMIN_INITIAL_PASSWORD` | 6-64 символа, набор не ограничен | генерируется |
|
||||
| `HY2XS_ADMIN_INITIAL_PASSWORD` | 6-64 символа Unicode **и** не более 72 байт в UTF-8; набор не ограничен, кроме управляющих символов | генерируется |
|
||||
|
||||
Значение вне контракта **роняет установку** с явным текстом, называющим границы
|
||||
и набор. Так и должно быть: отказ, пришедший установщику, чинится одной строкой
|
||||
@@ -162,16 +162,58 @@ anycast. Отсутствие A-записи фатально при любом
|
||||
Проверяется и сгенерированный пароль, а не только заданный оператором:
|
||||
генератор — такой же источник значения.
|
||||
|
||||
Границ у пароля **две**, и они в разных единицах. Предел в 72 байта ставит
|
||||
bcrypt: `GenerateFromPassword` отвечает `ErrPasswordTooLong` на пароль длиннее
|
||||
72 байт, а у 64 символов длина от 64 до 256 байт в зависимости от алфавита.
|
||||
Пока байтовой границы здесь не было, `HY2XS_ADMIN_INITIAL_PASSWORD` из 64
|
||||
кириллических букв (128 байт) проходил установку целиком, а первая учётная
|
||||
запись администратора не создавалась вовсе — админка падала при старте. Подробно
|
||||
границы описаны в `docs/admin/15-ui-contracts.md`.
|
||||
|
||||
Окружающие пробелы у `HY2XS_ADMIN_USER` снимаются. Иначе они уезжали бы в имя
|
||||
учётной записи в SQLite, и вход отказывал бы «неверным логином или паролем» —
|
||||
отказом, который невозможно связать с причиной.
|
||||
|
||||
У `HY2XS_ADMIN_INITIAL_PASSWORD` пробелы по краям, наоборот, **являются частью
|
||||
пароля** и не снимаются нигде — ни оркестратором, ни админкой, ни хешированием.
|
||||
Чтобы такое значение пережило запись и чтение, оно записывается **в двойных
|
||||
кавычках** с экранированием `\` и `"`:
|
||||
|
||||
```text
|
||||
HY2XS_ADMIN_INITIAL_PASSWORD="пароль с пробелом на конце "
|
||||
```
|
||||
|
||||
Кавычки здесь не украшение. Файл читает не только оркестратор, но и systemd —
|
||||
он объявлен `EnvironmentFile=` в юните `hy2xs-admin`, — а у **незакавыченного**
|
||||
значения systemd срезает пробелы по краям и трактует `\` как escape. Если вы
|
||||
правите `hy2xs.env` руками и в пароле есть пробел по краям, кавычка или обратный
|
||||
слеш, закавычьте значение тем же способом. Обычные значения (порты, пути,
|
||||
домены) кавычек не требуют и записываются как раньше.
|
||||
|
||||
Управляющие символы (перевод строки, табуляция) в пароле запрещены контрактом:
|
||||
формат `KEY=VALUE` их не несёт, а ввести такой пароль в форму входа всё равно
|
||||
нельзя.
|
||||
|
||||
Значение по умолчанию совпадает в трёх местах и обязано совпадать:
|
||||
`package/config/hy2xs.env`, `orchestrator/src/config/env.ts` и запасное
|
||||
значение в `apps/dao/sqlite.go`. Раньше оркестратор писал `admin` — пять
|
||||
символов при минимуме панели в шесть, — и установка завершалась
|
||||
`INSTALL EXIT CODE: 0`, оставляя панель, в которую невозможно войти.
|
||||
|
||||
### Backlog: секреты в окружении
|
||||
|
||||
Документация systemd отдельно рекомендует **не** передавать секреты через
|
||||
переменные окружения и предлагает для них `LoadCredential=` /
|
||||
`LoadCredentialEncrypted=`: окружение процесса видно шире, чем файл с правами
|
||||
`0600`.
|
||||
|
||||
HY2XS v1 этим не пользуется, и это осознанное решение по срокам, а не
|
||||
недосмотр: переход затрагивает модель секретов всего продукта (машинный токен
|
||||
Hysteria, obfs-пароль, `con_pass`), а не только пароль администратора.
|
||||
Действующая защита — права `0600`, владелец `root:root` и отсутствие доступа у
|
||||
служебных пользователей (`hy2xs-admin` и `hysteria` файл прочитать не могут, что
|
||||
проверяет smoke). Пункт остаётся в backlog как отдельная работа.
|
||||
|
||||
### Immutable-bootstrap контракт
|
||||
|
||||
- `/etc/hy2xs/bootstrap-admin.secret` создаётся оркестратором только при первичной установке.
|
||||
|
||||
Reference in New Issue
Block a user