fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -89,6 +89,32 @@
|
||||
|
||||
Отдельно — round-trip `parse(render(config)) == config`. Этот тест ловит класс ошибок «в рендер runtime-конфига попал литерал вместо значения из конфигурации».
|
||||
|
||||
### A4a. Формат env-файла совпадает с systemd
|
||||
|
||||
`orchestrator/test/env-file.test.ts`. У `hy2xs.env` два читателя, и один из них
|
||||
не наш: файл объявлен `EnvironmentFile=` в юните `hy2xs-admin`. Поэтому
|
||||
проверяется не «работает на наших данных», а совпадение с правилами systemd
|
||||
(`src/basic/env-file.c`) на тех значениях, где прежний разбор расходился:
|
||||
|
||||
| Вход | Ожидание |
|
||||
| --- | --- |
|
||||
| `KEY= value ` | `value` — незакавыченное значение теряет краевые пробелы, как и у systemd |
|
||||
| `KEY=" value "` | ` value ` — в кавычках сохраняются |
|
||||
| `KEY="a\"b"` | `a"b` |
|
||||
| `KEY="a\\b"` | `a\b` |
|
||||
| `KEY="a\nb"` | `a\nb` — `n` не входит в `SHELL_NEED_ESCAPE`, слеш сохраняется |
|
||||
| `KEY="$HOME"` | `$HOME` — подстановок в env-файле нет |
|
||||
| `KEY='a\b'` | `a\b` — в одинарных кавычках escape нет вовсе |
|
||||
| строка без `=` | отказ (единственное намеренное расхождение: systemd её отбрасывает молча) |
|
||||
| незакрытая кавычка | отказ |
|
||||
|
||||
И обратимость: любое значение — с краевыми пробелами, кавычками, обратными
|
||||
слешами, `$`, `` ` ``, `#`, эмодзи — переживает `render -> parse` побайтово, а
|
||||
обычные значения (`8080`, `/etc/hysteria/server.crt`, `50 mbps`) остаются без
|
||||
кавычек, чтобы релизные гейты и инструкции оператора продолжали работать.
|
||||
|
||||
Управляющий символ в значении — отказ ЗАПИСИ, а не потеря части секрета.
|
||||
|
||||
Рендер конфига (`orchestrator/test/render-config.test.ts`):
|
||||
|
||||
- Gecko рендерит **только** gecko-подблок;
|
||||
@@ -508,7 +534,66 @@ wildcard-маршрутом фронтенда или дублирующая р
|
||||
|
||||
- `HashPassword` выдаёт bcrypt и солит: два хеша одного пароля различаются;
|
||||
- вход по несолёному SHA-224 (формат предыдущего поколения) **невозможен**;
|
||||
- любая не-bcrypt строка в поле хеша отклоняется.
|
||||
- любая не-bcrypt строка в поле хеша отклоняется;
|
||||
- `HashPassword` следует ОБЩЕМУ контракту, а не собственной проверке. Раньше
|
||||
здесь стояло `len(strings.TrimSpace(password)) < 6` — третья копия правила, и
|
||||
она расходилась с двумя остальными: значение `abcde ` считалось корректным
|
||||
всеми дверями продукта и не могло быть захешировано, а верхней границы у
|
||||
копии не было вовсе;
|
||||
- **всё, что контракт принял, обязано хешироваться.** Проверяются граничные
|
||||
значения (36 x `я` = 72 байта, 18 x `😀` = 72 байта): именно здесь
|
||||
расхождение с bcrypt и проявлялось.
|
||||
|
||||
## A9c1. Контракт учётных данных администратора (unit)
|
||||
|
||||
Контракт объявлен один раз в `apps/credential/admin.go` — в leaf-пакете, потому
|
||||
что его зовут и `util.HashPassword`, и слой данных при создании первой учётной
|
||||
записи, а `service` импортирует `util`.
|
||||
|
||||
`apps/credential/admin_test.go` — сам контракт:
|
||||
|
||||
- набор символов логина закреплён ФАКТИЧЕСКИМ множеством: сужение уронит тест, а
|
||||
не вход администратора на живом сервере;
|
||||
- границы пароля проверяются таблицей, и она включает случаи, где границы в
|
||||
символах и в байтах расходятся:
|
||||
|
||||
| значение | символов | байт | результат |
|
||||
| --- | --- | --- | --- |
|
||||
| 64 x `a` | 64 | 64 | принят |
|
||||
| 36 x `я` | 36 | 72 | принят (граница bcrypt) |
|
||||
| 37 x `я` | 37 | 74 | **отвергнут** |
|
||||
| 18 x `😀` | 18 | 72 | принят (граница bcrypt) |
|
||||
| 19 x `😀` | 19 | 76 | **отвергнут** |
|
||||
| 64 x `я` | 64 | 128 | **отвергнут** |
|
||||
|
||||
последняя строка — исходный дефект: прежний тест требовал ПРИЁМА этого
|
||||
значения, то есть закреплял как ожидаемое ровно то, на чём продукт ломался;
|
||||
- пробел по краям — часть пароля, шесть пробелов являются корректным паролем;
|
||||
- управляющие символы (`\n`, `\r`, `\t`, `NUL`, `DEL`) отвергаются.
|
||||
|
||||
`apps/controller/validator_test.go` — ПРОВОДКА, а не контракт: теги
|
||||
`credentialStr` и `adminPassword` прогоняются через production-валидатор и
|
||||
обязаны отвечать так же, как функции контракта, на тех же граничных значениях.
|
||||
|
||||
`apps/controller/auth_test.go`:
|
||||
|
||||
- ни один тег валидации ни в одном DTO не ссылается на незарегистрированное
|
||||
правило (обход исходников, а не проверка одного экземпляра);
|
||||
- границы пароля **не стоят рядом** с правилом: тег умеет считать только
|
||||
символы, а у пароля есть ещё граница в байтах, которую тегом не выразить;
|
||||
- пароль в 72 байта пускает в панель, а на символ длиннее — получает конверт
|
||||
валидации с причиной `admin_password_format` на поле `pass`, а не системную
|
||||
ошибку из bcrypt;
|
||||
- пароль не триммится: `bootstrap-password ` и `bootstrap-password` — разные
|
||||
пароли.
|
||||
|
||||
`apps/dao/bootstrap_admin_test.go` — bootstrap-путь на настоящей SQLite:
|
||||
|
||||
- пароль с краевым пробелом создаёт учётную запись С ЭТИМ пробелом, и вход
|
||||
обрезанным значением невозможен;
|
||||
- пароль вне контракта роняет старт с текстом, называющим переменную и файл, а
|
||||
не сообщением bcrypt;
|
||||
- пароль ровно в 72 байта проходит установку целиком.
|
||||
|
||||
`apps/util/rand_test.go` — отсутствие modulo bias: на выборке 200 000 символов
|
||||
частоты первых восьми символов алфавита не отличаются от остальных более чем на
|
||||
|
||||
@@ -52,9 +52,10 @@
|
||||
32. дашборд различает «служба остановлена» и «состояние службы неизвестно»; доступность Traffic Stats API показывается независимо от ответа systemd
|
||||
33. страница журнала Hysteria показывает разобранные `level`/`time`/`msg` и структурный контекст, а не сырой JSON
|
||||
34. страница конфигурации показывает фактические значения `/etc/hysteria/config.yaml`, перечисляет секции вне production-профиля и не содержит паролей и токенов
|
||||
35. **оператор входит в панель**: `POST /api/auth/login` с bootstrap-учётными данными из `/etc/hy2xs/bootstrap-admin.secret` отвечает `code: 20000` и непустым `accessToken`. Заведомо неверные учётные данные дают HTTP 200 с конвертом отказа, а не 500
|
||||
36. пароль предельной длины (64 символа), назначенный формой смены пароля, принимается формой входа: границы обеих форм совпадают с серверными
|
||||
37. `last_login_at` администратора обновляется после успешного входа и не меняется после неудачной попытки
|
||||
35. **оператор входит в панель**: `POST /api/auth/login` с bootstrap-учётными данными из `/etc/hy2xs/bootstrap-admin.secret` отвечает `code: 20000` и непустым `accessToken`. Заведомо неверные учётные данные (со СЛУЧАЙНЫМ паролем, а не с литералом) дают HTTP 200 с конвертом отказа: `code: 50000`, причина `invalid_credentials` и отсутствие `accessToken`
|
||||
36. пароль предельной длины, назначенный формой смены пароля, принимается формой входа: границы обеих форм совпадают с серверными. Границ **две** — 6-64 символа Unicode и не более 72 байт в UTF-8 (предел bcrypt): пароль из 36 кириллических букв (72 байта) принимается, из 37 (74 байта) — отвергается конвертом валидации, а не системной ошибкой
|
||||
37. `HY2XS_ADMIN_INITIAL_PASSWORD` с пробелом по краям доезжает до учётной записи неизменным: значение записано в `hy2xs.env` в двойных кавычках, и вход выполняется ровно им, а не обрезанным
|
||||
38. `last_login_at` администратора обновляется после успешного входа и не меняется после неудачной попытки
|
||||
|
||||
## C0. Панель обязана впускать, а не слушать порт
|
||||
|
||||
@@ -70,15 +71,39 @@ HTTP 500 на каждый запрос, потому что валидатор
|
||||
Ручной эквивалент:
|
||||
|
||||
```bash
|
||||
# Пароль в переменную, чтобы он не попал ни в историю shell, ни в вывод.
|
||||
read -r -s BOOTSTRAP_PASS < <(sudo grep '^ADMIN_INITIAL_PASSWORD=' /etc/hy2xs/bootstrap-admin.secret | cut -d= -f2-)
|
||||
BOOTSTRAP_USER="$(sudo grep '^ADMIN_USER=' /etc/hy2xs/bootstrap-admin.secret | cut -d= -f2-)"
|
||||
# Значение читается ПО ФОРМАТУ, а не `cut -d= -f2-`.
|
||||
#
|
||||
# Набор символов пароля не ограничен, а пробелы по краям являются его частью,
|
||||
# поэтому такое значение записано в файле в двойных кавычках с экранированием
|
||||
# `\` и `"`. `cut` отдал бы кавычки как часть пароля, а `read -r` вдобавок
|
||||
# срезал бы пробелы — и проверка объявила бы рабочую установку сломанной.
|
||||
#
|
||||
# `source` и `eval` здесь НЕ годятся: внутри двойных кавычек shell выполняет
|
||||
# подстановку команд, то есть пароль вида `$(...)` был бы исполнен. У самого
|
||||
# systemd подстановок в EnvironmentFile нет, и снимать кавычки надо без shell.
|
||||
read_bootstrap_field() {
|
||||
sudo sed -n "s/^$1=//p" /etc/hy2xs/bootstrap-admin.secret | head -n1 \
|
||||
| sed -e 's/^"//' -e 's/"$//' -e 's/\\\(["\\]\)/\1/g'
|
||||
}
|
||||
|
||||
BOOTSTRAP_USER="$(read_bootstrap_field ADMIN_USER)"
|
||||
BOOTSTRAP_PASS="$(read_bootstrap_field ADMIN_INITIAL_PASSWORD)"
|
||||
|
||||
# Положительная проба: конверт успеха и выданный токен.
|
||||
curl -sS --max-time 5 -X POST \
|
||||
-H 'Content-Type: application/json' \
|
||||
--data "$(jq -nc --arg u "$BOOTSTRAP_USER" --arg p "$BOOTSTRAP_PASS" '{username:$u,pass:$p}')" \
|
||||
http://127.0.0.1:8080/api/auth/login | jq '.code, (.data.accessToken | length)'
|
||||
|
||||
# Отрицательная проба: пароль СЛУЧАЙНЫЙ, а проверяется конверт отказа целиком.
|
||||
# HTTP 200 сам по себе ничего не доказывает — админка отвечает 200 и на успех.
|
||||
curl -sS --max-time 5 -X POST \
|
||||
-H 'Content-Type: application/json' \
|
||||
--data "$(jq -nc --arg u "$BOOTSTRAP_USER" --arg p "$(head -c 18 /dev/urandom | base64)" '{username:$u,pass:$p}')" \
|
||||
http://127.0.0.1:8080/api/auth/login \
|
||||
| jq '{code, reason: (.errors[0].code), token: (.data.accessToken // null)}'
|
||||
# Ожидается: {"code":50000,"reason":"invalid_credentials","token":null}
|
||||
|
||||
unset BOOTSTRAP_PASS
|
||||
```
|
||||
|
||||
|
||||
Reference in New Issue
Block a user