fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах

Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом
bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от
64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль
длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как
утверждал комментарий, — так вела себя редакция пакета до v0.28.

Следствие: пароль из 64 кириллических букв (128 байт) проходил панель,
оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на
штатной смене пароля, а при установке падением старта админки, то есть
сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта
было то, что тест закреплял это значение как ожидаемое.

Вместе с ним закрыты три соседних расхождения того же контракта.

Пароль триммился вопреки собственному контракту. util.HashPassword вёл
проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал
strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение
"abcde " принимали все двери продукта и не мог захешировать никто, а первая
учётная запись создавалась не с тем паролем, который оператор записал в
hy2xs.env.

Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы
async-validator, а он сравнивает min/max с String.prototype.length: пароль из
трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера,
который панель не могла объяснить.

hy2xs.env не был форматом. Значения писались интерполяцией, а читались
split("=") с trim(); при этом файл читает не только оркестратор — он объявлен
EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd
срезает краевые пробелы и трактует обратный слеш как escape.

Что сделано:

- контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword
  и dao, а service импортирует util — обратный импорт был бы циклическим, и
  именно поэтому HashPassword завёл собственную копию правила;
- AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в
  оркестраторе и панели; сверяется тестами, читающими Go-исходник;
- одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в
  байтах тегом валидатора не выразить) и код причины admin_password_format,
  называющий обе границы;
- TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет
  контракт сам и падает с текстом, называющим переменную и файл;
- панель считает code points и UTF-8 байты общим adminPasswordFormRule на
  обеих формах вместо встроенных min/max;
- orchestrator/src/lib/envFile.ts — порт конечного автомата
  parse_env_file_internal из systemd и обратный ему кодировщик; экранируются
  только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные
  значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же
  кодировщиком пишется bootstrap-admin.secret;
- управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а
  ввести такой пароль в форму входа всё равно нельзя;
- отрицательная проба smoke сверяет конверт отказа (code 50000,
  invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль
  генерирует, а не берёт из литерала;
- положительная проба читает bootstrap-секрет парсером формата вместо
  grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы.

Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я»,
«abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами
инвертирован; round-trip env-формата на значениях с кавычками, слешами и
краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов
приёмки.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/testing/11-2-builder-layer.md

@@ -89,6 +89,32 @@
 
 Отдельно — round-trip `parse(render(config)) == config`. Этот тест ловит класс ошибок «в рендер runtime-конфига попал литерал вместо значения из конфигурации».
 
+### A4a. Формат env-файла совпадает с systemd
+
+`orchestrator/test/env-file.test.ts`. У `hy2xs.env` два читателя, и один из них
+не наш: файл объявлен `EnvironmentFile=` в юните `hy2xs-admin`. Поэтому
+проверяется не «работает на наших данных», а совпадение с правилами systemd
+(`src/basic/env-file.c`) на тех значениях, где прежний разбор расходился:
+
+| Вход | Ожидание |
+| --- | --- |
+| `KEY=  value  ` | `value` — незакавыченное значение теряет краевые пробелы, как и у systemd |
+| `KEY="  value  "` | `  value  ` — в кавычках сохраняются |
+| `KEY="a\"b"` | `a"b` |
+| `KEY="a\\b"` | `a\b` |
+| `KEY="a\nb"` | `a\nb` — `n` не входит в `SHELL_NEED_ESCAPE`, слеш сохраняется |
+| `KEY="$HOME"` | `$HOME` — подстановок в env-файле нет |
+| `KEY='a\b'` | `a\b` — в одинарных кавычках escape нет вовсе |
+| строка без `=` | отказ (единственное намеренное расхождение: systemd её отбрасывает молча) |
+| незакрытая кавычка | отказ |
+
+И обратимость: любое значение — с краевыми пробелами, кавычками, обратными
+слешами, `$`, `` ` ``, `#`, эмодзи — переживает `render -> parse` побайтово, а
+обычные значения (`8080`, `/etc/hysteria/server.crt`, `50 mbps`) остаются без
+кавычек, чтобы релизные гейты и инструкции оператора продолжали работать.
+
+Управляющий символ в значении — отказ ЗАПИСИ, а не потеря части секрета.
+
 Рендер конфига (`orchestrator/test/render-config.test.ts`):
 
 - Gecko рендерит **только** gecko-подблок;
@@ -508,7 +534,66 @@ wildcard-маршрутом фронтенда или дублирующая р
 
 - `HashPassword` выдаёт bcrypt и солит: два хеша одного пароля различаются;
 - вход по несолёному SHA-224 (формат предыдущего поколения) **невозможен**;
-- любая не-bcrypt строка в поле хеша отклоняется.
+- любая не-bcrypt строка в поле хеша отклоняется;
+- `HashPassword` следует ОБЩЕМУ контракту, а не собственной проверке. Раньше
+  здесь стояло `len(strings.TrimSpace(password)) < 6` — третья копия правила, и
+  она расходилась с двумя остальными: значение `abcde ` считалось корректным
+  всеми дверями продукта и не могло быть захешировано, а верхней границы у
+  копии не было вовсе;
+- **всё, что контракт принял, обязано хешироваться.** Проверяются граничные
+  значения (36 x `я` = 72 байта, 18 x `😀` = 72 байта): именно здесь
+  расхождение с bcrypt и проявлялось.
+
+## A9c1. Контракт учётных данных администратора (unit)
+
+Контракт объявлен один раз в `apps/credential/admin.go` — в leaf-пакете, потому
+что его зовут и `util.HashPassword`, и слой данных при создании первой учётной
+записи, а `service` импортирует `util`.
+
+`apps/credential/admin_test.go` — сам контракт:
+
+- набор символов логина закреплён ФАКТИЧЕСКИМ множеством: сужение уронит тест, а
+  не вход администратора на живом сервере;
+- границы пароля проверяются таблицей, и она включает случаи, где границы в
+  символах и в байтах расходятся:
+
+  | значение | символов | байт | результат |
+  | --- | --- | --- | --- |
+  | 64 x `a` | 64 | 64 | принят |
+  | 36 x `я` | 36 | 72 | принят (граница bcrypt) |
+  | 37 x `я` | 37 | 74 | **отвергнут** |
+  | 18 x `😀` | 18 | 72 | принят (граница bcrypt) |
+  | 19 x `😀` | 19 | 76 | **отвергнут** |
+  | 64 x `я` | 64 | 128 | **отвергнут** |
+
+  последняя строка — исходный дефект: прежний тест требовал ПРИЁМА этого
+  значения, то есть закреплял как ожидаемое ровно то, на чём продукт ломался;
+- пробел по краям — часть пароля, шесть пробелов являются корректным паролем;
+- управляющие символы (`\n`, `\r`, `\t`, `NUL`, `DEL`) отвергаются.
+
+`apps/controller/validator_test.go` — ПРОВОДКА, а не контракт: теги
+`credentialStr` и `adminPassword` прогоняются через production-валидатор и
+обязаны отвечать так же, как функции контракта, на тех же граничных значениях.
+
+`apps/controller/auth_test.go`:
+
+- ни один тег валидации ни в одном DTO не ссылается на незарегистрированное
+  правило (обход исходников, а не проверка одного экземпляра);
+- границы пароля **не стоят рядом** с правилом: тег умеет считать только
+  символы, а у пароля есть ещё граница в байтах, которую тегом не выразить;
+- пароль в 72 байта пускает в панель, а на символ длиннее — получает конверт
+  валидации с причиной `admin_password_format` на поле `pass`, а не системную
+  ошибку из bcrypt;
+- пароль не триммится: `bootstrap-password ` и `bootstrap-password` — разные
+  пароли.
+
+`apps/dao/bootstrap_admin_test.go` — bootstrap-путь на настоящей SQLite:
+
+- пароль с краевым пробелом создаёт учётную запись С ЭТИМ пробелом, и вход
+  обрезанным значением невозможен;
+- пароль вне контракта роняет старт с текстом, называющим переменную и файл, а
+  не сообщением bcrypt;
+- пароль ровно в 72 байта проходит установку целиком.
 
 `apps/util/rand_test.go` — отсутствие modulo bias: на выборке 200 000 символов
 частоты первых восьми символов алфавита не отличаются от остальных более чем на