fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -1,5 +1,6 @@
|
||||
import { randomBytes } from "node:crypto";
|
||||
import type { FirewallMode, PublicEndpointPolicy, RuntimeConfig, TlsMode } from "../types/context";
|
||||
import { parseEnvFile, renderEnvFile } from "../lib/envFile";
|
||||
import {
|
||||
GECKO_DEFAULT_MAX_PACKET_SIZE,
|
||||
GECKO_DEFAULT_MIN_PACKET_SIZE,
|
||||
@@ -23,22 +24,17 @@ function valueOrGenerate(value: string | undefined): string {
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* Разбор env-файла делегирован lib/envFile.
|
||||
*
|
||||
* Здесь стоял построчный разбор с `value.trim()`, и он молча срезал пробелы по
|
||||
* краям КАЖДОГО значения. Для пароля администратора это прямое нарушение
|
||||
* контракта — продукт объявляет краевой пробел частью пароля, — а для
|
||||
* значений с кавычками разбор вдобавок расходился с systemd, который читает
|
||||
* этот же файл как EnvironmentFile.
|
||||
*/
|
||||
function parseEnv(content: string): EnvMap {
|
||||
const result: EnvMap = {};
|
||||
for (const rawLine of content.split(/\r?\n/)) {
|
||||
const line = rawLine.trim();
|
||||
if (!line || line.startsWith("#")) {
|
||||
continue;
|
||||
}
|
||||
const separator = line.indexOf("=");
|
||||
if (separator < 1) {
|
||||
throw new Error(`invalid env line: ${rawLine}`);
|
||||
}
|
||||
const key = line.slice(0, separator).trim();
|
||||
const value = line.slice(separator + 1).trim();
|
||||
result[key] = value;
|
||||
}
|
||||
return result;
|
||||
return parseEnvFile(content);
|
||||
}
|
||||
|
||||
function parsePort(name: string, raw: string, fallback: number): number {
|
||||
@@ -396,47 +392,58 @@ export function validateRuntimeConfig(config: RuntimeConfig): void {
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Пишет /etc/hy2xs/hy2xs.env.
|
||||
*
|
||||
* Каждое значение проходит через formatEnvAssignment, а не подставляется в
|
||||
* строку интерполяцией. Раньше подставлялось, и файл поэтому был форматом
|
||||
* только для значений без пробелов по краям, кавычек и обратных слешей: пароль
|
||||
* администратора, у которого набор символов объявлен неограниченным, не
|
||||
* пережил бы обратного чтения — ни нашего, ни systemd'ного.
|
||||
*
|
||||
* Обычные значения (порты, пути, домены, `50 mbps`) кавычек не получают и
|
||||
* остаются побайтово прежними — см. UNQUOTED_SAFE_VALUE в lib/envFile.
|
||||
*/
|
||||
export function renderRuntimeEnv(config: RuntimeConfig): string {
|
||||
const lines = [
|
||||
"# HY2XS runtime config (editable)",
|
||||
`HY2XS_CONFIG_SCHEMA_VERSION=${config.configSchemaVersion}`,
|
||||
`HY2XS_IPV6_ENABLED=${config.ipv6Enabled}`,
|
||||
`HY2XS_DOMAIN=${config.domain}`,
|
||||
`HY2XS_DNS_AAAA_POLICY=${config.dnsAaaaPolicy}`,
|
||||
`HY2XS_PUBLIC_ENDPOINT_POLICY=${config.publicEndpointPolicy}`,
|
||||
`HY2XS_PUBLIC_HOST=${config.publicHost}`,
|
||||
`HY2XS_PUBLIC_PORT=${config.publicPort}`,
|
||||
`HY2XS_SSH_PORT=${config.sshPort}`,
|
||||
`HY2XS_FIREWALL_MODE=${config.firewallMode}`,
|
||||
`HY2XS_FIREWALL_STAGED_APPLY=${config.firewallStagedApply}`,
|
||||
`HY2XS_UI_BIND_HOST=${config.uiBindHost}`,
|
||||
`HY2XS_UI_PUBLIC_ACCESS=${config.uiPublicAccess}`,
|
||||
`HY2XS_UI_PORT=${config.uiPort}`,
|
||||
`HY2XS_ADMIN_USER=${config.adminUser}`,
|
||||
`HY2XS_ADMIN_INITIAL_PASSWORD=${config.adminInitialPassword}`,
|
||||
`HY2XS_ADMIN_CON_PASS=${config.adminConPass}`,
|
||||
`HY2XS_FORCE_PASSWORD_CHANGE=${config.forcePasswordChange}`,
|
||||
`HY2XS_ALLOW_SELF_SIGNED_DEV=${config.allowSelfSignedDev}`,
|
||||
`HY2XS_TLS_MODE=${config.tlsMode}`,
|
||||
`HY2XS_ACME_TYPE=${config.acmeType}`,
|
||||
`HY2XS_ACME_EMAIL=${config.acmeEmail}`,
|
||||
`HY2XS_TLS_CERT_PATH=${config.tlsCertPath}`,
|
||||
`HY2XS_TLS_KEY_PATH=${config.tlsKeyPath}`,
|
||||
`HY2XS_HYSTERIA_BIND_HOST=${config.hysteriaBindHost}`,
|
||||
`HY2XS_HYSTERIA_PORT=${config.hysteriaPort}`,
|
||||
`HY2XS_HYSTERIA_AUTH_MODE=${config.hysteriaAuthMode}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_HOST=${config.hysteriaTrafficStatsHost}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_PORT=${config.hysteriaTrafficStatsPort}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET=${config.hysteriaTrafficStatsSecret}`,
|
||||
`HY2XS_HYSTERIA_OBFS_TYPE=${config.hysteriaObfsType}`,
|
||||
`HY2XS_HYSTERIA_OBFS_PASSWORD=${config.hysteriaObfsPassword}`,
|
||||
`HY2XS_HYSTERIA_BANDWIDTH_UP=${config.hysteriaBandwidthUp}`,
|
||||
`HY2XS_HYSTERIA_BANDWIDTH_DOWN=${config.hysteriaBandwidthDown}`,
|
||||
`HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH=${config.hysteriaIgnoreClientBandwidth}`,
|
||||
`HY2XS_HYSTERIA_CONFIG_PATH=${config.hysteriaConfigPath}`,
|
||||
`HY2XS_INSTALL_DIR=${config.installDir}`,
|
||||
`HY2XS_DATA_DIR=${config.dataDir}`,
|
||||
`HY2XS_LOG_DIR=${config.logDir}`
|
||||
const entries: [string, string][] = [
|
||||
["HY2XS_CONFIG_SCHEMA_VERSION", String(config.configSchemaVersion)],
|
||||
["HY2XS_IPV6_ENABLED", String(config.ipv6Enabled)],
|
||||
["HY2XS_DOMAIN", config.domain],
|
||||
["HY2XS_DNS_AAAA_POLICY", config.dnsAaaaPolicy],
|
||||
["HY2XS_PUBLIC_ENDPOINT_POLICY", config.publicEndpointPolicy],
|
||||
["HY2XS_PUBLIC_HOST", config.publicHost],
|
||||
["HY2XS_PUBLIC_PORT", String(config.publicPort)],
|
||||
["HY2XS_SSH_PORT", String(config.sshPort)],
|
||||
["HY2XS_FIREWALL_MODE", config.firewallMode],
|
||||
["HY2XS_FIREWALL_STAGED_APPLY", String(config.firewallStagedApply)],
|
||||
["HY2XS_UI_BIND_HOST", config.uiBindHost],
|
||||
["HY2XS_UI_PUBLIC_ACCESS", String(config.uiPublicAccess)],
|
||||
["HY2XS_UI_PORT", String(config.uiPort)],
|
||||
["HY2XS_ADMIN_USER", config.adminUser],
|
||||
["HY2XS_ADMIN_INITIAL_PASSWORD", config.adminInitialPassword],
|
||||
["HY2XS_ADMIN_CON_PASS", config.adminConPass],
|
||||
["HY2XS_FORCE_PASSWORD_CHANGE", String(config.forcePasswordChange)],
|
||||
["HY2XS_ALLOW_SELF_SIGNED_DEV", String(config.allowSelfSignedDev)],
|
||||
["HY2XS_TLS_MODE", config.tlsMode],
|
||||
["HY2XS_ACME_TYPE", config.acmeType],
|
||||
["HY2XS_ACME_EMAIL", config.acmeEmail],
|
||||
["HY2XS_TLS_CERT_PATH", config.tlsCertPath],
|
||||
["HY2XS_TLS_KEY_PATH", config.tlsKeyPath],
|
||||
["HY2XS_HYSTERIA_BIND_HOST", config.hysteriaBindHost],
|
||||
["HY2XS_HYSTERIA_PORT", String(config.hysteriaPort)],
|
||||
["HY2XS_HYSTERIA_AUTH_MODE", config.hysteriaAuthMode],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_HOST", config.hysteriaTrafficStatsHost],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_PORT", String(config.hysteriaTrafficStatsPort)],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET", config.hysteriaTrafficStatsSecret],
|
||||
["HY2XS_HYSTERIA_OBFS_TYPE", config.hysteriaObfsType],
|
||||
["HY2XS_HYSTERIA_OBFS_PASSWORD", config.hysteriaObfsPassword],
|
||||
["HY2XS_HYSTERIA_BANDWIDTH_UP", config.hysteriaBandwidthUp],
|
||||
["HY2XS_HYSTERIA_BANDWIDTH_DOWN", config.hysteriaBandwidthDown],
|
||||
["HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH", String(config.hysteriaIgnoreClientBandwidth)],
|
||||
["HY2XS_HYSTERIA_CONFIG_PATH", config.hysteriaConfigPath],
|
||||
["HY2XS_INSTALL_DIR", config.installDir],
|
||||
["HY2XS_DATA_DIR", config.dataDir],
|
||||
["HY2XS_LOG_DIR", config.logDir]
|
||||
];
|
||||
return `${lines.join("\n")}\n`;
|
||||
return `# HY2XS runtime config (editable)\n${renderEnvFile(entries)}`;
|
||||
}
|
||||
|
||||
@@ -60,14 +60,26 @@ export const ADMIN_LOGIN_PATH = `${ADMIN_API_BASE}/auth/login`;
|
||||
* отказ установки чинится одной строкой в hy2xs.env, а неработающий вход на
|
||||
* готовом сервере — переустановкой.
|
||||
*
|
||||
* Значения обязаны совпадать с apps/service/admin_credentials.go; сверка
|
||||
* выполняется тестом admin-credentials.test.ts, который читает Go-исходник.
|
||||
* Значения обязаны совпадать с apps/credential/admin.go; сверка выполняется
|
||||
* тестом admin-credentials.test.ts, который читает Go-исходник.
|
||||
*/
|
||||
export const ADMIN_USERNAME_MIN_LENGTH = 6;
|
||||
export const ADMIN_USERNAME_MAX_LENGTH = 32;
|
||||
export const ADMIN_PASSWORD_MIN_LENGTH = 6;
|
||||
export const ADMIN_PASSWORD_MAX_LENGTH = 64;
|
||||
|
||||
/**
|
||||
* Предел bcrypt — в БАЙТАХ.
|
||||
*
|
||||
* Он существует одновременно с границей в символах и не выводится из неё: у 64
|
||||
* символов длина от 64 до 256 байт в зависимости от алфавита. Пока оркестратор
|
||||
* знал только границу в символах, он пропускал в hy2xs.env пароль вроде 64
|
||||
* кириллических букв (128 байт), установка проходила целиком, а первая учётная
|
||||
* запись администратора не создавалась вовсе — bcrypt отвечал
|
||||
* ErrPasswordTooLong уже внутри админки, при старте службы.
|
||||
*/
|
||||
export const ADMIN_PASSWORD_MAX_BYTES = 72;
|
||||
|
||||
/**
|
||||
* Набор символов логина в записи регекспа.
|
||||
*
|
||||
@@ -105,19 +117,57 @@ export function assertValidAdminUsername(name: string, value: string): string {
|
||||
}
|
||||
|
||||
/**
|
||||
* Проверка пароля администратора против контракта панели.
|
||||
* Единственное правило пароля администратора на стороне оркестратора.
|
||||
*
|
||||
* Набор символов НЕ проверяется: сервер его не ограничивает ни при установке,
|
||||
* ни при смене пароля. Проверяется только длина — и в РУНАХ, ровно так её
|
||||
* считает валидатор админки. `String.length` считает единицы UTF-16, и пароль
|
||||
* из эмодзи прошёл бы здесь и отказался бы на форме входа.
|
||||
* Копия Go-контракта, и сверяется с ним по исходнику (admin-credentials.test.ts):
|
||||
* оркестратор собирается отдельно от Go-бинарника и импортировать его константы
|
||||
* не может.
|
||||
*
|
||||
* Правило состоит из трёх частей, и каждая закрывает свой класс отказа.
|
||||
*
|
||||
* Длина в CODE POINTS, а не в `String.length`. `String.length` считает единицы
|
||||
* UTF-16, и пароль из трёх эмодзи имел бы здесь длину 6 — прошёл бы минимум и
|
||||
* получил отказ на форме входа, где сервер видит три руны.
|
||||
*
|
||||
* Длина в БАЙТАХ — предел bcrypt. Пока его не было, пароль из 64 кириллических
|
||||
* букв проходил установку целиком, а учётная запись администратора не
|
||||
* создавалась: bcrypt отвечал ErrPasswordTooLong при старте админки, и оператор
|
||||
* получал не отказ установки, а сервер без администратора.
|
||||
*
|
||||
* Запрет управляющих символов — требование транспорта. Значение уезжает в
|
||||
* /etc/hy2xs/hy2xs.env, который systemd читает как EnvironmentFile; границей
|
||||
* строки там является байт `\n` или `\r`, и пароль с ними не имеет
|
||||
* представления, переживающего запись и чтение. См. lib/envFile.ts.
|
||||
*
|
||||
* Набор символов сверх этого НЕ ограничивается: сервер его не ограничивает ни
|
||||
* при установке, ни при смене пароля, и оркестратор не имеет права быть строже.
|
||||
* Пробелы по краям — часть пароля и не снимаются.
|
||||
*/
|
||||
export function isValidAdminPassword(value: string): boolean {
|
||||
let characters = 0;
|
||||
for (const character of value) {
|
||||
const code = character.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) {
|
||||
return false;
|
||||
}
|
||||
characters += 1;
|
||||
}
|
||||
|
||||
if (characters < ADMIN_PASSWORD_MIN_LENGTH || characters > ADMIN_PASSWORD_MAX_LENGTH) {
|
||||
return false;
|
||||
}
|
||||
|
||||
return Buffer.byteLength(value, "utf8") <= ADMIN_PASSWORD_MAX_BYTES;
|
||||
}
|
||||
|
||||
export function assertValidAdminPassword(name: string, value: string): string {
|
||||
const length = [...value].length;
|
||||
if (length < ADMIN_PASSWORD_MIN_LENGTH || length > ADMIN_PASSWORD_MAX_LENGTH) {
|
||||
if (!isValidAdminPassword(value)) {
|
||||
throw new Error(
|
||||
`invalid ${name}: панель принимает пароль длиной от ${ADMIN_PASSWORD_MIN_LENGTH} ` +
|
||||
`до ${ADMIN_PASSWORD_MAX_LENGTH} символов, получено ${length}. ` +
|
||||
`до ${ADMIN_PASSWORD_MAX_LENGTH} символов Unicode, не длиннее ${ADMIN_PASSWORD_MAX_BYTES} байт ` +
|
||||
`в UTF-8 и без управляющих символов; получено ${[...value].length} символов ` +
|
||||
`и ${Buffer.byteLength(value, "utf8")} байт. ` +
|
||||
`Набор символов не ограничен, пробелы по краям являются частью пароля. ` +
|
||||
`Установка с другим значением завершилась бы успешно, а войти в панель было бы нельзя.`
|
||||
);
|
||||
}
|
||||
|
||||
@@ -0,0 +1,322 @@
|
||||
/**
|
||||
* Формат файлов `KEY=VALUE`, которые продукт пишет и читает: /etc/hy2xs/hy2xs.env
|
||||
* и /etc/hy2xs/bootstrap-admin.secret.
|
||||
*
|
||||
* Зачем этот модуль существует. У hy2xs.env ДВА читателя, и один из них не наш:
|
||||
* файл объявлен `EnvironmentFile=` в юните hy2xs-admin, то есть его разбирает
|
||||
* systemd. Пока оркестратор писал значения интерполяцией
|
||||
*
|
||||
* `HY2XS_ADMIN_INITIAL_PASSWORD=${config.adminInitialPassword}`
|
||||
*
|
||||
* а читал их построчным `split("=")` с `trim()`, форматом это не являлось —
|
||||
* это было совпадение поведения на значениях, у которых нет ни пробелов по
|
||||
* краям, ни кавычек, ни обратных слешей. Продукт при этом ОБЕЩАЕТ оператору,
|
||||
* что набор символов пароля не ограничен, а пробел по краям — часть значения.
|
||||
* Обещание не выполнялось ни одним из двух читателей:
|
||||
*
|
||||
* - systemd у НЕ закавыченного значения срезает пробелы по краям и трактует
|
||||
* `\` как escape (src/basic/env-file.c, состояние VALUE);
|
||||
* - собственный парсер срезал пробелы своим `trim()`.
|
||||
*
|
||||
* То есть пароль с краевым пробелом терялся ещё до запуска админки, а пароль с
|
||||
* обратным слешем приезжал изменённым.
|
||||
*
|
||||
* Поэтому здесь ровно две функции, и они обратны друг другу:
|
||||
*
|
||||
* parseEnvFile — разбор по правилам systemd;
|
||||
* formatEnvAssignment — запись, которую systemd разберёт обратно побайтово.
|
||||
*
|
||||
* Правила разбора не выдуманы и не выведены из документации: они повторяют
|
||||
* конечный автомат `parse_env_file_internal` из systemd/src/basic/env-file.c.
|
||||
* Существенны четыре его свойства:
|
||||
*
|
||||
* 1. у НЕ закавыченного значения срезаются пробелы в конце, `\` уводит в
|
||||
* escape, `\<перевод строки>` склеивает строки;
|
||||
* 2. в одинарных кавычках всё literal до закрывающей кавычки — escape там
|
||||
* НЕТ (это отличие от sh);
|
||||
* 3. в двойных кавычках `\` уводит в escape, и escape «разворачивается»
|
||||
* только для SHELL_NEED_ESCAPE — то есть для `"`, `\`, `` ` `` и `$`;
|
||||
* для любого другого символа обратный слеш СОХРАНЯЕТСЯ вместе с ним;
|
||||
* 4. подстановки переменных в env-файле нет вовсе: `$` внутри значения —
|
||||
* обычный символ.
|
||||
*
|
||||
* Из (3) и (4) следует кодирование, которое переживает любое издание systemd:
|
||||
* двойные кавычки и экранирование ТОЛЬКО `\` и `"`. Оба входят в
|
||||
* SHELL_NEED_ESCAPE, поэтому разворачиваются одинаково и в действующем
|
||||
* издании, и в тех, где escape в двойных кавычках снимался безусловно.
|
||||
*/
|
||||
|
||||
/** Символы, которые systemd считает границей строки. */
|
||||
const NEWLINE = "\n\r";
|
||||
/** Символы, которые systemd считает пробельными. */
|
||||
const WHITESPACE = " \t\n\r";
|
||||
/** Начало комментария — только в позиции, где ожидается имя переменной. */
|
||||
const COMMENTS = "#;";
|
||||
/**
|
||||
* SHELL_NEED_ESCAPE из systemd: внутри двойных кавычек обратный слеш перед этими
|
||||
* символами снимается, перед любым другим — сохраняется.
|
||||
*/
|
||||
const SHELL_NEED_ESCAPE = '"\\`$';
|
||||
|
||||
type State =
|
||||
| "PRE_KEY"
|
||||
| "KEY"
|
||||
| "PRE_VALUE"
|
||||
| "VALUE"
|
||||
| "VALUE_ESCAPE"
|
||||
| "SINGLE_QUOTE_VALUE"
|
||||
| "DOUBLE_QUOTE_VALUE"
|
||||
| "DOUBLE_QUOTE_VALUE_ESCAPE"
|
||||
| "COMMENT"
|
||||
| "COMMENT_ESCAPE";
|
||||
|
||||
/**
|
||||
* Разбирает содержимое env-файла ровно так, как это делает systemd.
|
||||
*
|
||||
* Строка без `=` — ОШИБКА, а не пропуск. systemd такую строку молча
|
||||
* отбрасывает, и здесь это единственное намеренное расхождение: молчаливая
|
||||
* потеря строки из /etc/hy2xs/hy2xs.env означала бы установку с настройкой,
|
||||
* которую оператор задал, а продукт не увидел. Расхождение в сторону отказа
|
||||
* безопасно — оно останавливает установку там, где её можно починить.
|
||||
*/
|
||||
export function parseEnvFile(content: string): Record<string, string> {
|
||||
const result: Record<string, string> = {};
|
||||
|
||||
let state: State = "PRE_KEY";
|
||||
let key = "";
|
||||
let value = "";
|
||||
let lastKeyWhitespace = -1;
|
||||
let lastValueWhitespace = -1;
|
||||
let line = 1;
|
||||
|
||||
const flush = (stripValueWhitespace: boolean): void => {
|
||||
const name = lastKeyWhitespace < 0 ? key : key.slice(0, lastKeyWhitespace);
|
||||
const raw =
|
||||
stripValueWhitespace && lastValueWhitespace >= 0
|
||||
? value.slice(0, lastValueWhitespace)
|
||||
: value;
|
||||
if (name !== "") {
|
||||
result[name] = raw;
|
||||
}
|
||||
key = "";
|
||||
value = "";
|
||||
lastKeyWhitespace = -1;
|
||||
lastValueWhitespace = -1;
|
||||
};
|
||||
|
||||
for (const c of content) {
|
||||
switch (state) {
|
||||
case "PRE_KEY":
|
||||
if (COMMENTS.includes(c)) {
|
||||
state = "COMMENT";
|
||||
} else if (!WHITESPACE.includes(c)) {
|
||||
state = "KEY";
|
||||
lastKeyWhitespace = -1;
|
||||
key += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "KEY":
|
||||
if (NEWLINE.includes(c)) {
|
||||
// Имя без `=`. systemd молча отбрасывает такую строку; мы называем её.
|
||||
throw new Error(`invalid env line ${line}: ${key.trim()}`);
|
||||
} else if (c === "=") {
|
||||
state = "PRE_VALUE";
|
||||
lastValueWhitespace = -1;
|
||||
} else {
|
||||
if (!WHITESPACE.includes(c)) {
|
||||
lastKeyWhitespace = -1;
|
||||
} else if (lastKeyWhitespace < 0) {
|
||||
lastKeyWhitespace = key.length;
|
||||
}
|
||||
key += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "PRE_VALUE":
|
||||
if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
flush(false);
|
||||
} else if (c === "'") {
|
||||
state = "SINGLE_QUOTE_VALUE";
|
||||
} else if (c === '"') {
|
||||
state = "DOUBLE_QUOTE_VALUE";
|
||||
} else if (c === "\\") {
|
||||
state = "VALUE_ESCAPE";
|
||||
} else if (!WHITESPACE.includes(c)) {
|
||||
state = "VALUE";
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "VALUE":
|
||||
if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
flush(true);
|
||||
} else if (c === "\\") {
|
||||
state = "VALUE_ESCAPE";
|
||||
lastValueWhitespace = -1;
|
||||
} else {
|
||||
if (!WHITESPACE.includes(c)) {
|
||||
lastValueWhitespace = -1;
|
||||
} else if (lastValueWhitespace < 0) {
|
||||
lastValueWhitespace = value.length;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "VALUE_ESCAPE":
|
||||
state = "VALUE";
|
||||
// Экранированный перевод строки — склейка строк, и он съедается целиком.
|
||||
if (!NEWLINE.includes(c)) {
|
||||
value += c;
|
||||
} else {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "SINGLE_QUOTE_VALUE":
|
||||
// Escape внутри одинарных кавычек НЕТ: всё до закрывающей кавычки
|
||||
// приезжает как есть. Это отличие от sh, и именно поэтому кодирование
|
||||
// ниже использует двойные кавычки — в одинарных нельзя записать сам
|
||||
// апостроф.
|
||||
if (c === "'") {
|
||||
state = "PRE_VALUE";
|
||||
} else {
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "DOUBLE_QUOTE_VALUE":
|
||||
if (c === '"') {
|
||||
state = "PRE_VALUE";
|
||||
} else if (c === "\\") {
|
||||
state = "DOUBLE_QUOTE_VALUE_ESCAPE";
|
||||
} else {
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "DOUBLE_QUOTE_VALUE_ESCAPE":
|
||||
state = "DOUBLE_QUOTE_VALUE";
|
||||
if (SHELL_NEED_ESCAPE.includes(c)) {
|
||||
value += c;
|
||||
} else if (!NEWLINE.includes(c)) {
|
||||
// Обратный слеш СОХРАНЯЕТСЯ вместе с символом — «как делает
|
||||
// настоящий shell», по формулировке самого systemd.
|
||||
value += "\\" + c;
|
||||
} else {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "COMMENT":
|
||||
if (c === "\\") {
|
||||
state = "COMMENT_ESCAPE";
|
||||
} else if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "COMMENT_ESCAPE":
|
||||
state = "COMMENT";
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
}
|
||||
}
|
||||
|
||||
// Хвост без перевода строки на конце файла.
|
||||
switch (state) {
|
||||
case "KEY":
|
||||
throw new Error(`invalid env line ${line}: ${key.trim()}`);
|
||||
case "PRE_VALUE":
|
||||
flush(false);
|
||||
break;
|
||||
case "VALUE":
|
||||
flush(true);
|
||||
break;
|
||||
case "VALUE_ESCAPE":
|
||||
case "SINGLE_QUOTE_VALUE":
|
||||
case "DOUBLE_QUOTE_VALUE":
|
||||
case "DOUBLE_QUOTE_VALUE_ESCAPE":
|
||||
// Незакрытая кавычка — испорченный файл, а не значение до конца файла.
|
||||
// systemd в этом месте отдаёт то, что успел накопить; для конфигурации,
|
||||
// от которой зависит доступ в панель, «что успели накопить» — не ответ.
|
||||
throw new Error(`unterminated env value for ${key.trim()}`);
|
||||
default:
|
||||
break;
|
||||
}
|
||||
|
||||
return result;
|
||||
}
|
||||
|
||||
/**
|
||||
* Значения, которые можно записать без кавычек.
|
||||
*
|
||||
* Набор намеренно узкий и не выведен из правил systemd: цель — чтобы уже
|
||||
* существующие строки файла (пути, порты, домены, `50 mbps`, base64url-секреты)
|
||||
* остались побайтово прежними, а всё хоть сколько-нибудь необычное уезжало в
|
||||
* кавычки. Одиночные пробелы ВНУТРИ значения разрешены, по краям — нет: именно
|
||||
* краевые systemd и срезает.
|
||||
*/
|
||||
const UNQUOTED_SAFE_VALUE = /^[A-Za-z0-9_\-.\/:@,=+%]+(?: [A-Za-z0-9_\-.\/:@,=+%]+)*$/;
|
||||
|
||||
/**
|
||||
* Проверяет, что значение вообще представимо в этом формате.
|
||||
*
|
||||
* Управляющих символов формат не несёт: перевод строки — граница записи, а не
|
||||
* данные. Отказ здесь громкий намеренно — молчаливая потеря части секрета
|
||||
* означала бы установку, после которой невозможно войти, и причину, которой
|
||||
* негде увидеться.
|
||||
*/
|
||||
export function assertEnvTransportable(name: string, value: string): string {
|
||||
for (const character of value) {
|
||||
const code = character.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) {
|
||||
throw new Error(
|
||||
`${name} contains a control character (U+${code.toString(16).toUpperCase().padStart(4, "0")}): ` +
|
||||
`формат KEY=VALUE, который читают systemd и оркестратор, управляющих символов не несёт`
|
||||
);
|
||||
}
|
||||
}
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* Собирает строку `KEY=VALUE`, которую systemd разберёт обратно побайтово.
|
||||
*
|
||||
* Кавычки ставятся только когда они нужны, и это не косметика: пока запись
|
||||
* остаётся прежней для обычных значений, релизные гейты и инструкции оператора,
|
||||
* ищущие строку `grep '^HY2XS_UI_PORT=8080$'`, продолжают работать, а изменение
|
||||
* формата видно ровно там, где оно что-то чинит.
|
||||
*/
|
||||
export function formatEnvAssignment(key: string, value: string): string {
|
||||
assertEnvTransportable(key, value);
|
||||
|
||||
if (value === "" || UNQUOTED_SAFE_VALUE.test(value)) {
|
||||
return `${key}=${value}`;
|
||||
}
|
||||
|
||||
// Экранируются ТОЛЬКО `\` и `"`. Оба входят в SHELL_NEED_ESCAPE, поэтому
|
||||
// разворачиваются обратно одинаково во всех изданиях systemd. Backtick и `$`
|
||||
// внутри двойных кавычек — обычные символы: подстановки в env-файле нет.
|
||||
const escaped = value.replace(/\\/g, "\\\\").replace(/"/g, '\\"');
|
||||
return `${key}="${escaped}"`;
|
||||
}
|
||||
|
||||
/** Готовый файл из пар, каждая — через formatEnvAssignment. */
|
||||
export function renderEnvFile(entries: readonly (readonly [string, string])[]): string {
|
||||
return `${entries.map(([key, value]) => formatEnvAssignment(key, value)).join("\n")}\n`;
|
||||
}
|
||||
@@ -1,5 +1,6 @@
|
||||
import type { RuntimeContext } from "../types/context";
|
||||
import { fileExists, readText, renderTemplate, writeTextAtomic } from "../lib/fs";
|
||||
import { renderEnvFile } from "../lib/envFile";
|
||||
import { runMutatingVisible } from "../lib/process";
|
||||
import {
|
||||
BBR_PROFILE,
|
||||
@@ -56,14 +57,23 @@ export async function writePostInstallEnv(context: RuntimeContext): Promise<void
|
||||
});
|
||||
}
|
||||
|
||||
/**
|
||||
* Пишет /etc/hy2xs/bootstrap-admin.secret.
|
||||
*
|
||||
* Тот же формат и тот же кодировщик, что и у hy2xs.env, и по той же причине: в
|
||||
* файле лежит пароль администратора, набор символов которого продукт объявил
|
||||
* неограниченным. Пока строки собирались интерполяцией, пароль с пробелом по
|
||||
* краям, кавычкой или обратным слешем нельзя было прочитать обратно — а читает
|
||||
* этот файл smoke, чтобы ДОКАЗАТЬ, что в панель можно войти.
|
||||
*/
|
||||
export async function writeBootstrapAdminSecret(context: RuntimeContext): Promise<void> {
|
||||
await writeTextAtomic(
|
||||
context.config.bootstrapAdminSecretPath,
|
||||
[
|
||||
`ADMIN_USER=${context.config.adminUser}`,
|
||||
`ADMIN_INITIAL_PASSWORD=${context.config.adminInitialPassword}`,
|
||||
`ADMIN_CON_PASS=${context.config.adminConPass}`
|
||||
].join("\n") + "\n",
|
||||
renderEnvFile([
|
||||
["ADMIN_USER", context.config.adminUser],
|
||||
["ADMIN_INITIAL_PASSWORD", context.config.adminInitialPassword],
|
||||
["ADMIN_CON_PASS", context.config.adminConPass]
|
||||
]),
|
||||
{
|
||||
mode: 0o600,
|
||||
owner: "root",
|
||||
|
||||
+114
-17
@@ -1,6 +1,8 @@
|
||||
import { randomBytes } from "node:crypto";
|
||||
import type { RuntimeContext } from "../types/context";
|
||||
import { info } from "../lib/log";
|
||||
import { readText } from "../lib/fs";
|
||||
import { parseEnvFile } from "../lib/envFile";
|
||||
import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
|
||||
import { ADMIN_LOGIN_PATH, HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
|
||||
@@ -194,7 +196,7 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
}
|
||||
|
||||
if (context.mode === "install") {
|
||||
const adminConPass = (await runReadOnlySecret`grep '^ADMIN_CON_PASS=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`).trim();
|
||||
const adminConPass = (await readBootstrapAdminSecret(context)).ADMIN_CON_PASS ?? "";
|
||||
if (!adminConPass) {
|
||||
throw new Error("admin connection password is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -279,36 +281,55 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
const loginUrl = `http://127.0.0.1:${context.config.uiPort}${ADMIN_LOGIN_PATH}`;
|
||||
|
||||
// Отрицательная проба доказывает ОТКАЗ, а не отсутствие HTTP 500.
|
||||
//
|
||||
// Здесь стояли жёстко записанный пароль `definitely-not-the-admin-password` и
|
||||
// критерий `code.trim() === "200"`. У этой пары было два изъяна. Пароль был
|
||||
// литералом, то есть теоретически мог оказаться настоящим — и тогда проверка
|
||||
// «неверные данные отвергаются» отчиталась бы об успешном ВХОДЕ. А критерий
|
||||
// «HTTP 200» не отличал отказ от успеха вовсе: админка отвечает 200 и на то,
|
||||
// и на другое, причина живёт в конверте. Проверка доказывала ровно одно —
|
||||
// что запрос не закончился пятисоткой.
|
||||
//
|
||||
// Теперь пароль генерируется в момент пробы, а результат сверяется с
|
||||
// конвертом: код 50000, причина `invalid_credentials` и ОТСУТСТВИЕ токена
|
||||
// доступа. Логин берётся настоящий — тот же, что у администратора, — чтобы
|
||||
// запрос шёл тем же путём, что и реальный вход, и доходил до проверки пароля.
|
||||
const rejectedPassword = randomBytes(24).toString("base64url");
|
||||
const rejectedPayload = JSON.stringify({
|
||||
username: "hy2xsadmin",
|
||||
pass: "definitely-not-the-admin-password"
|
||||
username: context.config.adminUser,
|
||||
pass: rejectedPassword
|
||||
});
|
||||
const rejectedStatus = await retry(
|
||||
const rejectedBody = await retry(
|
||||
"admin login rejects wrong credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(code) => code.trim() === "200",
|
||||
(code, error) =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(body) => isRejectedLogin(body),
|
||||
(body, error) =>
|
||||
new Error(
|
||||
`admin login answered HTTP ${code ?? String(error)} for invalid credentials: ` +
|
||||
`панель обязана отвечать конвертом отказа, а HTTP 500 здесь означает, что запрос ` +
|
||||
`не доживает до проверки учётных данных`
|
||||
`admin login did not reject invalid credentials: ${describeRejectionFailure(body, error)}\n` +
|
||||
`Панель обязана отвечать конвертом отказа с причиной ${INVALID_CREDENTIALS_CODE}. ` +
|
||||
`Отсутствие такого конверта означает, что запрос не доживает до проверки учётных данных.`
|
||||
)
|
||||
);
|
||||
info(`admin login rejects wrong credentials with HTTP ${rejectedStatus.trim()}`);
|
||||
info(`admin login rejects wrong credentials: ${describeRejection(rejectedBody)}`);
|
||||
|
||||
if (context.mode !== "install") {
|
||||
return;
|
||||
}
|
||||
|
||||
const adminUser = (
|
||||
await runReadOnlySecret`grep '^ADMIN_USER=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
const adminPassword = (
|
||||
await runReadOnlySecret`grep '^ADMIN_INITIAL_PASSWORD=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
// Файл читается ЦЕЛИКОМ и разбирается тем же парсером, которым он написан.
|
||||
//
|
||||
// Здесь стояло `grep … | cut -d= -f2-` с последующим `.trim()`, и это был
|
||||
// третий по счёту слой, срезающий пробелы у пароля, набор символов которого
|
||||
// объявлен неограниченным. Даже с починенными env-транспортом и админкой
|
||||
// проба брала бы не тот пароль и объявляла бы рабочую установку сломанной.
|
||||
// Побочно исчез и прогон секрета через shell-конвейер.
|
||||
const bootstrap = await readBootstrapAdminSecret(context);
|
||||
const adminUser = bootstrap.ADMIN_USER ?? "";
|
||||
const adminPassword = bootstrap.ADMIN_INITIAL_PASSWORD ?? "";
|
||||
if (!adminUser) {
|
||||
throw new Error("admin username is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -316,6 +337,13 @@ async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
throw new Error("admin initial password is empty in bootstrap secret file");
|
||||
}
|
||||
|
||||
// Отрицательная проба обязана быть отрицательной. Совпадение случайного
|
||||
// пароля с настоящим невероятно, но проверить это здесь можно точно, и тогда
|
||||
// «отвергнуто» гарантированно означает «отвергнуто», а не «не совпало».
|
||||
if (rejectedPassword === adminPassword) {
|
||||
throw new Error("negative login probe accidentally used the real admin password");
|
||||
}
|
||||
|
||||
const payload = JSON.stringify({ username: adminUser, pass: adminPassword });
|
||||
const response = await retry(
|
||||
"admin login with bootstrap credentials",
|
||||
@@ -348,6 +376,75 @@ function isSuccessfulLogin(body: string): boolean {
|
||||
return /"code"\s*:\s*20000/.test(body) && /"accessToken"\s*:\s*"[^"]+"/.test(body);
|
||||
}
|
||||
|
||||
/**
|
||||
* Код причины отказа по учётным данным — тот же литерал, что и
|
||||
* constant.ErrCodeInvalidCredentials в админке.
|
||||
*
|
||||
* Он часть публичного контракта API: панель выбирает по нему локализованную
|
||||
* фразу, и его значение не меняется вместе с формулировками сообщений.
|
||||
*/
|
||||
const INVALID_CREDENTIALS_CODE = "invalid_credentials";
|
||||
|
||||
/**
|
||||
* Отказ определяется по КОНВЕРТУ целиком, а не по отсутствию HTTP 500.
|
||||
*
|
||||
* Требуются три признака сразу, и каждый закрывает свой способ ошибиться:
|
||||
*
|
||||
* код ответа 50000 — это отказ уровня операции, а не успех (20000) и
|
||||
* не отказ валидации (50001), который означал бы,
|
||||
* что проба отправила негодный запрос и до проверки
|
||||
* пароля он не дошёл;
|
||||
* причина invalid_credentials — отказ именно по учётным данным, а не,
|
||||
* скажем, по недоступной базе;
|
||||
* отсутствие accessToken — панель не выдала сессию.
|
||||
*/
|
||||
function isRejectedLogin(body: string): boolean {
|
||||
return (
|
||||
/"code"\s*:\s*50000/.test(body) &&
|
||||
new RegExp(`"code"\\s*:\\s*"${INVALID_CREDENTIALS_CODE}"`).test(body) &&
|
||||
!/"accessToken"\s*:\s*"[^"]+"/.test(body)
|
||||
);
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина, по которой отрицательная проба не признана отказом, — БЕЗ тела
|
||||
* ответа.
|
||||
*
|
||||
* Тело сюда попасть не может по той же причине, что и в describeLoginFailure:
|
||||
* если панель по недоразумению впустила, в ответе лежит токен доступа, а этот
|
||||
* текст уезжает в журнал установки и в diagnostics-бандл.
|
||||
*/
|
||||
function describeRejectionFailure(body: string | undefined, error: unknown): string {
|
||||
if (body === undefined) {
|
||||
return `запрос не выполнен: ${String(error)}`;
|
||||
}
|
||||
if (/"accessToken"\s*:\s*"[^"]+"/.test(body)) {
|
||||
return "панель ВЫДАЛА токен доступа на заведомо неверные учётные данные";
|
||||
}
|
||||
return describeRejection(body);
|
||||
}
|
||||
|
||||
/** Как выглядит отказ: код конверта и код причины, без тела. */
|
||||
function describeRejection(body: string): string {
|
||||
const envelope = body.match(/"code"\s*:\s*(\d+)/);
|
||||
const reason = body.match(/"code"\s*:\s*"([a-z_]+)"/);
|
||||
return `code=${envelope ? envelope[1] : "нет"}, причина=${reason ? reason[1] : "нет"}, токен не выдан`;
|
||||
}
|
||||
|
||||
// Читает /etc/hy2xs/bootstrap-admin.secret тем же парсером, которым он написан.
|
||||
//
|
||||
// Файл несёт пароль администратора, у которого набор символов не ограничен, а
|
||||
// пробелы по краям являются частью значения. Прежнее чтение —
|
||||
// `grep … | cut -d= -f2-` с `.trim()` — не умело ни того, ни другого, и вдобавок
|
||||
// прогоняло секрет через shell-конвейер.
|
||||
//
|
||||
// Комментарий записан строчными `//`, а не блоком: скан релизных гейтов
|
||||
// отбрасывает только их, и объяснение, называющее убранную конструкцию по
|
||||
// имени, иначе роняет проверку «этой конструкции здесь больше нет».
|
||||
async function readBootstrapAdminSecret(context: RuntimeContext): Promise<Record<string, string>> {
|
||||
return parseEnvFile(await readText(context.config.bootstrapAdminSecretPath));
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина отказа БЕЗ тела ответа.
|
||||
*
|
||||
|
||||
@@ -5,12 +5,14 @@ import path from "node:path";
|
||||
import { parseRuntimeEnv } from "../src/config/env";
|
||||
import {
|
||||
ADMIN_LOGIN_PATH,
|
||||
ADMIN_PASSWORD_MAX_BYTES,
|
||||
ADMIN_PASSWORD_MAX_LENGTH,
|
||||
ADMIN_PASSWORD_MIN_LENGTH,
|
||||
ADMIN_USERNAME_CHARSET,
|
||||
ADMIN_USERNAME_MAX_LENGTH,
|
||||
ADMIN_USERNAME_MIN_LENGTH,
|
||||
ADMIN_USERNAME_PATTERN
|
||||
ADMIN_USERNAME_PATTERN,
|
||||
isValidAdminPassword
|
||||
} from "../src/config/profile";
|
||||
import { baselineConfig, envText } from "./fixtures";
|
||||
|
||||
@@ -28,7 +30,7 @@ const REPO_ROOT = path.resolve(import.meta.dir, "..", "..");
|
||||
|
||||
function goContract(): string {
|
||||
return fs.readFileSync(
|
||||
path.join(REPO_ROOT, "apps", "service", "admin_credentials.go"),
|
||||
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
|
||||
"utf8"
|
||||
);
|
||||
}
|
||||
@@ -43,18 +45,37 @@ function goConst(name: string): string {
|
||||
if (backticked) {
|
||||
return backticked[1];
|
||||
}
|
||||
throw new Error(`константа ${name} не найдена в apps/service/admin_credentials.go`);
|
||||
throw new Error(`константа ${name} не найдена в apps/credential/admin.go`);
|
||||
}
|
||||
|
||||
/**
|
||||
* Содержимое файла без комментариев.
|
||||
*
|
||||
* Проверять положено КОД, а не упоминания: комментарий, объясняющий, почему
|
||||
* убранной конструкции здесь больше нет, обязан называть её по имени, иначе он
|
||||
* бесполезен, — и проверка «такой конструкции в файле нет» начинает падать
|
||||
* ровно на той документации, которая описывает выполненную ею же работу.
|
||||
*/
|
||||
function codeOf(source: string): string {
|
||||
return source
|
||||
.split("\n")
|
||||
.filter((line) => !/^\s*(\/\/|\/?\*)/.test(line))
|
||||
.join("\n");
|
||||
}
|
||||
|
||||
describe("контракт учётных данных совпадает с админкой", () => {
|
||||
// Копия контракта в TypeScript неизбежна: оркестратор собирается отдельно от
|
||||
// Go-бинарника и импортировать его константы не может. Проверяется поэтому
|
||||
// не отсутствие копии, а её совпадение с оригиналом — сверкой по исходнику.
|
||||
test("границы длины совпадают с service.Admin*Length", () => {
|
||||
test("границы совпадают с credential.Admin*", () => {
|
||||
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(goConst("AdminUsernameMinLength"));
|
||||
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
|
||||
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
|
||||
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
|
||||
// Предел bcrypt — ОТДЕЛЬНАЯ константа и отдельная сверка: пока его тут не
|
||||
// было, оркестратор пропускал в hy2xs.env пароль, который админка не могла
|
||||
// захешировать, и установка заканчивалась сервером без администратора.
|
||||
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
|
||||
});
|
||||
|
||||
test("набор символов логина совпадает с классом из Go", () => {
|
||||
@@ -191,13 +212,79 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
|
||||
}
|
||||
});
|
||||
|
||||
// Длина считается в РУНАХ: 32 кириллические буквы — это 64 байта, и проверка
|
||||
// по байтам отвергла бы пароль, который панель принимает.
|
||||
test("длина считается в символах, а не в байтах", () => {
|
||||
const cyrillic = "я".repeat(ADMIN_PASSWORD_MAX_LENGTH);
|
||||
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: cyrillic }).adminInitialPassword).toBe(
|
||||
cyrillic
|
||||
// Границ ДВЕ, и они в разных единицах.
|
||||
//
|
||||
// Здесь стоял тест «длина считается в символах, а не в байтах», требовавший
|
||||
// приёма 64 кириллических букв. Он закреплял как ожидаемое ровно то значение,
|
||||
// на котором продукт ломался: 64 символа — это 128 байт, а
|
||||
// bcrypt.GenerateFromPassword отвечает ErrPasswordTooLong строго при длине
|
||||
// больше 72 байт. Установка проходила целиком, а первая учётная запись
|
||||
// администратора не создавалась вовсе.
|
||||
//
|
||||
// Длина по-прежнему считается в СИМВОЛАХ — иначе оркестратор был бы строже
|
||||
// панели, — но байтовая граница существует одновременно с ней.
|
||||
test("границы пароля проверяются и в символах, и в байтах", () => {
|
||||
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
|
||||
// ниже проверяли бы не то, что написано.
|
||||
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
|
||||
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
|
||||
|
||||
const accepted = [
|
||||
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
|
||||
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH),
|
||||
"я".repeat(36),
|
||||
"😀".repeat(18),
|
||||
"abcde ",
|
||||
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH)
|
||||
];
|
||||
for (const password of accepted) {
|
||||
expect(isValidAdminPassword(password)).toBe(true);
|
||||
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }).adminInitialPassword).toBe(
|
||||
password
|
||||
);
|
||||
}
|
||||
|
||||
const rejected = [
|
||||
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH - 1),
|
||||
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
|
||||
"я".repeat(37),
|
||||
"😀".repeat(19),
|
||||
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)
|
||||
];
|
||||
for (const password of rejected) {
|
||||
expect(isValidAdminPassword(password)).toBe(false);
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })).toThrow(
|
||||
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
// Отказ обязан НАЗЫВАТЬ обе границы: пароль из 40 эмодзи укладывается в 64
|
||||
// символа и не укладывается в 72 байта, и сообщение «не длиннее 64 символов»
|
||||
// отправило бы оператора сокращать пароль, отвергнутый не за это.
|
||||
test("отказ называет и символы, и байты", () => {
|
||||
const tooManyBytes = `"${"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)}"`;
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
|
||||
new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`)
|
||||
);
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
|
||||
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`)
|
||||
);
|
||||
});
|
||||
|
||||
// Управляющий символ отвергается контрактом, а не теряется транспортом.
|
||||
test("управляющий символ в пароле роняет установку", () => {
|
||||
expect(isValidAdminPassword("abcde\n")).toBe(false);
|
||||
expect(isValidAdminPassword("abcde\t")).toBe(false);
|
||||
});
|
||||
|
||||
// Сгенерированный пароль обязан проходить контракт ЦЕЛИКОМ, включая байты:
|
||||
// генератор — такой же источник значения, как и оператор.
|
||||
test("сгенерированный пароль проходит контракт целиком", () => {
|
||||
for (let i = 0; i < 50; i += 1) {
|
||||
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }));
|
||||
expect(isValidAdminPassword(config.adminInitialPassword)).toBe(true);
|
||||
}
|
||||
});
|
||||
});
|
||||
|
||||
@@ -277,4 +364,66 @@ describe("smoke выполняет настоящий вход в панель",
|
||||
expect(rejected).toBeGreaterThan(-1);
|
||||
expect(modeGate).toBeGreaterThan(rejected);
|
||||
});
|
||||
|
||||
// Отрицательная проба обязана доказывать ОТКАЗ.
|
||||
//
|
||||
// Она проверяла `code.trim() === "200"`, то есть ровно одно: что запрос не
|
||||
// закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
|
||||
// поэтому «неверные учётные данные отвергнуты» этой проверкой не следовало.
|
||||
test("отрицательная проба сверяет конверт отказа, а не код HTTP", () => {
|
||||
const source = smoke();
|
||||
|
||||
expect(source).toContain("isRejectedLogin");
|
||||
// Код конверта отказа, доменная причина и ОТСУТСТВИЕ токена — три признака,
|
||||
// и каждый закрывает свой способ ошибиться.
|
||||
expect(source).toMatch(/"code"\\s\*:\\s\*50000/);
|
||||
expect(source).toContain('INVALID_CREDENTIALS_CODE = "invalid_credentials"');
|
||||
|
||||
const start = source.indexOf("function isRejectedLogin");
|
||||
const body = source.slice(start, source.indexOf("\n/**", start));
|
||||
expect(body).toContain("!/\"accessToken\"");
|
||||
});
|
||||
|
||||
// Доменный код обязан совпадать с тем, который объявляет админка.
|
||||
test("код причины отказа совпадает с constant.ErrCodeInvalidCredentials", () => {
|
||||
const goErrors = fs.readFileSync(
|
||||
path.join(REPO_ROOT, "apps", "model", "constant", "error.go"),
|
||||
"utf8"
|
||||
);
|
||||
const declared = goErrors.match(/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/);
|
||||
expect(declared).not.toBeNull();
|
||||
expect(smoke()).toContain(`INVALID_CREDENTIALS_CODE = "${declared![1]}"`);
|
||||
});
|
||||
|
||||
// Пароль отрицательной пробы не имеет права быть литералом: записанное в
|
||||
// исходнике значение теоретически может оказаться настоящим паролем, и тогда
|
||||
// проверка «неверные данные отвергаются» отчиталась бы об успешном ВХОДЕ.
|
||||
test("пароль отрицательной пробы генерируется, а не записан в исходнике", () => {
|
||||
const source = smoke();
|
||||
// Считается КОД, а не упоминания: комментарий, объясняющий, почему прежнего
|
||||
// литерала здесь больше нет, обязан называть его по имени — иначе он
|
||||
// бесполезен. Тот же урок уже записан в code_without_comments в
|
||||
// acceptance.sh и в codeOf во frontend-contract.test.ts.
|
||||
expect(codeOf(source)).not.toContain("definitely-not-the-admin-password");
|
||||
expect(source).toContain('randomBytes(24).toString("base64url")');
|
||||
expect(source).toContain("negative login probe accidentally used the real admin password");
|
||||
});
|
||||
|
||||
// Bootstrap-секрет читается ПАРСЕРОМ того же формата, которым он написан.
|
||||
//
|
||||
// Прежнее `grep … | cut -d= -f2-` с `.trim()` было третьим по счёту слоем,
|
||||
// срезающим краевые пробелы у пароля, набор символов которого объявлен
|
||||
// неограниченным: положительная проба брала не тот пароль и объявляла бы
|
||||
// рабочую установку сломанной.
|
||||
test("bootstrap-секрет читается парсером формата, а не шелл-конвейером", () => {
|
||||
const source = smoke();
|
||||
|
||||
expect(source).toContain("readBootstrapAdminSecret");
|
||||
expect(source).toContain("parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))");
|
||||
|
||||
// Извлечения значения шеллом не остаётся ни одного. Проверки НАЛИЧИЯ
|
||||
// ключей (`grep -q '^ADMIN_USER='`) при этом законны и остаются: они
|
||||
// отвечают на другой вопрос — цел ли файл, — и значения не читают.
|
||||
expect(codeOf(source)).not.toContain("cut -d= -f2-");
|
||||
});
|
||||
});
|
||||
|
||||
@@ -0,0 +1,191 @@
|
||||
import { describe, expect, test } from "bun:test";
|
||||
|
||||
import {
|
||||
assertEnvTransportable,
|
||||
formatEnvAssignment,
|
||||
parseEnvFile,
|
||||
renderEnvFile
|
||||
} from "../src/lib/envFile";
|
||||
import { parseRuntimeEnv, renderRuntimeEnv } from "../src/config/env";
|
||||
import { baselineConfig, envText } from "./fixtures";
|
||||
|
||||
/**
|
||||
* Формат /etc/hy2xs/hy2xs.env.
|
||||
*
|
||||
* У файла ДВА читателя, и один из них не наш: он объявлен `EnvironmentFile=` в
|
||||
* юните hy2xs-admin, то есть его разбирает systemd. Пока значения писались
|
||||
* интерполяцией, а читались `split("=")` с `trim()`, форматом это не являлось —
|
||||
* совпадение поведения держалось на том, что в значениях не встречалось ни
|
||||
* пробелов по краям, ни кавычек, ни обратных слешей. Продукт при этом обещает
|
||||
* оператору, что набор символов пароля не ограничен, а краевой пробел — часть
|
||||
* значения.
|
||||
*
|
||||
* Проверяется поэтому не «работает на наших данных», а совпадение с правилами
|
||||
* systemd (src/basic/env-file.c) на тех самых значениях, где прежний разбор
|
||||
* расходился.
|
||||
*/
|
||||
|
||||
describe("разбор повторяет правила systemd", () => {
|
||||
test("у незакавыченного значения срезаются краевые пробелы", () => {
|
||||
// Ровно это делает состояние VALUE: `value[last_value_whitespace] = 0`.
|
||||
// Отсюда и требование закавычивать пароль: иначе его хвост теряет systemd,
|
||||
// а не наш парсер.
|
||||
expect(parseEnvFile("KEY= value \n")).toEqual({ KEY: "value" });
|
||||
});
|
||||
|
||||
test("в двойных кавычках краевые пробелы сохраняются", () => {
|
||||
expect(parseEnvFile('KEY=" value "\n')).toEqual({ KEY: " value " });
|
||||
});
|
||||
|
||||
test("в двойных кавычках снимается escape только у SHELL_NEED_ESCAPE", () => {
|
||||
// systemd: `если символ из тех, что нуждаются в экранировании, — снять
|
||||
// экранирование; иначе оставить обратный слеш на месте, как делает shell`.
|
||||
expect(parseEnvFile('KEY="a\\"b"\n')).toEqual({ KEY: 'a"b' });
|
||||
expect(parseEnvFile('KEY="a\\\\b"\n')).toEqual({ KEY: "a\\b" });
|
||||
expect(parseEnvFile('KEY="a\\$b"\n')).toEqual({ KEY: "a$b" });
|
||||
expect(parseEnvFile('KEY="a\\`b"\n')).toEqual({ KEY: "a`b" });
|
||||
// `n` в SHELL_NEED_ESCAPE не входит: обратный слеш сохраняется.
|
||||
expect(parseEnvFile('KEY="a\\nb"\n')).toEqual({ KEY: "a\\nb" });
|
||||
});
|
||||
|
||||
test("подстановки переменных в значении нет", () => {
|
||||
// env-файл не является shell-скриптом: `$` — обычный символ.
|
||||
expect(parseEnvFile('KEY="$HOME ${OTHER}"\n')).toEqual({ KEY: "$HOME ${OTHER}" });
|
||||
});
|
||||
|
||||
test("в одинарных кавычках всё literal, escape там нет", () => {
|
||||
expect(parseEnvFile("KEY='a\\b\"c $d'\n")).toEqual({ KEY: 'a\\b"c $d' });
|
||||
});
|
||||
|
||||
test("незакавыченное значение обрабатывает обратный слеш как escape", () => {
|
||||
expect(parseEnvFile("KEY=a\\ b\n")).toEqual({ KEY: "a b" });
|
||||
// Экранированный перевод строки склеивает строки.
|
||||
expect(parseEnvFile("KEY=a\\\nb\n")).toEqual({ KEY: "ab" });
|
||||
});
|
||||
|
||||
test("комментарии и пустые строки пропускаются", () => {
|
||||
expect(parseEnvFile("# comment\n\n; other\n KEY=value\n")).toEqual({ KEY: "value" });
|
||||
});
|
||||
|
||||
test("пустое значение остаётся пустой строкой", () => {
|
||||
expect(parseEnvFile("KEY=\n")).toEqual({ KEY: "" });
|
||||
});
|
||||
|
||||
test("значение без перевода строки в конце файла не теряется", () => {
|
||||
expect(parseEnvFile("KEY=value")).toEqual({ KEY: "value" });
|
||||
});
|
||||
|
||||
// Единственное намеренное расхождение с systemd: он такую строку молча
|
||||
// отбрасывает. Молчаливая потеря строки из hy2xs.env означала бы установку с
|
||||
// настройкой, которую оператор задал, а продукт не увидел.
|
||||
test("строка без знака равенства — отказ, а не пропуск", () => {
|
||||
expect(() => parseEnvFile("HY2XS_UI_PORT\n")).toThrow(/invalid env line/);
|
||||
});
|
||||
|
||||
test("незакрытая кавычка — отказ, а не значение до конца файла", () => {
|
||||
expect(() => parseEnvFile('KEY="value\n')).toThrow(/unterminated env value/);
|
||||
});
|
||||
});
|
||||
|
||||
describe("запись обратима разбором", () => {
|
||||
// Значения, на которых прежняя запись теряла или искажала содержимое. Каждое
|
||||
// из них — законный пароль администратора: набор символов не ограничен.
|
||||
const values = [
|
||||
"simple-value",
|
||||
" краевые пробелы ",
|
||||
"trailing space ",
|
||||
" leading space",
|
||||
'кавычка " внутри',
|
||||
"обратный слеш \\ внутри",
|
||||
"и то и другое \\\" вместе",
|
||||
"доллар $HOME и backtick `id`",
|
||||
"апостроф ' внутри",
|
||||
"решётка # и точка с запятой ;",
|
||||
"50 mbps",
|
||||
"равно = внутри значения",
|
||||
"пароль-администратора",
|
||||
"😀😀😀😀😀😀"
|
||||
];
|
||||
|
||||
test("любое значение переживает render -> parse побайтово", () => {
|
||||
for (const value of values) {
|
||||
const rendered = renderEnvFile([["HY2XS_ADMIN_INITIAL_PASSWORD", value]]);
|
||||
expect(parseEnvFile(rendered).HY2XS_ADMIN_INITIAL_PASSWORD).toBe(value);
|
||||
}
|
||||
});
|
||||
|
||||
test("кавычки ставятся только там, где они нужны", () => {
|
||||
// Обычные значения обязаны остаться побайтово прежними: релизные гейты и
|
||||
// инструкции оператора ищут строки вида `^HY2XS_UI_PORT=8080$`.
|
||||
expect(formatEnvAssignment("HY2XS_UI_PORT", "8080")).toBe("HY2XS_UI_PORT=8080");
|
||||
expect(formatEnvAssignment("HY2XS_ADMIN_USER", "hy2xsadmin")).toBe("HY2XS_ADMIN_USER=hy2xsadmin");
|
||||
expect(formatEnvAssignment("HY2XS_HYSTERIA_BANDWIDTH_UP", "50 mbps")).toBe(
|
||||
"HY2XS_HYSTERIA_BANDWIDTH_UP=50 mbps"
|
||||
);
|
||||
expect(formatEnvAssignment("HY2XS_TLS_CERT_PATH", "/etc/hysteria/server.crt")).toBe(
|
||||
"HY2XS_TLS_CERT_PATH=/etc/hysteria/server.crt"
|
||||
);
|
||||
expect(formatEnvAssignment("HY2XS_DOMAIN", "")).toBe("HY2XS_DOMAIN=");
|
||||
|
||||
// А необычные — получают кавычки и экранирование.
|
||||
expect(formatEnvAssignment("K", "trailing ")).toBe('K="trailing "');
|
||||
expect(formatEnvAssignment("K", 'a"b')).toBe('K="a\\"b"');
|
||||
expect(formatEnvAssignment("K", "a\\b")).toBe('K="a\\\\b"');
|
||||
});
|
||||
|
||||
test("экранируются ТОЛЬКО обратный слеш и двойная кавычка", () => {
|
||||
// Оба входят в SHELL_NEED_ESCAPE, поэтому разворачиваются обратно
|
||||
// одинаково во всех изданиях systemd — в том числе в тех, где escape в
|
||||
// двойных кавычках снимался безусловно. `$` и backtick трогать нельзя:
|
||||
// подстановки в env-файле нет, и лишний слеш стал бы частью значения.
|
||||
expect(formatEnvAssignment("K", "a$b`c")).toBe('K="a$b`c"');
|
||||
});
|
||||
|
||||
test("управляющий символ — отказ записи, а не потеря части значения", () => {
|
||||
expect(() => assertEnvTransportable("HY2XS_ADMIN_INITIAL_PASSWORD", "a\nb")).toThrow(
|
||||
/control character/
|
||||
);
|
||||
expect(() => formatEnvAssignment("HY2XS_ADMIN_INITIAL_PASSWORD", "a\tb")).toThrow(
|
||||
/control character/
|
||||
);
|
||||
});
|
||||
});
|
||||
|
||||
describe("пароль администратора доезжает до админки неизменным", () => {
|
||||
// Главный барьер файла. Продукт объявляет краевой пробел частью пароля;
|
||||
// прежняя цепочка теряла его дважды — при записи (systemd срезал бы хвост
|
||||
// незакавыченного значения) и при чтении (собственный `trim()`).
|
||||
const passwords = [
|
||||
"abcde ",
|
||||
" abcde",
|
||||
'пароль "в кавычках"',
|
||||
"back\\slash",
|
||||
"d$llar and `tick`",
|
||||
"апостроф ' и решётка #",
|
||||
" "
|
||||
];
|
||||
|
||||
test("render -> parse сохраняет значение целиком", () => {
|
||||
for (const password of passwords) {
|
||||
const config = baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: null });
|
||||
const rendered = renderRuntimeEnv({ ...config, adminInitialPassword: password });
|
||||
expect(parseRuntimeEnv(rendered).adminInitialPassword).toBe(password);
|
||||
}
|
||||
});
|
||||
|
||||
test("значение, записанное оператором в кавычках, читается как есть", () => {
|
||||
// Оператор правит hy2xs.env руками: закавыченная запись обязана работать и
|
||||
// у нас, и у systemd одинаково.
|
||||
const config = parseRuntimeEnv(
|
||||
envText({ HY2XS_ADMIN_INITIAL_PASSWORD: '"пароль с пробелом на конце "' })
|
||||
);
|
||||
expect(config.adminInitialPassword).toBe("пароль с пробелом на конце ");
|
||||
});
|
||||
|
||||
test("незакавыченное значение теряет краевые пробелы — как и у systemd", () => {
|
||||
// Это НЕ дефект, а точное повторение чужих правил: оператор, записавший
|
||||
// пароль без кавычек, получит ровно тот пароль, который увидит админка.
|
||||
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "abcdef " }));
|
||||
expect(config.adminInitialPassword).toBe("abcdef");
|
||||
});
|
||||
});
|
||||
Reference in New Issue
Block a user