fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -1,5 +1,6 @@
|
||||
import { randomBytes } from "node:crypto";
|
||||
import type { FirewallMode, PublicEndpointPolicy, RuntimeConfig, TlsMode } from "../types/context";
|
||||
import { parseEnvFile, renderEnvFile } from "../lib/envFile";
|
||||
import {
|
||||
GECKO_DEFAULT_MAX_PACKET_SIZE,
|
||||
GECKO_DEFAULT_MIN_PACKET_SIZE,
|
||||
@@ -23,22 +24,17 @@ function valueOrGenerate(value: string | undefined): string {
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* Разбор env-файла делегирован lib/envFile.
|
||||
*
|
||||
* Здесь стоял построчный разбор с `value.trim()`, и он молча срезал пробелы по
|
||||
* краям КАЖДОГО значения. Для пароля администратора это прямое нарушение
|
||||
* контракта — продукт объявляет краевой пробел частью пароля, — а для
|
||||
* значений с кавычками разбор вдобавок расходился с systemd, который читает
|
||||
* этот же файл как EnvironmentFile.
|
||||
*/
|
||||
function parseEnv(content: string): EnvMap {
|
||||
const result: EnvMap = {};
|
||||
for (const rawLine of content.split(/\r?\n/)) {
|
||||
const line = rawLine.trim();
|
||||
if (!line || line.startsWith("#")) {
|
||||
continue;
|
||||
}
|
||||
const separator = line.indexOf("=");
|
||||
if (separator < 1) {
|
||||
throw new Error(`invalid env line: ${rawLine}`);
|
||||
}
|
||||
const key = line.slice(0, separator).trim();
|
||||
const value = line.slice(separator + 1).trim();
|
||||
result[key] = value;
|
||||
}
|
||||
return result;
|
||||
return parseEnvFile(content);
|
||||
}
|
||||
|
||||
function parsePort(name: string, raw: string, fallback: number): number {
|
||||
@@ -396,47 +392,58 @@ export function validateRuntimeConfig(config: RuntimeConfig): void {
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Пишет /etc/hy2xs/hy2xs.env.
|
||||
*
|
||||
* Каждое значение проходит через formatEnvAssignment, а не подставляется в
|
||||
* строку интерполяцией. Раньше подставлялось, и файл поэтому был форматом
|
||||
* только для значений без пробелов по краям, кавычек и обратных слешей: пароль
|
||||
* администратора, у которого набор символов объявлен неограниченным, не
|
||||
* пережил бы обратного чтения — ни нашего, ни systemd'ного.
|
||||
*
|
||||
* Обычные значения (порты, пути, домены, `50 mbps`) кавычек не получают и
|
||||
* остаются побайтово прежними — см. UNQUOTED_SAFE_VALUE в lib/envFile.
|
||||
*/
|
||||
export function renderRuntimeEnv(config: RuntimeConfig): string {
|
||||
const lines = [
|
||||
"# HY2XS runtime config (editable)",
|
||||
`HY2XS_CONFIG_SCHEMA_VERSION=${config.configSchemaVersion}`,
|
||||
`HY2XS_IPV6_ENABLED=${config.ipv6Enabled}`,
|
||||
`HY2XS_DOMAIN=${config.domain}`,
|
||||
`HY2XS_DNS_AAAA_POLICY=${config.dnsAaaaPolicy}`,
|
||||
`HY2XS_PUBLIC_ENDPOINT_POLICY=${config.publicEndpointPolicy}`,
|
||||
`HY2XS_PUBLIC_HOST=${config.publicHost}`,
|
||||
`HY2XS_PUBLIC_PORT=${config.publicPort}`,
|
||||
`HY2XS_SSH_PORT=${config.sshPort}`,
|
||||
`HY2XS_FIREWALL_MODE=${config.firewallMode}`,
|
||||
`HY2XS_FIREWALL_STAGED_APPLY=${config.firewallStagedApply}`,
|
||||
`HY2XS_UI_BIND_HOST=${config.uiBindHost}`,
|
||||
`HY2XS_UI_PUBLIC_ACCESS=${config.uiPublicAccess}`,
|
||||
`HY2XS_UI_PORT=${config.uiPort}`,
|
||||
`HY2XS_ADMIN_USER=${config.adminUser}`,
|
||||
`HY2XS_ADMIN_INITIAL_PASSWORD=${config.adminInitialPassword}`,
|
||||
`HY2XS_ADMIN_CON_PASS=${config.adminConPass}`,
|
||||
`HY2XS_FORCE_PASSWORD_CHANGE=${config.forcePasswordChange}`,
|
||||
`HY2XS_ALLOW_SELF_SIGNED_DEV=${config.allowSelfSignedDev}`,
|
||||
`HY2XS_TLS_MODE=${config.tlsMode}`,
|
||||
`HY2XS_ACME_TYPE=${config.acmeType}`,
|
||||
`HY2XS_ACME_EMAIL=${config.acmeEmail}`,
|
||||
`HY2XS_TLS_CERT_PATH=${config.tlsCertPath}`,
|
||||
`HY2XS_TLS_KEY_PATH=${config.tlsKeyPath}`,
|
||||
`HY2XS_HYSTERIA_BIND_HOST=${config.hysteriaBindHost}`,
|
||||
`HY2XS_HYSTERIA_PORT=${config.hysteriaPort}`,
|
||||
`HY2XS_HYSTERIA_AUTH_MODE=${config.hysteriaAuthMode}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_HOST=${config.hysteriaTrafficStatsHost}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_PORT=${config.hysteriaTrafficStatsPort}`,
|
||||
`HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET=${config.hysteriaTrafficStatsSecret}`,
|
||||
`HY2XS_HYSTERIA_OBFS_TYPE=${config.hysteriaObfsType}`,
|
||||
`HY2XS_HYSTERIA_OBFS_PASSWORD=${config.hysteriaObfsPassword}`,
|
||||
`HY2XS_HYSTERIA_BANDWIDTH_UP=${config.hysteriaBandwidthUp}`,
|
||||
`HY2XS_HYSTERIA_BANDWIDTH_DOWN=${config.hysteriaBandwidthDown}`,
|
||||
`HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH=${config.hysteriaIgnoreClientBandwidth}`,
|
||||
`HY2XS_HYSTERIA_CONFIG_PATH=${config.hysteriaConfigPath}`,
|
||||
`HY2XS_INSTALL_DIR=${config.installDir}`,
|
||||
`HY2XS_DATA_DIR=${config.dataDir}`,
|
||||
`HY2XS_LOG_DIR=${config.logDir}`
|
||||
const entries: [string, string][] = [
|
||||
["HY2XS_CONFIG_SCHEMA_VERSION", String(config.configSchemaVersion)],
|
||||
["HY2XS_IPV6_ENABLED", String(config.ipv6Enabled)],
|
||||
["HY2XS_DOMAIN", config.domain],
|
||||
["HY2XS_DNS_AAAA_POLICY", config.dnsAaaaPolicy],
|
||||
["HY2XS_PUBLIC_ENDPOINT_POLICY", config.publicEndpointPolicy],
|
||||
["HY2XS_PUBLIC_HOST", config.publicHost],
|
||||
["HY2XS_PUBLIC_PORT", String(config.publicPort)],
|
||||
["HY2XS_SSH_PORT", String(config.sshPort)],
|
||||
["HY2XS_FIREWALL_MODE", config.firewallMode],
|
||||
["HY2XS_FIREWALL_STAGED_APPLY", String(config.firewallStagedApply)],
|
||||
["HY2XS_UI_BIND_HOST", config.uiBindHost],
|
||||
["HY2XS_UI_PUBLIC_ACCESS", String(config.uiPublicAccess)],
|
||||
["HY2XS_UI_PORT", String(config.uiPort)],
|
||||
["HY2XS_ADMIN_USER", config.adminUser],
|
||||
["HY2XS_ADMIN_INITIAL_PASSWORD", config.adminInitialPassword],
|
||||
["HY2XS_ADMIN_CON_PASS", config.adminConPass],
|
||||
["HY2XS_FORCE_PASSWORD_CHANGE", String(config.forcePasswordChange)],
|
||||
["HY2XS_ALLOW_SELF_SIGNED_DEV", String(config.allowSelfSignedDev)],
|
||||
["HY2XS_TLS_MODE", config.tlsMode],
|
||||
["HY2XS_ACME_TYPE", config.acmeType],
|
||||
["HY2XS_ACME_EMAIL", config.acmeEmail],
|
||||
["HY2XS_TLS_CERT_PATH", config.tlsCertPath],
|
||||
["HY2XS_TLS_KEY_PATH", config.tlsKeyPath],
|
||||
["HY2XS_HYSTERIA_BIND_HOST", config.hysteriaBindHost],
|
||||
["HY2XS_HYSTERIA_PORT", String(config.hysteriaPort)],
|
||||
["HY2XS_HYSTERIA_AUTH_MODE", config.hysteriaAuthMode],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_HOST", config.hysteriaTrafficStatsHost],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_PORT", String(config.hysteriaTrafficStatsPort)],
|
||||
["HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET", config.hysteriaTrafficStatsSecret],
|
||||
["HY2XS_HYSTERIA_OBFS_TYPE", config.hysteriaObfsType],
|
||||
["HY2XS_HYSTERIA_OBFS_PASSWORD", config.hysteriaObfsPassword],
|
||||
["HY2XS_HYSTERIA_BANDWIDTH_UP", config.hysteriaBandwidthUp],
|
||||
["HY2XS_HYSTERIA_BANDWIDTH_DOWN", config.hysteriaBandwidthDown],
|
||||
["HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH", String(config.hysteriaIgnoreClientBandwidth)],
|
||||
["HY2XS_HYSTERIA_CONFIG_PATH", config.hysteriaConfigPath],
|
||||
["HY2XS_INSTALL_DIR", config.installDir],
|
||||
["HY2XS_DATA_DIR", config.dataDir],
|
||||
["HY2XS_LOG_DIR", config.logDir]
|
||||
];
|
||||
return `${lines.join("\n")}\n`;
|
||||
return `# HY2XS runtime config (editable)\n${renderEnvFile(entries)}`;
|
||||
}
|
||||
|
||||
@@ -60,14 +60,26 @@ export const ADMIN_LOGIN_PATH = `${ADMIN_API_BASE}/auth/login`;
|
||||
* отказ установки чинится одной строкой в hy2xs.env, а неработающий вход на
|
||||
* готовом сервере — переустановкой.
|
||||
*
|
||||
* Значения обязаны совпадать с apps/service/admin_credentials.go; сверка
|
||||
* выполняется тестом admin-credentials.test.ts, который читает Go-исходник.
|
||||
* Значения обязаны совпадать с apps/credential/admin.go; сверка выполняется
|
||||
* тестом admin-credentials.test.ts, который читает Go-исходник.
|
||||
*/
|
||||
export const ADMIN_USERNAME_MIN_LENGTH = 6;
|
||||
export const ADMIN_USERNAME_MAX_LENGTH = 32;
|
||||
export const ADMIN_PASSWORD_MIN_LENGTH = 6;
|
||||
export const ADMIN_PASSWORD_MAX_LENGTH = 64;
|
||||
|
||||
/**
|
||||
* Предел bcrypt — в БАЙТАХ.
|
||||
*
|
||||
* Он существует одновременно с границей в символах и не выводится из неё: у 64
|
||||
* символов длина от 64 до 256 байт в зависимости от алфавита. Пока оркестратор
|
||||
* знал только границу в символах, он пропускал в hy2xs.env пароль вроде 64
|
||||
* кириллических букв (128 байт), установка проходила целиком, а первая учётная
|
||||
* запись администратора не создавалась вовсе — bcrypt отвечал
|
||||
* ErrPasswordTooLong уже внутри админки, при старте службы.
|
||||
*/
|
||||
export const ADMIN_PASSWORD_MAX_BYTES = 72;
|
||||
|
||||
/**
|
||||
* Набор символов логина в записи регекспа.
|
||||
*
|
||||
@@ -105,19 +117,57 @@ export function assertValidAdminUsername(name: string, value: string): string {
|
||||
}
|
||||
|
||||
/**
|
||||
* Проверка пароля администратора против контракта панели.
|
||||
* Единственное правило пароля администратора на стороне оркестратора.
|
||||
*
|
||||
* Набор символов НЕ проверяется: сервер его не ограничивает ни при установке,
|
||||
* ни при смене пароля. Проверяется только длина — и в РУНАХ, ровно так её
|
||||
* считает валидатор админки. `String.length` считает единицы UTF-16, и пароль
|
||||
* из эмодзи прошёл бы здесь и отказался бы на форме входа.
|
||||
* Копия Go-контракта, и сверяется с ним по исходнику (admin-credentials.test.ts):
|
||||
* оркестратор собирается отдельно от Go-бинарника и импортировать его константы
|
||||
* не может.
|
||||
*
|
||||
* Правило состоит из трёх частей, и каждая закрывает свой класс отказа.
|
||||
*
|
||||
* Длина в CODE POINTS, а не в `String.length`. `String.length` считает единицы
|
||||
* UTF-16, и пароль из трёх эмодзи имел бы здесь длину 6 — прошёл бы минимум и
|
||||
* получил отказ на форме входа, где сервер видит три руны.
|
||||
*
|
||||
* Длина в БАЙТАХ — предел bcrypt. Пока его не было, пароль из 64 кириллических
|
||||
* букв проходил установку целиком, а учётная запись администратора не
|
||||
* создавалась: bcrypt отвечал ErrPasswordTooLong при старте админки, и оператор
|
||||
* получал не отказ установки, а сервер без администратора.
|
||||
*
|
||||
* Запрет управляющих символов — требование транспорта. Значение уезжает в
|
||||
* /etc/hy2xs/hy2xs.env, который systemd читает как EnvironmentFile; границей
|
||||
* строки там является байт `\n` или `\r`, и пароль с ними не имеет
|
||||
* представления, переживающего запись и чтение. См. lib/envFile.ts.
|
||||
*
|
||||
* Набор символов сверх этого НЕ ограничивается: сервер его не ограничивает ни
|
||||
* при установке, ни при смене пароля, и оркестратор не имеет права быть строже.
|
||||
* Пробелы по краям — часть пароля и не снимаются.
|
||||
*/
|
||||
export function isValidAdminPassword(value: string): boolean {
|
||||
let characters = 0;
|
||||
for (const character of value) {
|
||||
const code = character.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) {
|
||||
return false;
|
||||
}
|
||||
characters += 1;
|
||||
}
|
||||
|
||||
if (characters < ADMIN_PASSWORD_MIN_LENGTH || characters > ADMIN_PASSWORD_MAX_LENGTH) {
|
||||
return false;
|
||||
}
|
||||
|
||||
return Buffer.byteLength(value, "utf8") <= ADMIN_PASSWORD_MAX_BYTES;
|
||||
}
|
||||
|
||||
export function assertValidAdminPassword(name: string, value: string): string {
|
||||
const length = [...value].length;
|
||||
if (length < ADMIN_PASSWORD_MIN_LENGTH || length > ADMIN_PASSWORD_MAX_LENGTH) {
|
||||
if (!isValidAdminPassword(value)) {
|
||||
throw new Error(
|
||||
`invalid ${name}: панель принимает пароль длиной от ${ADMIN_PASSWORD_MIN_LENGTH} ` +
|
||||
`до ${ADMIN_PASSWORD_MAX_LENGTH} символов, получено ${length}. ` +
|
||||
`до ${ADMIN_PASSWORD_MAX_LENGTH} символов Unicode, не длиннее ${ADMIN_PASSWORD_MAX_BYTES} байт ` +
|
||||
`в UTF-8 и без управляющих символов; получено ${[...value].length} символов ` +
|
||||
`и ${Buffer.byteLength(value, "utf8")} байт. ` +
|
||||
`Набор символов не ограничен, пробелы по краям являются частью пароля. ` +
|
||||
`Установка с другим значением завершилась бы успешно, а войти в панель было бы нельзя.`
|
||||
);
|
||||
}
|
||||
|
||||
@@ -0,0 +1,322 @@
|
||||
/**
|
||||
* Формат файлов `KEY=VALUE`, которые продукт пишет и читает: /etc/hy2xs/hy2xs.env
|
||||
* и /etc/hy2xs/bootstrap-admin.secret.
|
||||
*
|
||||
* Зачем этот модуль существует. У hy2xs.env ДВА читателя, и один из них не наш:
|
||||
* файл объявлен `EnvironmentFile=` в юните hy2xs-admin, то есть его разбирает
|
||||
* systemd. Пока оркестратор писал значения интерполяцией
|
||||
*
|
||||
* `HY2XS_ADMIN_INITIAL_PASSWORD=${config.adminInitialPassword}`
|
||||
*
|
||||
* а читал их построчным `split("=")` с `trim()`, форматом это не являлось —
|
||||
* это было совпадение поведения на значениях, у которых нет ни пробелов по
|
||||
* краям, ни кавычек, ни обратных слешей. Продукт при этом ОБЕЩАЕТ оператору,
|
||||
* что набор символов пароля не ограничен, а пробел по краям — часть значения.
|
||||
* Обещание не выполнялось ни одним из двух читателей:
|
||||
*
|
||||
* - systemd у НЕ закавыченного значения срезает пробелы по краям и трактует
|
||||
* `\` как escape (src/basic/env-file.c, состояние VALUE);
|
||||
* - собственный парсер срезал пробелы своим `trim()`.
|
||||
*
|
||||
* То есть пароль с краевым пробелом терялся ещё до запуска админки, а пароль с
|
||||
* обратным слешем приезжал изменённым.
|
||||
*
|
||||
* Поэтому здесь ровно две функции, и они обратны друг другу:
|
||||
*
|
||||
* parseEnvFile — разбор по правилам systemd;
|
||||
* formatEnvAssignment — запись, которую systemd разберёт обратно побайтово.
|
||||
*
|
||||
* Правила разбора не выдуманы и не выведены из документации: они повторяют
|
||||
* конечный автомат `parse_env_file_internal` из systemd/src/basic/env-file.c.
|
||||
* Существенны четыре его свойства:
|
||||
*
|
||||
* 1. у НЕ закавыченного значения срезаются пробелы в конце, `\` уводит в
|
||||
* escape, `\<перевод строки>` склеивает строки;
|
||||
* 2. в одинарных кавычках всё literal до закрывающей кавычки — escape там
|
||||
* НЕТ (это отличие от sh);
|
||||
* 3. в двойных кавычках `\` уводит в escape, и escape «разворачивается»
|
||||
* только для SHELL_NEED_ESCAPE — то есть для `"`, `\`, `` ` `` и `$`;
|
||||
* для любого другого символа обратный слеш СОХРАНЯЕТСЯ вместе с ним;
|
||||
* 4. подстановки переменных в env-файле нет вовсе: `$` внутри значения —
|
||||
* обычный символ.
|
||||
*
|
||||
* Из (3) и (4) следует кодирование, которое переживает любое издание systemd:
|
||||
* двойные кавычки и экранирование ТОЛЬКО `\` и `"`. Оба входят в
|
||||
* SHELL_NEED_ESCAPE, поэтому разворачиваются одинаково и в действующем
|
||||
* издании, и в тех, где escape в двойных кавычках снимался безусловно.
|
||||
*/
|
||||
|
||||
/** Символы, которые systemd считает границей строки. */
|
||||
const NEWLINE = "\n\r";
|
||||
/** Символы, которые systemd считает пробельными. */
|
||||
const WHITESPACE = " \t\n\r";
|
||||
/** Начало комментария — только в позиции, где ожидается имя переменной. */
|
||||
const COMMENTS = "#;";
|
||||
/**
|
||||
* SHELL_NEED_ESCAPE из systemd: внутри двойных кавычек обратный слеш перед этими
|
||||
* символами снимается, перед любым другим — сохраняется.
|
||||
*/
|
||||
const SHELL_NEED_ESCAPE = '"\\`$';
|
||||
|
||||
type State =
|
||||
| "PRE_KEY"
|
||||
| "KEY"
|
||||
| "PRE_VALUE"
|
||||
| "VALUE"
|
||||
| "VALUE_ESCAPE"
|
||||
| "SINGLE_QUOTE_VALUE"
|
||||
| "DOUBLE_QUOTE_VALUE"
|
||||
| "DOUBLE_QUOTE_VALUE_ESCAPE"
|
||||
| "COMMENT"
|
||||
| "COMMENT_ESCAPE";
|
||||
|
||||
/**
|
||||
* Разбирает содержимое env-файла ровно так, как это делает systemd.
|
||||
*
|
||||
* Строка без `=` — ОШИБКА, а не пропуск. systemd такую строку молча
|
||||
* отбрасывает, и здесь это единственное намеренное расхождение: молчаливая
|
||||
* потеря строки из /etc/hy2xs/hy2xs.env означала бы установку с настройкой,
|
||||
* которую оператор задал, а продукт не увидел. Расхождение в сторону отказа
|
||||
* безопасно — оно останавливает установку там, где её можно починить.
|
||||
*/
|
||||
export function parseEnvFile(content: string): Record<string, string> {
|
||||
const result: Record<string, string> = {};
|
||||
|
||||
let state: State = "PRE_KEY";
|
||||
let key = "";
|
||||
let value = "";
|
||||
let lastKeyWhitespace = -1;
|
||||
let lastValueWhitespace = -1;
|
||||
let line = 1;
|
||||
|
||||
const flush = (stripValueWhitespace: boolean): void => {
|
||||
const name = lastKeyWhitespace < 0 ? key : key.slice(0, lastKeyWhitespace);
|
||||
const raw =
|
||||
stripValueWhitespace && lastValueWhitespace >= 0
|
||||
? value.slice(0, lastValueWhitespace)
|
||||
: value;
|
||||
if (name !== "") {
|
||||
result[name] = raw;
|
||||
}
|
||||
key = "";
|
||||
value = "";
|
||||
lastKeyWhitespace = -1;
|
||||
lastValueWhitespace = -1;
|
||||
};
|
||||
|
||||
for (const c of content) {
|
||||
switch (state) {
|
||||
case "PRE_KEY":
|
||||
if (COMMENTS.includes(c)) {
|
||||
state = "COMMENT";
|
||||
} else if (!WHITESPACE.includes(c)) {
|
||||
state = "KEY";
|
||||
lastKeyWhitespace = -1;
|
||||
key += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "KEY":
|
||||
if (NEWLINE.includes(c)) {
|
||||
// Имя без `=`. systemd молча отбрасывает такую строку; мы называем её.
|
||||
throw new Error(`invalid env line ${line}: ${key.trim()}`);
|
||||
} else if (c === "=") {
|
||||
state = "PRE_VALUE";
|
||||
lastValueWhitespace = -1;
|
||||
} else {
|
||||
if (!WHITESPACE.includes(c)) {
|
||||
lastKeyWhitespace = -1;
|
||||
} else if (lastKeyWhitespace < 0) {
|
||||
lastKeyWhitespace = key.length;
|
||||
}
|
||||
key += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "PRE_VALUE":
|
||||
if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
flush(false);
|
||||
} else if (c === "'") {
|
||||
state = "SINGLE_QUOTE_VALUE";
|
||||
} else if (c === '"') {
|
||||
state = "DOUBLE_QUOTE_VALUE";
|
||||
} else if (c === "\\") {
|
||||
state = "VALUE_ESCAPE";
|
||||
} else if (!WHITESPACE.includes(c)) {
|
||||
state = "VALUE";
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "VALUE":
|
||||
if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
flush(true);
|
||||
} else if (c === "\\") {
|
||||
state = "VALUE_ESCAPE";
|
||||
lastValueWhitespace = -1;
|
||||
} else {
|
||||
if (!WHITESPACE.includes(c)) {
|
||||
lastValueWhitespace = -1;
|
||||
} else if (lastValueWhitespace < 0) {
|
||||
lastValueWhitespace = value.length;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "VALUE_ESCAPE":
|
||||
state = "VALUE";
|
||||
// Экранированный перевод строки — склейка строк, и он съедается целиком.
|
||||
if (!NEWLINE.includes(c)) {
|
||||
value += c;
|
||||
} else {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "SINGLE_QUOTE_VALUE":
|
||||
// Escape внутри одинарных кавычек НЕТ: всё до закрывающей кавычки
|
||||
// приезжает как есть. Это отличие от sh, и именно поэтому кодирование
|
||||
// ниже использует двойные кавычки — в одинарных нельзя записать сам
|
||||
// апостроф.
|
||||
if (c === "'") {
|
||||
state = "PRE_VALUE";
|
||||
} else {
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "DOUBLE_QUOTE_VALUE":
|
||||
if (c === '"') {
|
||||
state = "PRE_VALUE";
|
||||
} else if (c === "\\") {
|
||||
state = "DOUBLE_QUOTE_VALUE_ESCAPE";
|
||||
} else {
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
value += c;
|
||||
}
|
||||
break;
|
||||
|
||||
case "DOUBLE_QUOTE_VALUE_ESCAPE":
|
||||
state = "DOUBLE_QUOTE_VALUE";
|
||||
if (SHELL_NEED_ESCAPE.includes(c)) {
|
||||
value += c;
|
||||
} else if (!NEWLINE.includes(c)) {
|
||||
// Обратный слеш СОХРАНЯЕТСЯ вместе с символом — «как делает
|
||||
// настоящий shell», по формулировке самого systemd.
|
||||
value += "\\" + c;
|
||||
} else {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "COMMENT":
|
||||
if (c === "\\") {
|
||||
state = "COMMENT_ESCAPE";
|
||||
} else if (NEWLINE.includes(c)) {
|
||||
state = "PRE_KEY";
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
|
||||
case "COMMENT_ESCAPE":
|
||||
state = "COMMENT";
|
||||
if (NEWLINE.includes(c)) {
|
||||
line += 1;
|
||||
}
|
||||
break;
|
||||
}
|
||||
}
|
||||
|
||||
// Хвост без перевода строки на конце файла.
|
||||
switch (state) {
|
||||
case "KEY":
|
||||
throw new Error(`invalid env line ${line}: ${key.trim()}`);
|
||||
case "PRE_VALUE":
|
||||
flush(false);
|
||||
break;
|
||||
case "VALUE":
|
||||
flush(true);
|
||||
break;
|
||||
case "VALUE_ESCAPE":
|
||||
case "SINGLE_QUOTE_VALUE":
|
||||
case "DOUBLE_QUOTE_VALUE":
|
||||
case "DOUBLE_QUOTE_VALUE_ESCAPE":
|
||||
// Незакрытая кавычка — испорченный файл, а не значение до конца файла.
|
||||
// systemd в этом месте отдаёт то, что успел накопить; для конфигурации,
|
||||
// от которой зависит доступ в панель, «что успели накопить» — не ответ.
|
||||
throw new Error(`unterminated env value for ${key.trim()}`);
|
||||
default:
|
||||
break;
|
||||
}
|
||||
|
||||
return result;
|
||||
}
|
||||
|
||||
/**
|
||||
* Значения, которые можно записать без кавычек.
|
||||
*
|
||||
* Набор намеренно узкий и не выведен из правил systemd: цель — чтобы уже
|
||||
* существующие строки файла (пути, порты, домены, `50 mbps`, base64url-секреты)
|
||||
* остались побайтово прежними, а всё хоть сколько-нибудь необычное уезжало в
|
||||
* кавычки. Одиночные пробелы ВНУТРИ значения разрешены, по краям — нет: именно
|
||||
* краевые systemd и срезает.
|
||||
*/
|
||||
const UNQUOTED_SAFE_VALUE = /^[A-Za-z0-9_\-.\/:@,=+%]+(?: [A-Za-z0-9_\-.\/:@,=+%]+)*$/;
|
||||
|
||||
/**
|
||||
* Проверяет, что значение вообще представимо в этом формате.
|
||||
*
|
||||
* Управляющих символов формат не несёт: перевод строки — граница записи, а не
|
||||
* данные. Отказ здесь громкий намеренно — молчаливая потеря части секрета
|
||||
* означала бы установку, после которой невозможно войти, и причину, которой
|
||||
* негде увидеться.
|
||||
*/
|
||||
export function assertEnvTransportable(name: string, value: string): string {
|
||||
for (const character of value) {
|
||||
const code = character.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) {
|
||||
throw new Error(
|
||||
`${name} contains a control character (U+${code.toString(16).toUpperCase().padStart(4, "0")}): ` +
|
||||
`формат KEY=VALUE, который читают systemd и оркестратор, управляющих символов не несёт`
|
||||
);
|
||||
}
|
||||
}
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* Собирает строку `KEY=VALUE`, которую systemd разберёт обратно побайтово.
|
||||
*
|
||||
* Кавычки ставятся только когда они нужны, и это не косметика: пока запись
|
||||
* остаётся прежней для обычных значений, релизные гейты и инструкции оператора,
|
||||
* ищущие строку `grep '^HY2XS_UI_PORT=8080$'`, продолжают работать, а изменение
|
||||
* формата видно ровно там, где оно что-то чинит.
|
||||
*/
|
||||
export function formatEnvAssignment(key: string, value: string): string {
|
||||
assertEnvTransportable(key, value);
|
||||
|
||||
if (value === "" || UNQUOTED_SAFE_VALUE.test(value)) {
|
||||
return `${key}=${value}`;
|
||||
}
|
||||
|
||||
// Экранируются ТОЛЬКО `\` и `"`. Оба входят в SHELL_NEED_ESCAPE, поэтому
|
||||
// разворачиваются обратно одинаково во всех изданиях systemd. Backtick и `$`
|
||||
// внутри двойных кавычек — обычные символы: подстановки в env-файле нет.
|
||||
const escaped = value.replace(/\\/g, "\\\\").replace(/"/g, '\\"');
|
||||
return `${key}="${escaped}"`;
|
||||
}
|
||||
|
||||
/** Готовый файл из пар, каждая — через formatEnvAssignment. */
|
||||
export function renderEnvFile(entries: readonly (readonly [string, string])[]): string {
|
||||
return `${entries.map(([key, value]) => formatEnvAssignment(key, value)).join("\n")}\n`;
|
||||
}
|
||||
@@ -1,5 +1,6 @@
|
||||
import type { RuntimeContext } from "../types/context";
|
||||
import { fileExists, readText, renderTemplate, writeTextAtomic } from "../lib/fs";
|
||||
import { renderEnvFile } from "../lib/envFile";
|
||||
import { runMutatingVisible } from "../lib/process";
|
||||
import {
|
||||
BBR_PROFILE,
|
||||
@@ -56,14 +57,23 @@ export async function writePostInstallEnv(context: RuntimeContext): Promise<void
|
||||
});
|
||||
}
|
||||
|
||||
/**
|
||||
* Пишет /etc/hy2xs/bootstrap-admin.secret.
|
||||
*
|
||||
* Тот же формат и тот же кодировщик, что и у hy2xs.env, и по той же причине: в
|
||||
* файле лежит пароль администратора, набор символов которого продукт объявил
|
||||
* неограниченным. Пока строки собирались интерполяцией, пароль с пробелом по
|
||||
* краям, кавычкой или обратным слешем нельзя было прочитать обратно — а читает
|
||||
* этот файл smoke, чтобы ДОКАЗАТЬ, что в панель можно войти.
|
||||
*/
|
||||
export async function writeBootstrapAdminSecret(context: RuntimeContext): Promise<void> {
|
||||
await writeTextAtomic(
|
||||
context.config.bootstrapAdminSecretPath,
|
||||
[
|
||||
`ADMIN_USER=${context.config.adminUser}`,
|
||||
`ADMIN_INITIAL_PASSWORD=${context.config.adminInitialPassword}`,
|
||||
`ADMIN_CON_PASS=${context.config.adminConPass}`
|
||||
].join("\n") + "\n",
|
||||
renderEnvFile([
|
||||
["ADMIN_USER", context.config.adminUser],
|
||||
["ADMIN_INITIAL_PASSWORD", context.config.adminInitialPassword],
|
||||
["ADMIN_CON_PASS", context.config.adminConPass]
|
||||
]),
|
||||
{
|
||||
mode: 0o600,
|
||||
owner: "root",
|
||||
|
||||
+114
-17
@@ -1,6 +1,8 @@
|
||||
import { randomBytes } from "node:crypto";
|
||||
import type { RuntimeContext } from "../types/context";
|
||||
import { info } from "../lib/log";
|
||||
import { readText } from "../lib/fs";
|
||||
import { parseEnvFile } from "../lib/envFile";
|
||||
import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
|
||||
import { ADMIN_LOGIN_PATH, HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
|
||||
@@ -194,7 +196,7 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
}
|
||||
|
||||
if (context.mode === "install") {
|
||||
const adminConPass = (await runReadOnlySecret`grep '^ADMIN_CON_PASS=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`).trim();
|
||||
const adminConPass = (await readBootstrapAdminSecret(context)).ADMIN_CON_PASS ?? "";
|
||||
if (!adminConPass) {
|
||||
throw new Error("admin connection password is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -279,36 +281,55 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
const loginUrl = `http://127.0.0.1:${context.config.uiPort}${ADMIN_LOGIN_PATH}`;
|
||||
|
||||
// Отрицательная проба доказывает ОТКАЗ, а не отсутствие HTTP 500.
|
||||
//
|
||||
// Здесь стояли жёстко записанный пароль `definitely-not-the-admin-password` и
|
||||
// критерий `code.trim() === "200"`. У этой пары было два изъяна. Пароль был
|
||||
// литералом, то есть теоретически мог оказаться настоящим — и тогда проверка
|
||||
// «неверные данные отвергаются» отчиталась бы об успешном ВХОДЕ. А критерий
|
||||
// «HTTP 200» не отличал отказ от успеха вовсе: админка отвечает 200 и на то,
|
||||
// и на другое, причина живёт в конверте. Проверка доказывала ровно одно —
|
||||
// что запрос не закончился пятисоткой.
|
||||
//
|
||||
// Теперь пароль генерируется в момент пробы, а результат сверяется с
|
||||
// конвертом: код 50000, причина `invalid_credentials` и ОТСУТСТВИЕ токена
|
||||
// доступа. Логин берётся настоящий — тот же, что у администратора, — чтобы
|
||||
// запрос шёл тем же путём, что и реальный вход, и доходил до проверки пароля.
|
||||
const rejectedPassword = randomBytes(24).toString("base64url");
|
||||
const rejectedPayload = JSON.stringify({
|
||||
username: "hy2xsadmin",
|
||||
pass: "definitely-not-the-admin-password"
|
||||
username: context.config.adminUser,
|
||||
pass: rejectedPassword
|
||||
});
|
||||
const rejectedStatus = await retry(
|
||||
const rejectedBody = await retry(
|
||||
"admin login rejects wrong credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(code) => code.trim() === "200",
|
||||
(code, error) =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(body) => isRejectedLogin(body),
|
||||
(body, error) =>
|
||||
new Error(
|
||||
`admin login answered HTTP ${code ?? String(error)} for invalid credentials: ` +
|
||||
`панель обязана отвечать конвертом отказа, а HTTP 500 здесь означает, что запрос ` +
|
||||
`не доживает до проверки учётных данных`
|
||||
`admin login did not reject invalid credentials: ${describeRejectionFailure(body, error)}\n` +
|
||||
`Панель обязана отвечать конвертом отказа с причиной ${INVALID_CREDENTIALS_CODE}. ` +
|
||||
`Отсутствие такого конверта означает, что запрос не доживает до проверки учётных данных.`
|
||||
)
|
||||
);
|
||||
info(`admin login rejects wrong credentials with HTTP ${rejectedStatus.trim()}`);
|
||||
info(`admin login rejects wrong credentials: ${describeRejection(rejectedBody)}`);
|
||||
|
||||
if (context.mode !== "install") {
|
||||
return;
|
||||
}
|
||||
|
||||
const adminUser = (
|
||||
await runReadOnlySecret`grep '^ADMIN_USER=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
const adminPassword = (
|
||||
await runReadOnlySecret`grep '^ADMIN_INITIAL_PASSWORD=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
// Файл читается ЦЕЛИКОМ и разбирается тем же парсером, которым он написан.
|
||||
//
|
||||
// Здесь стояло `grep … | cut -d= -f2-` с последующим `.trim()`, и это был
|
||||
// третий по счёту слой, срезающий пробелы у пароля, набор символов которого
|
||||
// объявлен неограниченным. Даже с починенными env-транспортом и админкой
|
||||
// проба брала бы не тот пароль и объявляла бы рабочую установку сломанной.
|
||||
// Побочно исчез и прогон секрета через shell-конвейер.
|
||||
const bootstrap = await readBootstrapAdminSecret(context);
|
||||
const adminUser = bootstrap.ADMIN_USER ?? "";
|
||||
const adminPassword = bootstrap.ADMIN_INITIAL_PASSWORD ?? "";
|
||||
if (!adminUser) {
|
||||
throw new Error("admin username is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -316,6 +337,13 @@ async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
throw new Error("admin initial password is empty in bootstrap secret file");
|
||||
}
|
||||
|
||||
// Отрицательная проба обязана быть отрицательной. Совпадение случайного
|
||||
// пароля с настоящим невероятно, но проверить это здесь можно точно, и тогда
|
||||
// «отвергнуто» гарантированно означает «отвергнуто», а не «не совпало».
|
||||
if (rejectedPassword === adminPassword) {
|
||||
throw new Error("negative login probe accidentally used the real admin password");
|
||||
}
|
||||
|
||||
const payload = JSON.stringify({ username: adminUser, pass: adminPassword });
|
||||
const response = await retry(
|
||||
"admin login with bootstrap credentials",
|
||||
@@ -348,6 +376,75 @@ function isSuccessfulLogin(body: string): boolean {
|
||||
return /"code"\s*:\s*20000/.test(body) && /"accessToken"\s*:\s*"[^"]+"/.test(body);
|
||||
}
|
||||
|
||||
/**
|
||||
* Код причины отказа по учётным данным — тот же литерал, что и
|
||||
* constant.ErrCodeInvalidCredentials в админке.
|
||||
*
|
||||
* Он часть публичного контракта API: панель выбирает по нему локализованную
|
||||
* фразу, и его значение не меняется вместе с формулировками сообщений.
|
||||
*/
|
||||
const INVALID_CREDENTIALS_CODE = "invalid_credentials";
|
||||
|
||||
/**
|
||||
* Отказ определяется по КОНВЕРТУ целиком, а не по отсутствию HTTP 500.
|
||||
*
|
||||
* Требуются три признака сразу, и каждый закрывает свой способ ошибиться:
|
||||
*
|
||||
* код ответа 50000 — это отказ уровня операции, а не успех (20000) и
|
||||
* не отказ валидации (50001), который означал бы,
|
||||
* что проба отправила негодный запрос и до проверки
|
||||
* пароля он не дошёл;
|
||||
* причина invalid_credentials — отказ именно по учётным данным, а не,
|
||||
* скажем, по недоступной базе;
|
||||
* отсутствие accessToken — панель не выдала сессию.
|
||||
*/
|
||||
function isRejectedLogin(body: string): boolean {
|
||||
return (
|
||||
/"code"\s*:\s*50000/.test(body) &&
|
||||
new RegExp(`"code"\\s*:\\s*"${INVALID_CREDENTIALS_CODE}"`).test(body) &&
|
||||
!/"accessToken"\s*:\s*"[^"]+"/.test(body)
|
||||
);
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина, по которой отрицательная проба не признана отказом, — БЕЗ тела
|
||||
* ответа.
|
||||
*
|
||||
* Тело сюда попасть не может по той же причине, что и в describeLoginFailure:
|
||||
* если панель по недоразумению впустила, в ответе лежит токен доступа, а этот
|
||||
* текст уезжает в журнал установки и в diagnostics-бандл.
|
||||
*/
|
||||
function describeRejectionFailure(body: string | undefined, error: unknown): string {
|
||||
if (body === undefined) {
|
||||
return `запрос не выполнен: ${String(error)}`;
|
||||
}
|
||||
if (/"accessToken"\s*:\s*"[^"]+"/.test(body)) {
|
||||
return "панель ВЫДАЛА токен доступа на заведомо неверные учётные данные";
|
||||
}
|
||||
return describeRejection(body);
|
||||
}
|
||||
|
||||
/** Как выглядит отказ: код конверта и код причины, без тела. */
|
||||
function describeRejection(body: string): string {
|
||||
const envelope = body.match(/"code"\s*:\s*(\d+)/);
|
||||
const reason = body.match(/"code"\s*:\s*"([a-z_]+)"/);
|
||||
return `code=${envelope ? envelope[1] : "нет"}, причина=${reason ? reason[1] : "нет"}, токен не выдан`;
|
||||
}
|
||||
|
||||
// Читает /etc/hy2xs/bootstrap-admin.secret тем же парсером, которым он написан.
|
||||
//
|
||||
// Файл несёт пароль администратора, у которого набор символов не ограничен, а
|
||||
// пробелы по краям являются частью значения. Прежнее чтение —
|
||||
// `grep … | cut -d= -f2-` с `.trim()` — не умело ни того, ни другого, и вдобавок
|
||||
// прогоняло секрет через shell-конвейер.
|
||||
//
|
||||
// Комментарий записан строчными `//`, а не блоком: скан релизных гейтов
|
||||
// отбрасывает только их, и объяснение, называющее убранную конструкцию по
|
||||
// имени, иначе роняет проверку «этой конструкции здесь больше нет».
|
||||
async function readBootstrapAdminSecret(context: RuntimeContext): Promise<Record<string, string>> {
|
||||
return parseEnvFile(await readText(context.config.bootstrapAdminSecretPath));
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина отказа БЕЗ тела ответа.
|
||||
*
|
||||
|
||||
Reference in New Issue
Block a user