fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
+114
-17
@@ -1,6 +1,8 @@
|
||||
import { randomBytes } from "node:crypto";
|
||||
import type { RuntimeContext } from "../types/context";
|
||||
import { info } from "../lib/log";
|
||||
import { readText } from "../lib/fs";
|
||||
import { parseEnvFile } from "../lib/envFile";
|
||||
import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
|
||||
import { ADMIN_LOGIN_PATH, HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
|
||||
@@ -194,7 +196,7 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
}
|
||||
|
||||
if (context.mode === "install") {
|
||||
const adminConPass = (await runReadOnlySecret`grep '^ADMIN_CON_PASS=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`).trim();
|
||||
const adminConPass = (await readBootstrapAdminSecret(context)).ADMIN_CON_PASS ?? "";
|
||||
if (!adminConPass) {
|
||||
throw new Error("admin connection password is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -279,36 +281,55 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
const loginUrl = `http://127.0.0.1:${context.config.uiPort}${ADMIN_LOGIN_PATH}`;
|
||||
|
||||
// Отрицательная проба доказывает ОТКАЗ, а не отсутствие HTTP 500.
|
||||
//
|
||||
// Здесь стояли жёстко записанный пароль `definitely-not-the-admin-password` и
|
||||
// критерий `code.trim() === "200"`. У этой пары было два изъяна. Пароль был
|
||||
// литералом, то есть теоретически мог оказаться настоящим — и тогда проверка
|
||||
// «неверные данные отвергаются» отчиталась бы об успешном ВХОДЕ. А критерий
|
||||
// «HTTP 200» не отличал отказ от успеха вовсе: админка отвечает 200 и на то,
|
||||
// и на другое, причина живёт в конверте. Проверка доказывала ровно одно —
|
||||
// что запрос не закончился пятисоткой.
|
||||
//
|
||||
// Теперь пароль генерируется в момент пробы, а результат сверяется с
|
||||
// конвертом: код 50000, причина `invalid_credentials` и ОТСУТСТВИЕ токена
|
||||
// доступа. Логин берётся настоящий — тот же, что у администратора, — чтобы
|
||||
// запрос шёл тем же путём, что и реальный вход, и доходил до проверки пароля.
|
||||
const rejectedPassword = randomBytes(24).toString("base64url");
|
||||
const rejectedPayload = JSON.stringify({
|
||||
username: "hy2xsadmin",
|
||||
pass: "definitely-not-the-admin-password"
|
||||
username: context.config.adminUser,
|
||||
pass: rejectedPassword
|
||||
});
|
||||
const rejectedStatus = await retry(
|
||||
const rejectedBody = await retry(
|
||||
"admin login rejects wrong credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(code) => code.trim() === "200",
|
||||
(code, error) =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(body) => isRejectedLogin(body),
|
||||
(body, error) =>
|
||||
new Error(
|
||||
`admin login answered HTTP ${code ?? String(error)} for invalid credentials: ` +
|
||||
`панель обязана отвечать конвертом отказа, а HTTP 500 здесь означает, что запрос ` +
|
||||
`не доживает до проверки учётных данных`
|
||||
`admin login did not reject invalid credentials: ${describeRejectionFailure(body, error)}\n` +
|
||||
`Панель обязана отвечать конвертом отказа с причиной ${INVALID_CREDENTIALS_CODE}. ` +
|
||||
`Отсутствие такого конверта означает, что запрос не доживает до проверки учётных данных.`
|
||||
)
|
||||
);
|
||||
info(`admin login rejects wrong credentials with HTTP ${rejectedStatus.trim()}`);
|
||||
info(`admin login rejects wrong credentials: ${describeRejection(rejectedBody)}`);
|
||||
|
||||
if (context.mode !== "install") {
|
||||
return;
|
||||
}
|
||||
|
||||
const adminUser = (
|
||||
await runReadOnlySecret`grep '^ADMIN_USER=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
const adminPassword = (
|
||||
await runReadOnlySecret`grep '^ADMIN_INITIAL_PASSWORD=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
// Файл читается ЦЕЛИКОМ и разбирается тем же парсером, которым он написан.
|
||||
//
|
||||
// Здесь стояло `grep … | cut -d= -f2-` с последующим `.trim()`, и это был
|
||||
// третий по счёту слой, срезающий пробелы у пароля, набор символов которого
|
||||
// объявлен неограниченным. Даже с починенными env-транспортом и админкой
|
||||
// проба брала бы не тот пароль и объявляла бы рабочую установку сломанной.
|
||||
// Побочно исчез и прогон секрета через shell-конвейер.
|
||||
const bootstrap = await readBootstrapAdminSecret(context);
|
||||
const adminUser = bootstrap.ADMIN_USER ?? "";
|
||||
const adminPassword = bootstrap.ADMIN_INITIAL_PASSWORD ?? "";
|
||||
if (!adminUser) {
|
||||
throw new Error("admin username is empty in bootstrap secret file");
|
||||
}
|
||||
@@ -316,6 +337,13 @@ async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
throw new Error("admin initial password is empty in bootstrap secret file");
|
||||
}
|
||||
|
||||
// Отрицательная проба обязана быть отрицательной. Совпадение случайного
|
||||
// пароля с настоящим невероятно, но проверить это здесь можно точно, и тогда
|
||||
// «отвергнуто» гарантированно означает «отвергнуто», а не «не совпало».
|
||||
if (rejectedPassword === adminPassword) {
|
||||
throw new Error("negative login probe accidentally used the real admin password");
|
||||
}
|
||||
|
||||
const payload = JSON.stringify({ username: adminUser, pass: adminPassword });
|
||||
const response = await retry(
|
||||
"admin login with bootstrap credentials",
|
||||
@@ -348,6 +376,75 @@ function isSuccessfulLogin(body: string): boolean {
|
||||
return /"code"\s*:\s*20000/.test(body) && /"accessToken"\s*:\s*"[^"]+"/.test(body);
|
||||
}
|
||||
|
||||
/**
|
||||
* Код причины отказа по учётным данным — тот же литерал, что и
|
||||
* constant.ErrCodeInvalidCredentials в админке.
|
||||
*
|
||||
* Он часть публичного контракта API: панель выбирает по нему локализованную
|
||||
* фразу, и его значение не меняется вместе с формулировками сообщений.
|
||||
*/
|
||||
const INVALID_CREDENTIALS_CODE = "invalid_credentials";
|
||||
|
||||
/**
|
||||
* Отказ определяется по КОНВЕРТУ целиком, а не по отсутствию HTTP 500.
|
||||
*
|
||||
* Требуются три признака сразу, и каждый закрывает свой способ ошибиться:
|
||||
*
|
||||
* код ответа 50000 — это отказ уровня операции, а не успех (20000) и
|
||||
* не отказ валидации (50001), который означал бы,
|
||||
* что проба отправила негодный запрос и до проверки
|
||||
* пароля он не дошёл;
|
||||
* причина invalid_credentials — отказ именно по учётным данным, а не,
|
||||
* скажем, по недоступной базе;
|
||||
* отсутствие accessToken — панель не выдала сессию.
|
||||
*/
|
||||
function isRejectedLogin(body: string): boolean {
|
||||
return (
|
||||
/"code"\s*:\s*50000/.test(body) &&
|
||||
new RegExp(`"code"\\s*:\\s*"${INVALID_CREDENTIALS_CODE}"`).test(body) &&
|
||||
!/"accessToken"\s*:\s*"[^"]+"/.test(body)
|
||||
);
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина, по которой отрицательная проба не признана отказом, — БЕЗ тела
|
||||
* ответа.
|
||||
*
|
||||
* Тело сюда попасть не может по той же причине, что и в describeLoginFailure:
|
||||
* если панель по недоразумению впустила, в ответе лежит токен доступа, а этот
|
||||
* текст уезжает в журнал установки и в diagnostics-бандл.
|
||||
*/
|
||||
function describeRejectionFailure(body: string | undefined, error: unknown): string {
|
||||
if (body === undefined) {
|
||||
return `запрос не выполнен: ${String(error)}`;
|
||||
}
|
||||
if (/"accessToken"\s*:\s*"[^"]+"/.test(body)) {
|
||||
return "панель ВЫДАЛА токен доступа на заведомо неверные учётные данные";
|
||||
}
|
||||
return describeRejection(body);
|
||||
}
|
||||
|
||||
/** Как выглядит отказ: код конверта и код причины, без тела. */
|
||||
function describeRejection(body: string): string {
|
||||
const envelope = body.match(/"code"\s*:\s*(\d+)/);
|
||||
const reason = body.match(/"code"\s*:\s*"([a-z_]+)"/);
|
||||
return `code=${envelope ? envelope[1] : "нет"}, причина=${reason ? reason[1] : "нет"}, токен не выдан`;
|
||||
}
|
||||
|
||||
// Читает /etc/hy2xs/bootstrap-admin.secret тем же парсером, которым он написан.
|
||||
//
|
||||
// Файл несёт пароль администратора, у которого набор символов не ограничен, а
|
||||
// пробелы по краям являются частью значения. Прежнее чтение —
|
||||
// `grep … | cut -d= -f2-` с `.trim()` — не умело ни того, ни другого, и вдобавок
|
||||
// прогоняло секрет через shell-конвейер.
|
||||
//
|
||||
// Комментарий записан строчными `//`, а не блоком: скан релизных гейтов
|
||||
// отбрасывает только их, и объяснение, называющее убранную конструкцию по
|
||||
// имени, иначе роняет проверку «этой конструкции здесь больше нет».
|
||||
async function readBootstrapAdminSecret(context: RuntimeContext): Promise<Record<string, string>> {
|
||||
return parseEnvFile(await readText(context.config.bootstrapAdminSecretPath));
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина отказа БЕЗ тела ответа.
|
||||
*
|
||||
|
||||
Reference in New Issue
Block a user