fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от 64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как утверждал комментарий, — так вела себя редакция пакета до v0.28. Следствие: пароль из 64 кириллических букв (128 байт) проходил панель, оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на штатной смене пароля, а при установке падением старта админки, то есть сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта было то, что тест закреплял это значение как ожидаемое. Вместе с ним закрыты три соседних расхождения того же контракта. Пароль триммился вопреки собственному контракту. util.HashPassword вёл проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение "abcde " принимали все двери продукта и не мог захешировать никто, а первая учётная запись создавалась не с тем паролем, который оператор записал в hy2xs.env. Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы async-validator, а он сравнивает min/max с String.prototype.length: пароль из трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера, который панель не могла объяснить. hy2xs.env не был форматом. Значения писались интерполяцией, а читались split("=") с trim(); при этом файл читает не только оркестратор — он объявлен EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd срезает краевые пробелы и трактует обратный слеш как escape. Что сделано: - контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword и dao, а service импортирует util — обратный импорт был бы циклическим, и именно поэтому HashPassword завёл собственную копию правила; - AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в оркестраторе и панели; сверяется тестами, читающими Go-исходник; - одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в байтах тегом валидатора не выразить) и код причины admin_password_format, называющий обе границы; - TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет контракт сам и падает с текстом, называющим переменную и файл; - панель считает code points и UTF-8 байты общим adminPasswordFormRule на обеих формах вместо встроенных min/max; - orchestrator/src/lib/envFile.ts — порт конечного автомата parse_env_file_internal из systemd и обратный ему кодировщик; экранируются только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же кодировщиком пишется bootstrap-admin.secret; - управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а ввести такой пароль в форму входа всё равно нельзя; - отрицательная проба smoke сверяет конверт отказа (code 50000, invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль генерирует, а не берёт из литерала; - положительная проба читает bootstrap-секрет парсером формата вместо grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы. Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я», «abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами инвертирован; round-trip env-формата на значениях с кавычками, слешами и краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов приёмки. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -5,12 +5,14 @@ import path from "node:path";
|
||||
import { parseRuntimeEnv } from "../src/config/env";
|
||||
import {
|
||||
ADMIN_LOGIN_PATH,
|
||||
ADMIN_PASSWORD_MAX_BYTES,
|
||||
ADMIN_PASSWORD_MAX_LENGTH,
|
||||
ADMIN_PASSWORD_MIN_LENGTH,
|
||||
ADMIN_USERNAME_CHARSET,
|
||||
ADMIN_USERNAME_MAX_LENGTH,
|
||||
ADMIN_USERNAME_MIN_LENGTH,
|
||||
ADMIN_USERNAME_PATTERN
|
||||
ADMIN_USERNAME_PATTERN,
|
||||
isValidAdminPassword
|
||||
} from "../src/config/profile";
|
||||
import { baselineConfig, envText } from "./fixtures";
|
||||
|
||||
@@ -28,7 +30,7 @@ const REPO_ROOT = path.resolve(import.meta.dir, "..", "..");
|
||||
|
||||
function goContract(): string {
|
||||
return fs.readFileSync(
|
||||
path.join(REPO_ROOT, "apps", "service", "admin_credentials.go"),
|
||||
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
|
||||
"utf8"
|
||||
);
|
||||
}
|
||||
@@ -43,18 +45,37 @@ function goConst(name: string): string {
|
||||
if (backticked) {
|
||||
return backticked[1];
|
||||
}
|
||||
throw new Error(`константа ${name} не найдена в apps/service/admin_credentials.go`);
|
||||
throw new Error(`константа ${name} не найдена в apps/credential/admin.go`);
|
||||
}
|
||||
|
||||
/**
|
||||
* Содержимое файла без комментариев.
|
||||
*
|
||||
* Проверять положено КОД, а не упоминания: комментарий, объясняющий, почему
|
||||
* убранной конструкции здесь больше нет, обязан называть её по имени, иначе он
|
||||
* бесполезен, — и проверка «такой конструкции в файле нет» начинает падать
|
||||
* ровно на той документации, которая описывает выполненную ею же работу.
|
||||
*/
|
||||
function codeOf(source: string): string {
|
||||
return source
|
||||
.split("\n")
|
||||
.filter((line) => !/^\s*(\/\/|\/?\*)/.test(line))
|
||||
.join("\n");
|
||||
}
|
||||
|
||||
describe("контракт учётных данных совпадает с админкой", () => {
|
||||
// Копия контракта в TypeScript неизбежна: оркестратор собирается отдельно от
|
||||
// Go-бинарника и импортировать его константы не может. Проверяется поэтому
|
||||
// не отсутствие копии, а её совпадение с оригиналом — сверкой по исходнику.
|
||||
test("границы длины совпадают с service.Admin*Length", () => {
|
||||
test("границы совпадают с credential.Admin*", () => {
|
||||
expect(String(ADMIN_USERNAME_MIN_LENGTH)).toBe(goConst("AdminUsernameMinLength"));
|
||||
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
|
||||
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
|
||||
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
|
||||
// Предел bcrypt — ОТДЕЛЬНАЯ константа и отдельная сверка: пока его тут не
|
||||
// было, оркестратор пропускал в hy2xs.env пароль, который админка не могла
|
||||
// захешировать, и установка заканчивалась сервером без администратора.
|
||||
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
|
||||
});
|
||||
|
||||
test("набор символов логина совпадает с классом из Go", () => {
|
||||
@@ -191,13 +212,79 @@ describe("HY2XS_ADMIN_INITIAL_PASSWORD проверяется при разбо
|
||||
}
|
||||
});
|
||||
|
||||
// Длина считается в РУНАХ: 32 кириллические буквы — это 64 байта, и проверка
|
||||
// по байтам отвергла бы пароль, который панель принимает.
|
||||
test("длина считается в символах, а не в байтах", () => {
|
||||
const cyrillic = "я".repeat(ADMIN_PASSWORD_MAX_LENGTH);
|
||||
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: cyrillic }).adminInitialPassword).toBe(
|
||||
cyrillic
|
||||
// Границ ДВЕ, и они в разных единицах.
|
||||
//
|
||||
// Здесь стоял тест «длина считается в символах, а не в байтах», требовавший
|
||||
// приёма 64 кириллических букв. Он закреплял как ожидаемое ровно то значение,
|
||||
// на котором продукт ломался: 64 символа — это 128 байт, а
|
||||
// bcrypt.GenerateFromPassword отвечает ErrPasswordTooLong строго при длине
|
||||
// больше 72 байт. Установка проходила целиком, а первая учётная запись
|
||||
// администратора не создавалась вовсе.
|
||||
//
|
||||
// Длина по-прежнему считается в СИМВОЛАХ — иначе оркестратор был бы строже
|
||||
// панели, — но байтовая граница существует одновременно с ней.
|
||||
test("границы пароля проверяются и в символах, и в байтах", () => {
|
||||
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
|
||||
// ниже проверяли бы не то, что написано.
|
||||
expect(Buffer.byteLength("я".repeat(36), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
|
||||
expect(Buffer.byteLength("😀".repeat(18), "utf8")).toBe(ADMIN_PASSWORD_MAX_BYTES);
|
||||
|
||||
const accepted = [
|
||||
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
|
||||
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH),
|
||||
"я".repeat(36),
|
||||
"😀".repeat(18),
|
||||
"abcde ",
|
||||
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH)
|
||||
];
|
||||
for (const password of accepted) {
|
||||
expect(isValidAdminPassword(password)).toBe(true);
|
||||
expect(baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` }).adminInitialPassword).toBe(
|
||||
password
|
||||
);
|
||||
}
|
||||
|
||||
const rejected = [
|
||||
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH - 1),
|
||||
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
|
||||
"я".repeat(37),
|
||||
"😀".repeat(19),
|
||||
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)
|
||||
];
|
||||
for (const password of rejected) {
|
||||
expect(isValidAdminPassword(password)).toBe(false);
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: `"${password}"` })).toThrow(
|
||||
/invalid HY2XS_ADMIN_INITIAL_PASSWORD/
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
// Отказ обязан НАЗЫВАТЬ обе границы: пароль из 40 эмодзи укладывается в 64
|
||||
// символа и не укладывается в 72 байта, и сообщение «не длиннее 64 символов»
|
||||
// отправило бы оператора сокращать пароль, отвергнутый не за это.
|
||||
test("отказ называет и символы, и байты", () => {
|
||||
const tooManyBytes = `"${"я".repeat(ADMIN_PASSWORD_MAX_LENGTH)}"`;
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
|
||||
new RegExp(`${ADMIN_PASSWORD_MAX_BYTES} байт`)
|
||||
);
|
||||
expect(() => baselineConfig({ HY2XS_ADMIN_INITIAL_PASSWORD: tooManyBytes })).toThrow(
|
||||
new RegExp(`${ADMIN_PASSWORD_MIN_LENGTH}.*${ADMIN_PASSWORD_MAX_LENGTH}`)
|
||||
);
|
||||
});
|
||||
|
||||
// Управляющий символ отвергается контрактом, а не теряется транспортом.
|
||||
test("управляющий символ в пароле роняет установку", () => {
|
||||
expect(isValidAdminPassword("abcde\n")).toBe(false);
|
||||
expect(isValidAdminPassword("abcde\t")).toBe(false);
|
||||
});
|
||||
|
||||
// Сгенерированный пароль обязан проходить контракт ЦЕЛИКОМ, включая байты:
|
||||
// генератор — такой же источник значения, как и оператор.
|
||||
test("сгенерированный пароль проходит контракт целиком", () => {
|
||||
for (let i = 0; i < 50; i += 1) {
|
||||
const config = parseRuntimeEnv(envText({ HY2XS_ADMIN_INITIAL_PASSWORD: "__GENERATE__" }));
|
||||
expect(isValidAdminPassword(config.adminInitialPassword)).toBe(true);
|
||||
}
|
||||
});
|
||||
});
|
||||
|
||||
@@ -277,4 +364,66 @@ describe("smoke выполняет настоящий вход в панель",
|
||||
expect(rejected).toBeGreaterThan(-1);
|
||||
expect(modeGate).toBeGreaterThan(rejected);
|
||||
});
|
||||
|
||||
// Отрицательная проба обязана доказывать ОТКАЗ.
|
||||
//
|
||||
// Она проверяла `code.trim() === "200"`, то есть ровно одно: что запрос не
|
||||
// закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
|
||||
// поэтому «неверные учётные данные отвергнуты» этой проверкой не следовало.
|
||||
test("отрицательная проба сверяет конверт отказа, а не код HTTP", () => {
|
||||
const source = smoke();
|
||||
|
||||
expect(source).toContain("isRejectedLogin");
|
||||
// Код конверта отказа, доменная причина и ОТСУТСТВИЕ токена — три признака,
|
||||
// и каждый закрывает свой способ ошибиться.
|
||||
expect(source).toMatch(/"code"\\s\*:\\s\*50000/);
|
||||
expect(source).toContain('INVALID_CREDENTIALS_CODE = "invalid_credentials"');
|
||||
|
||||
const start = source.indexOf("function isRejectedLogin");
|
||||
const body = source.slice(start, source.indexOf("\n/**", start));
|
||||
expect(body).toContain("!/\"accessToken\"");
|
||||
});
|
||||
|
||||
// Доменный код обязан совпадать с тем, который объявляет админка.
|
||||
test("код причины отказа совпадает с constant.ErrCodeInvalidCredentials", () => {
|
||||
const goErrors = fs.readFileSync(
|
||||
path.join(REPO_ROOT, "apps", "model", "constant", "error.go"),
|
||||
"utf8"
|
||||
);
|
||||
const declared = goErrors.match(/ErrCodeInvalidCredentials\s+string\s*=\s*"([^"]+)"/);
|
||||
expect(declared).not.toBeNull();
|
||||
expect(smoke()).toContain(`INVALID_CREDENTIALS_CODE = "${declared![1]}"`);
|
||||
});
|
||||
|
||||
// Пароль отрицательной пробы не имеет права быть литералом: записанное в
|
||||
// исходнике значение теоретически может оказаться настоящим паролем, и тогда
|
||||
// проверка «неверные данные отвергаются» отчиталась бы об успешном ВХОДЕ.
|
||||
test("пароль отрицательной пробы генерируется, а не записан в исходнике", () => {
|
||||
const source = smoke();
|
||||
// Считается КОД, а не упоминания: комментарий, объясняющий, почему прежнего
|
||||
// литерала здесь больше нет, обязан называть его по имени — иначе он
|
||||
// бесполезен. Тот же урок уже записан в code_without_comments в
|
||||
// acceptance.sh и в codeOf во frontend-contract.test.ts.
|
||||
expect(codeOf(source)).not.toContain("definitely-not-the-admin-password");
|
||||
expect(source).toContain('randomBytes(24).toString("base64url")');
|
||||
expect(source).toContain("negative login probe accidentally used the real admin password");
|
||||
});
|
||||
|
||||
// Bootstrap-секрет читается ПАРСЕРОМ того же формата, которым он написан.
|
||||
//
|
||||
// Прежнее `grep … | cut -d= -f2-` с `.trim()` было третьим по счёту слоем,
|
||||
// срезающим краевые пробелы у пароля, набор символов которого объявлен
|
||||
// неограниченным: положительная проба брала не тот пароль и объявляла бы
|
||||
// рабочую установку сломанной.
|
||||
test("bootstrap-секрет читается парсером формата, а не шелл-конвейером", () => {
|
||||
const source = smoke();
|
||||
|
||||
expect(source).toContain("readBootstrapAdminSecret");
|
||||
expect(source).toContain("parseEnvFile(await readText(context.config.bootstrapAdminSecretPath))");
|
||||
|
||||
// Извлечения значения шеллом не остаётся ни одного. Проверки НАЛИЧИЯ
|
||||
// ключей (`grep -q '^ADMIN_USER='`) при этом законны и остаются: они
|
||||
// отвечают на другой вопрос — цел ли файл, — и значения не читают.
|
||||
expect(codeOf(source)).not.toContain("cut -d= -f2-");
|
||||
});
|
||||
});
|
||||
|
||||
Reference in New Issue
Block a user