fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах

Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом
bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от
64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль
длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как
утверждал комментарий, — так вела себя редакция пакета до v0.28.

Следствие: пароль из 64 кириллических букв (128 байт) проходил панель,
оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на
штатной смене пароля, а при установке падением старта админки, то есть
сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта
было то, что тест закреплял это значение как ожидаемое.

Вместе с ним закрыты три соседних расхождения того же контракта.

Пароль триммился вопреки собственному контракту. util.HashPassword вёл
проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал
strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение
"abcde " принимали все двери продукта и не мог захешировать никто, а первая
учётная запись создавалась не с тем паролем, который оператор записал в
hy2xs.env.

Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы
async-validator, а он сравнивает min/max с String.prototype.length: пароль из
трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера,
который панель не могла объяснить.

hy2xs.env не был форматом. Значения писались интерполяцией, а читались
split("=") с trim(); при этом файл читает не только оркестратор — он объявлен
EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd
срезает краевые пробелы и трактует обратный слеш как escape.

Что сделано:

- контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword
  и dao, а service импортирует util — обратный импорт был бы циклическим, и
  именно поэтому HashPassword завёл собственную копию правила;
- AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в
  оркестраторе и панели; сверяется тестами, читающими Go-исходник;
- одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в
  байтах тегом валидатора не выразить) и код причины admin_password_format,
  называющий обе границы;
- TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет
  контракт сам и падает с текстом, называющим переменную и файл;
- панель считает code points и UTF-8 байты общим adminPasswordFormRule на
  обеих формах вместо встроенных min/max;
- orchestrator/src/lib/envFile.ts — порт конечного автомата
  parse_env_file_internal из systemd и обратный ему кодировщик; экранируются
  только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные
  значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же
  кодировщиком пишется bootstrap-admin.secret;
- управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а
  ввести такой пароль в форму входа всё равно нельзя;
- отрицательная проба smoke сверяет конверт отказа (code 50000,
  invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль
  генерирует, а не берёт из литерала;
- положительная проба читает bootstrap-секрет парсером формата вместо
  grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы.

Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я»,
«abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами
инвертирован; round-trip env-формата на значениях с кавычками, слешами и
краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов
приёмки.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
2026-09-06 18:38:04 +05:00
parent a8407cf16b
commit 65042ee335
38 changed files with 2646 additions and 400 deletions
+90 -2
View File
@@ -799,16 +799,79 @@ run_admin_login_acceptance() {
|| fail "acceptance: барьер перестал обходить исходники модели"
log_step "Acceptance: the admin credential contract has a single owner"
[ -f apps/service/admin_credentials.go ] \
# Контракт живёт в LEAF-пакете, а не в service. Это не вкусовщина: его зовут
# util.HashPassword и dao (bootstrap), а `service` импортирует `util` —
# обратный импорт был бы циклическим. Пока контракт лежал в service,
# HashPassword завёл собственную проверку `len(TrimSpace(p)) < 6`, и она
# разошлась с остальным продуктом.
[ -f apps/credential/admin.go ] \
|| fail "acceptance: контракт учётных данных администратора отсутствует"
code_has apps/controller/validator.go -F -- 'service.IsValidAdminUsername' \
[ ! -f apps/service/admin_credentials.go ] \
|| fail "acceptance: контракт вернулся в service, откуда его не может позвать util.HashPassword"
code_has apps/controller/validator.go -F -- 'credential.IsValidAdminUsername' \
|| fail "acceptance: правило логина снова несёт собственную копию набора символов"
code_has apps/controller/validator.go -F -- 'credential.IsValidAdminPassword' \
|| fail "acceptance: правило пароля снова несёт собственную копию границ"
# Длина логина живёт ВНУТРИ правила. Два правила длины на одном поле уже
# приводили к отказу, который невозможно объяснить оператору.
! code_has apps/model/dto/auth.go -E -- 'validate:"[^"]*(min|max)=[0-9]+[^"]*credentialStr' \
|| fail "acceptance: на логине снова стоит отдельная граница длины рядом с правилом"
log_step "Acceptance: the password contract knows the bcrypt byte limit"
# Границ у пароля ДВЕ и они в разных единицах. bcrypt читает 72 БАЙТА и
# отвечает ErrPasswordTooLong; 64 символа — это от 64 до 256 байт. Пока
# байтовой границы не было, пароль из 64 кириллических букв проходил
# оркестратор, DTO и панель, а падал в хешировании — системной ошибкой на
# штатной смене пароля и отсутствием администратора после установки.
code_has apps/credential/admin.go -F -- 'AdminPasswordMaxBytes = 72' \
|| fail "acceptance: предел bcrypt в байтах не объявлен в контракте"
code_has orchestrator/src/config/profile.ts -F -- 'ADMIN_PASSWORD_MAX_BYTES = 72' \
|| fail "acceptance: оркестратор снова не знает про предел bcrypt в байтах"
code_has apps/frontend/src/constants/credentials.ts -F -- 'ADMIN_PASSWORD_MAX_BYTES = 72' \
|| fail "acceptance: панель снова не знает про предел bcrypt в байтах"
# Границы пароля живут ВНУТРИ правила: тег валидатора умеет считать только
# символы, а границу в байтах им не выразить вовсе.
local password_dto
for password_dto in apps/model/dto/auth.go apps/model/dto/admin_user.go; do
code_has "$password_dto" -F -- 'adminPassword' \
|| fail "acceptance: $password_dto больше не проверяет пароль общим правилом"
! code_has "$password_dto" -E -- 'validate:"[^"]*(min|max)=[0-9]+[^"]*"' \
|| fail "acceptance: в $password_dto вернулась граница длины рядом с правилом пароля"
done
log_step "Acceptance: the password is never trimmed on its way to bcrypt"
# Пробел по краям объявлен ЧАСТЬЮ пароля. Пока HashPassword триммил значение,
# пароль `abcde ` принимали все двери продукта и не мог захешировать никто; а
# пока bootstrap триммил HY2XS_ADMIN_INITIAL_PASSWORD, учётная запись
# создавалась не с тем паролем, который оператор записал в hy2xs.env.
code_has apps/util/encrypt.go -F -- 'credential.IsValidAdminPassword(password)' \
|| fail "acceptance: HashPassword снова проверяет пароль собственным правилом"
! code_has apps/util/encrypt.go -F -- 'strings.TrimSpace(password)' \
|| fail "acceptance: в HashPassword вернулся TrimSpace — пароль с краевым пробелом снова нельзя захешировать"
! code_has apps/dao/sqlite.go -F -- 'strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD"))' \
|| fail "acceptance: bootstrap снова обрезает пароль первого администратора"
code_has apps/dao/sqlite.go -F -- 'credential.IsValidAdminPassword(adminPassword)' \
|| fail "acceptance: bootstrap снова не проверяет пароль против контракта"
log_step "Acceptance: hy2xs.env is a format, not a lucky interpolation"
# У файла ДВА читателя, и один из них — systemd (EnvironmentFile=). Пока
# значения писались интерполяцией, а читались split('=') с trim(), пароль с
# краевым пробелом, кавычкой или обратным слешем терялся ещё до запуска
# админки — при том, что продукт обещает неограниченный набор символов.
[ -f orchestrator/src/lib/envFile.ts ] \
|| fail "acceptance: модуль формата env-файлов отсутствует"
code_has orchestrator/src/config/env.ts -F -- 'parseEnvFile(content)' \
|| fail "acceptance: разбор hy2xs.env снова расходится с systemd"
code_has orchestrator/src/config/env.ts -F -- 'renderEnvFile(entries)' \
|| fail "acceptance: запись hy2xs.env снова идёт интерполяцией"
code_has orchestrator/src/steps/env.ts -F -- 'renderEnvFile(' \
|| fail "acceptance: bootstrap-admin.secret снова пишется интерполяцией"
# Экранируются ТОЛЬКО те символы, которые systemd разворачивает обратно.
code_has orchestrator/src/lib/envFile.ts -F -- 'SHELL_NEED_ESCAPE' \
|| fail "acceptance: кодировщик env потерял ссылку на правила systemd"
log_step "Acceptance: the panel is never stricter than the server"
[ -f apps/frontend/src/constants/credentials.ts ] \
|| fail "acceptance: контракт учётных данных панели отсутствует"
@@ -821,6 +884,12 @@ run_admin_login_acceptance() {
# серверным только потому, что обе стороны несли одну опечатку.
! code_has "$form" -F -- '_+-=' \
|| fail "acceptance: $form вернул класс символов, записанный диапазоном по опечатке"
# Встроенные min/max Element Plus делегируются async-validator, а он считает
# длину строки в единицах UTF-16: пароль из трёх эмодзи имел length 6,
# проходил минимум формы и получал отказ сервера, который панель не могла
# объяснить. Правило пароля обязано быть общим и считать code points.
code_has "$form" -F -- 'adminPasswordFormRule(' \
|| fail "acceptance: $form снова проверяет пароль встроенными min/max async-validator"
done
log_step "Acceptance: install proves that the panel lets an operator in"
@@ -849,6 +918,25 @@ run_admin_login_acceptance() {
! grep -q 'runReadOnly`curl' <<<"$login_body" \
|| fail "acceptance: запрос входа выполняется раннером, кладущим команду в текст ошибки"
log_step "Acceptance: the negative login probe proves a rejection"
# Проверка `code.trim() === "200"` доказывала ровно одно: что запрос не
# закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
# поэтому «неверные учётные данные отвергнуты» из неё не следовало.
code_has orchestrator/src/steps/smoke.ts -F -- 'isRejectedLogin' \
|| fail "acceptance: отрицательная проба снова определяет отказ по коду HTTP"
code_has orchestrator/src/steps/smoke.ts -F -- 'INVALID_CREDENTIALS_CODE = "invalid_credentials"' \
|| fail "acceptance: отрицательная проба не сверяет доменный код отказа"
# Литерал в исходнике теоретически может оказаться настоящим паролем — тогда
# проверка «данные отвергнуты» отчиталась бы об успешном ВХОДЕ.
! code_has orchestrator/src/steps/smoke.ts -F -- 'definitely-not-the-admin-password' \
|| fail "acceptance: пароль отрицательной пробы снова записан литералом"
# Bootstrap-секрет читается парсером формата: `cut -d= -f2-` с `trim()` был
# третьим слоем, срезающим краевые пробелы у пароля.
! code_has orchestrator/src/steps/smoke.ts -F -- 'cut -d= -f2-' \
|| fail "acceptance: bootstrap-секрет снова извлекается шелл-конвейером"
code_has orchestrator/src/steps/smoke.ts -F -- 'readBootstrapAdminSecret' \
|| fail "acceptance: bootstrap-секрет читается не парсером собственного формата"
log_step "Acceptance: the orchestrator validates what it generates"
code_has orchestrator/src/config/env.ts -F -- 'assertValidAdminUsername(' \
|| fail "acceptance: HY2XS_ADMIN_USER снова не проверяется против контракта панели"
+113 -9
View File
@@ -8,12 +8,14 @@ import {
FLAMY_URL,
} from "../../apps/frontend/src/constants/branding";
import {
ADMIN_PASSWORD_MAX_BYTES,
ADMIN_PASSWORD_MAX_LENGTH,
ADMIN_PASSWORD_MIN_LENGTH,
ADMIN_USERNAME_CHARSET,
ADMIN_USERNAME_MAX_LENGTH,
ADMIN_USERNAME_MIN_LENGTH,
ADMIN_USERNAME_PATTERN,
isValidAdminPassword,
} from "../../apps/frontend/src/constants/credentials";
import ru from "../../apps/frontend/src/lang/package/ru";
import en from "../../apps/frontend/src/lang/package/en";
@@ -689,7 +691,7 @@ describe("правдивая диагностика", () => {
describe("контракт учётных данных администратора", () => {
const goContract = () =>
fs.readFileSync(
path.join(REPO_ROOT, "apps", "service", "admin_credentials.go"),
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
"utf8"
);
@@ -703,7 +705,7 @@ describe("контракт учётных данных администрато
if (backticked) {
return backticked[1];
}
throw new Error(`константа ${name} не найдена в admin_credentials.go`);
throw new Error(`константа ${name} не найдена в apps/credential/admin.go`);
}
const loginForm = () => readSource("views", "login", "index.vue");
@@ -718,6 +720,12 @@ describe("контракт учётных данных администрато
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
// Предел bcrypt — отдельная константа и отдельная сверка. Пока панель знала
// только границу в символах, она предлагала оператору назначить пароль из
// 64 кириллических букв (128 байт), сервер его принимал всеми проверками, а
// хеширование отказывало — и оператор получал системную ошибку на штатной
// смене пароля.
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
expect(ADMIN_USERNAME_CHARSET).toBe(goConst("AdminUsernameCharset"));
const declared = goConst("adminUsernameCharacterClass");
@@ -756,20 +764,108 @@ describe("контракт учётных данных администрато
// серверном пределе в 64, а форма смены пароля назначала до 64. Пароль,
// назначенный штатной операцией, становился паролем, с которым невозможно
// войти.
test("границы пароля на обеих формах — одни и те же", () => {
test("правило пароля на обеих формах — одно и то же", () => {
for (const form of [loginForm(), changePasswordForm()]) {
const code = vueCodeOf(form);
expect(code).toContain("min: ADMIN_PASSWORD_MIN_LENGTH");
expect(code).toContain("max: ADMIN_PASSWORD_MAX_LENGTH");
expect(code).toContain("adminPasswordFormRule(");
expect(code).toContain("credentials.passwordFormat");
}
});
// Регрессия RC2-UI-04. Element Plus делегирует правила формы библиотеке
// `async-validator`, а она сравнивает `min`/`max` строки с
// `String.prototype.length`, то есть считает единицы UTF-16. Сервер считает
// code points. Пароль из трёх эмодзи имел `value.length === 6`, проходил
// минимум формы и получал отказ сервера, который панель не могла объяснить.
//
// Встроенных границ на пароле поэтому быть не должно вовсе: длина
// принадлежит правилу, а не соседям по объекту.
test("на пароле нет встроенных min/max от async-validator", async () => {
const { adminPasswordFormRule } = await import(
"../../apps/frontend/src/constants/credentials"
);
// Правило одно на обе формы, и границ как СВОЙСТВ правила у него нет: длина
// живёт внутри валидатора, где её можно посчитать правильно.
const rule = adminPasswordFormRule("format") as Record<string, unknown>;
expect(typeof rule.validator).toBe("function");
expect("min" in rule).toBe(false);
expect("max" in rule).toBe(false);
// И ни одна форма не заводит собственных границ рядом с ним. Числа в
// сообщении не считаются: фраза обязана НАЗЫВАТЬ требование, поэтому они
// подставляются в t() и вырезаются здесь перед проверкой.
for (const form of [loginForm(), changePasswordForm()]) {
const withoutMessages = vueCodeOf(form).replace(
/t\("credentials\.passwordFormat",[\s\S]*?\n\s*\}\)/g,
't("credentials.passwordFormat")'
);
expect(withoutMessages).not.toContain("min: ADMIN_PASSWORD_MIN_LENGTH");
expect(withoutMessages).not.toContain("max: ADMIN_PASSWORD_MAX_LENGTH");
}
});
// Правило панели обязано отвечать так же, как Go-контракт, на тех значениях,
// где расходятся способы счёта длины.
test("правило пароля считает code points и байты, а не UTF-16", () => {
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
// ниже проверяли бы не то, что написано.
expect(new TextEncoder().encode("я".repeat(36)).length).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(new TextEncoder().encode("😀".repeat(18)).length).toBe(ADMIN_PASSWORD_MAX_BYTES);
for (const accepted of [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH),
"я".repeat(36),
"😀".repeat(18),
"abcde ",
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH),
]) {
expect(isValidAdminPassword(accepted)).toBe(true);
}
for (const rejected of [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH - 1),
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
"я".repeat(37),
"😀".repeat(19),
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH),
"abcde\n",
"abcde\t",
]) {
expect(isValidAdminPassword(rejected)).toBe(false);
}
// Именно тот случай, ради которого встроенные min/max убраны: три эмодзи —
// это 3 code points и 6 единиц UTF-16.
expect("😀😀😀".length).toBe(6);
expect(isValidAdminPassword("😀😀😀")).toBe(false);
});
// Пустое значение — забота правила `required`, а не правила формата: иначе
// оператор, отправивший пустую форму, читает про границы длины вместо «поле
// обязательно». Сервер ведёт себя так же (DTO приводит пустой пароль к «не
// задано» до проверки правил).
test("пустой пароль остаётся на правиле required", async () => {
const { adminPasswordFormRule } = await import(
"../../apps/frontend/src/constants/credentials"
);
const rule = adminPasswordFormRule("format");
const errors: (Error | undefined)[] = [];
rule.validator(null, "", (error?: Error) => errors.push(error));
rule.validator(null, "abc", (error?: Error) => errors.push(error));
expect(errors[0]).toBeUndefined();
expect(errors[1]).toBeInstanceOf(Error);
});
// Набор символов пароля сервером не проверяется НИГДЕ, поэтому его проверка в
// панели умеет только отвергнуть пароль, который сервер принял бы.
test("на пароль не навешен набор символов", () => {
for (const form of [loginForm(), changePasswordForm()]) {
const code = vueCodeOf(form);
expect(code).not.toContain("ADMIN_USERNAME_PATTERN,\n message: t(\"credentials.passwordLength\"");
expect(code).not.toContain("ADMIN_USERNAME_PATTERN,\n message: t(\"credentials.passwordFormat\"");
expect(code).not.toMatch(/passwordPattern/);
}
// Правило логина — единственное место, где вообще упоминается набор.
@@ -782,13 +878,17 @@ describe("контракт учётных данных администрато
for (const dictionary of [ru, en] as const) {
const credentials = (dictionary as any).credentials ?? {};
expect(typeof credentials.usernameFormat).toBe("string");
expect(typeof credentials.passwordLength).toBe("string");
expect(typeof credentials.passwordFormat).toBe("string");
for (const placeholder of ["{min}", "{max}", "{charset}"]) {
expect(credentials.usernameFormat).toContain(placeholder);
}
for (const placeholder of ["{min}", "{max}"]) {
expect(credentials.passwordLength).toContain(placeholder);
// Границ у пароля ДВЕ, и они в разных единицах: пароль из 40 эмодзи
// укладывается в 64 символа и не укладывается в 72 байта. Фраза «не
// длиннее {max} символов» отправила бы оператора сокращать пароль,
// отвергнутый не за это.
for (const placeholder of ["{min}", "{max}", "{maxBytes}"]) {
expect(credentials.passwordFormat).toContain(placeholder);
}
// Причина отказа от сервера несёт те же params и обязана их использовать.
@@ -796,6 +896,10 @@ describe("контракт учётных данных администрато
for (const placeholder of ["{min}", "{max}", "{charset}"]) {
expect(reason).toContain(placeholder);
}
const passwordReason = (dictionary as any).error?.code?.admin_password_format ?? "";
for (const placeholder of ["{min}", "{max}", "{maxBytes}"]) {
expect(passwordReason).toContain(placeholder);
}
}
});
});