fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах

Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом
bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от
64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль
длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как
утверждал комментарий, — так вела себя редакция пакета до v0.28.

Следствие: пароль из 64 кириллических букв (128 байт) проходил панель,
оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на
штатной смене пароля, а при установке падением старта админки, то есть
сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта
было то, что тест закреплял это значение как ожидаемое.

Вместе с ним закрыты три соседних расхождения того же контракта.

Пароль триммился вопреки собственному контракту. util.HashPassword вёл
проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал
strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение
"abcde " принимали все двери продукта и не мог захешировать никто, а первая
учётная запись создавалась не с тем паролем, который оператор записал в
hy2xs.env.

Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы
async-validator, а он сравнивает min/max с String.prototype.length: пароль из
трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера,
который панель не могла объяснить.

hy2xs.env не был форматом. Значения писались интерполяцией, а читались
split("=") с trim(); при этом файл читает не только оркестратор — он объявлен
EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd
срезает краевые пробелы и трактует обратный слеш как escape.

Что сделано:

- контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword
  и dao, а service импортирует util — обратный импорт был бы циклическим, и
  именно поэтому HashPassword завёл собственную копию правила;
- AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в
  оркестраторе и панели; сверяется тестами, читающими Go-исходник;
- одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в
  байтах тегом валидатора не выразить) и код причины admin_password_format,
  называющий обе границы;
- TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет
  контракт сам и падает с текстом, называющим переменную и файл;
- панель считает code points и UTF-8 байты общим adminPasswordFormRule на
  обеих формах вместо встроенных min/max;
- orchestrator/src/lib/envFile.ts — порт конечного автомата
  parse_env_file_internal из systemd и обратный ему кодировщик; экранируются
  только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные
  значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же
  кодировщиком пишется bootstrap-admin.secret;
- управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а
  ввести такой пароль в форму входа всё равно нельзя;
- отрицательная проба smoke сверяет конверт отказа (code 50000,
  invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль
  генерирует, а не берёт из литерала;
- положительная проба читает bootstrap-секрет парсером формата вместо
  grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы.

Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я»,
«abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами
инвертирован; round-trip env-формата на значениях с кавычками, слешами и
краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов
приёмки.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tools/build/lib/acceptance.sh

@@ -799,16 +799,79 @@ run_admin_login_acceptance() {
     || fail "acceptance: барьер перестал обходить исходники модели"
 
   log_step "Acceptance: the admin credential contract has a single owner"
-  [ -f apps/service/admin_credentials.go ] \
+  # Контракт живёт в LEAF-пакете, а не в service. Это не вкусовщина: его зовут
+  # util.HashPassword и dao (bootstrap), а `service` импортирует `util` —
+  # обратный импорт был бы циклическим. Пока контракт лежал в service,
+  # HashPassword завёл собственную проверку `len(TrimSpace(p)) < 6`, и она
+  # разошлась с остальным продуктом.
+  [ -f apps/credential/admin.go ] \
     || fail "acceptance: контракт учётных данных администратора отсутствует"
-  code_has apps/controller/validator.go -F -- 'service.IsValidAdminUsername' \
+  [ ! -f apps/service/admin_credentials.go ] \
+    || fail "acceptance: контракт вернулся в service, откуда его не может позвать util.HashPassword"
+  code_has apps/controller/validator.go -F -- 'credential.IsValidAdminUsername' \
     || fail "acceptance: правило логина снова несёт собственную копию набора символов"
+  code_has apps/controller/validator.go -F -- 'credential.IsValidAdminPassword' \
+    || fail "acceptance: правило пароля снова несёт собственную копию границ"
 
   # Длина логина живёт ВНУТРИ правила. Два правила длины на одном поле уже
   # приводили к отказу, который невозможно объяснить оператору.
   ! code_has apps/model/dto/auth.go -E -- 'validate:"[^"]*(min|max)=[0-9]+[^"]*credentialStr' \
     || fail "acceptance: на логине снова стоит отдельная граница длины рядом с правилом"
 
+  log_step "Acceptance: the password contract knows the bcrypt byte limit"
+  # Границ у пароля ДВЕ и они в разных единицах. bcrypt читает 72 БАЙТА и
+  # отвечает ErrPasswordTooLong; 64 символа — это от 64 до 256 байт. Пока
+  # байтовой границы не было, пароль из 64 кириллических букв проходил
+  # оркестратор, DTO и панель, а падал в хешировании — системной ошибкой на
+  # штатной смене пароля и отсутствием администратора после установки.
+  code_has apps/credential/admin.go -F -- 'AdminPasswordMaxBytes = 72' \
+    || fail "acceptance: предел bcrypt в байтах не объявлен в контракте"
+  code_has orchestrator/src/config/profile.ts -F -- 'ADMIN_PASSWORD_MAX_BYTES = 72' \
+    || fail "acceptance: оркестратор снова не знает про предел bcrypt в байтах"
+  code_has apps/frontend/src/constants/credentials.ts -F -- 'ADMIN_PASSWORD_MAX_BYTES = 72' \
+    || fail "acceptance: панель снова не знает про предел bcrypt в байтах"
+
+  # Границы пароля живут ВНУТРИ правила: тег валидатора умеет считать только
+  # символы, а границу в байтах им не выразить вовсе.
+  local password_dto
+  for password_dto in apps/model/dto/auth.go apps/model/dto/admin_user.go; do
+    code_has "$password_dto" -F -- 'adminPassword' \
+      || fail "acceptance: $password_dto больше не проверяет пароль общим правилом"
+    ! code_has "$password_dto" -E -- 'validate:"[^"]*(min|max)=[0-9]+[^"]*"' \
+      || fail "acceptance: в $password_dto вернулась граница длины рядом с правилом пароля"
+  done
+
+  log_step "Acceptance: the password is never trimmed on its way to bcrypt"
+  # Пробел по краям объявлен ЧАСТЬЮ пароля. Пока HashPassword триммил значение,
+  # пароль `abcde ` принимали все двери продукта и не мог захешировать никто; а
+  # пока bootstrap триммил HY2XS_ADMIN_INITIAL_PASSWORD, учётная запись
+  # создавалась не с тем паролем, который оператор записал в hy2xs.env.
+  code_has apps/util/encrypt.go -F -- 'credential.IsValidAdminPassword(password)' \
+    || fail "acceptance: HashPassword снова проверяет пароль собственным правилом"
+  ! code_has apps/util/encrypt.go -F -- 'strings.TrimSpace(password)' \
+    || fail "acceptance: в HashPassword вернулся TrimSpace — пароль с краевым пробелом снова нельзя захешировать"
+  ! code_has apps/dao/sqlite.go -F -- 'strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD"))' \
+    || fail "acceptance: bootstrap снова обрезает пароль первого администратора"
+  code_has apps/dao/sqlite.go -F -- 'credential.IsValidAdminPassword(adminPassword)' \
+    || fail "acceptance: bootstrap снова не проверяет пароль против контракта"
+
+  log_step "Acceptance: hy2xs.env is a format, not a lucky interpolation"
+  # У файла ДВА читателя, и один из них — systemd (EnvironmentFile=). Пока
+  # значения писались интерполяцией, а читались split('=') с trim(), пароль с
+  # краевым пробелом, кавычкой или обратным слешем терялся ещё до запуска
+  # админки — при том, что продукт обещает неограниченный набор символов.
+  [ -f orchestrator/src/lib/envFile.ts ] \
+    || fail "acceptance: модуль формата env-файлов отсутствует"
+  code_has orchestrator/src/config/env.ts -F -- 'parseEnvFile(content)' \
+    || fail "acceptance: разбор hy2xs.env снова расходится с systemd"
+  code_has orchestrator/src/config/env.ts -F -- 'renderEnvFile(entries)' \
+    || fail "acceptance: запись hy2xs.env снова идёт интерполяцией"
+  code_has orchestrator/src/steps/env.ts -F -- 'renderEnvFile(' \
+    || fail "acceptance: bootstrap-admin.secret снова пишется интерполяцией"
+  # Экранируются ТОЛЬКО те символы, которые systemd разворачивает обратно.
+  code_has orchestrator/src/lib/envFile.ts -F -- 'SHELL_NEED_ESCAPE' \
+    || fail "acceptance: кодировщик env потерял ссылку на правила systemd"
+
   log_step "Acceptance: the panel is never stricter than the server"
   [ -f apps/frontend/src/constants/credentials.ts ] \
     || fail "acceptance: контракт учётных данных панели отсутствует"
@@ -821,6 +884,12 @@ run_admin_login_acceptance() {
     # серверным только потому, что обе стороны несли одну опечатку.
     ! code_has "$form" -F -- '_+-=' \
       || fail "acceptance: $form вернул класс символов, записанный диапазоном по опечатке"
+    # Встроенные min/max Element Plus делегируются async-validator, а он считает
+    # длину строки в единицах UTF-16: пароль из трёх эмодзи имел length 6,
+    # проходил минимум формы и получал отказ сервера, который панель не могла
+    # объяснить. Правило пароля обязано быть общим и считать code points.
+    code_has "$form" -F -- 'adminPasswordFormRule(' \
+      || fail "acceptance: $form снова проверяет пароль встроенными min/max async-validator"
   done
 
   log_step "Acceptance: install proves that the panel lets an operator in"
@@ -849,6 +918,25 @@ run_admin_login_acceptance() {
   ! grep -q 'runReadOnly`curl' <<<"$login_body" \
     || fail "acceptance: запрос входа выполняется раннером, кладущим команду в текст ошибки"
 
+  log_step "Acceptance: the negative login probe proves a rejection"
+  # Проверка `code.trim() === "200"` доказывала ровно одно: что запрос не
+  # закончился пятисоткой. Админка отвечает HTTP 200 и на успешный вход тоже,
+  # поэтому «неверные учётные данные отвергнуты» из неё не следовало.
+  code_has orchestrator/src/steps/smoke.ts -F -- 'isRejectedLogin' \
+    || fail "acceptance: отрицательная проба снова определяет отказ по коду HTTP"
+  code_has orchestrator/src/steps/smoke.ts -F -- 'INVALID_CREDENTIALS_CODE = "invalid_credentials"' \
+    || fail "acceptance: отрицательная проба не сверяет доменный код отказа"
+  # Литерал в исходнике теоретически может оказаться настоящим паролем — тогда
+  # проверка «данные отвергнуты» отчиталась бы об успешном ВХОДЕ.
+  ! code_has orchestrator/src/steps/smoke.ts -F -- 'definitely-not-the-admin-password' \
+    || fail "acceptance: пароль отрицательной пробы снова записан литералом"
+  # Bootstrap-секрет читается парсером формата: `cut -d= -f2-` с `trim()` был
+  # третьим слоем, срезающим краевые пробелы у пароля.
+  ! code_has orchestrator/src/steps/smoke.ts -F -- 'cut -d= -f2-' \
+    || fail "acceptance: bootstrap-секрет снова извлекается шелл-конвейером"
+  code_has orchestrator/src/steps/smoke.ts -F -- 'readBootstrapAdminSecret' \
+    || fail "acceptance: bootstrap-секрет читается не парсером собственного формата"
+
   log_step "Acceptance: the orchestrator validates what it generates"
   code_has orchestrator/src/config/env.ts -F -- 'assertValidAdminUsername(' \
     || fail "acceptance: HY2XS_ADMIN_USER снова не проверяется против контракта панели"