prod/HY2XS_flamy
5
1
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 6 Wiki Activity

fix(auth): контракт пароля администратора расходился с bcrypt в четырёх местах

Browse Source 
Верхняя граница пароля была объявлена в 64 СИМВОЛА и обоснована пределом
bcrypt в 72 БАЙТА. Обоснование верно только для ASCII: у 64 символов длина от
64 до 256 байт. golang.org/x/crypto@v0.55.0 (bcrypt.go:96) отвечает на пароль
длиннее 72 байт ErrPasswordTooLong, а не «молча отбрасывает остаток», как
утверждал комментарий, — так вела себя редакция пакета до v0.28.

Следствие: пароль из 64 кириллических букв (128 байт) проходил панель,
оркестратор и DTO, а отказ приходил из хеширования — системной ошибкой на
штатной смене пароля, а при установке падением старта админки, то есть
сервером без администратора после INSTALL EXIT CODE: 0. Хуже самого дефекта
было то, что тест закреплял это значение как ожидаемое.

Вместе с ним закрыты три соседних расхождения того же контракта.

Пароль триммился вопреки собственному контракту. util.HashPassword вёл
проверку len(strings.TrimSpace(password)) < 6, а bootstrap читал
strings.TrimSpace(os.Getenv("HY2XS_ADMIN_INITIAL_PASSWORD")). Значение
"abcde " принимали все двери продукта и не мог захешировать никто, а первая
учётная запись создавалась не с тем паролем, который оператор записал в
hy2xs.env.

Панель считала длину в единицах UTF-16. Element Plus делегирует правила формы
async-validator, а он сравнивает min/max с String.prototype.length: пароль из
трёх эмодзи имел length 6, проходил минимум формы и получал отказ сервера,
который панель не могла объяснить.

hy2xs.env не был форматом. Значения писались интерполяцией, а читались
split("=") с trim(); при этом файл читает не только оркестратор — он объявлен
EnvironmentFile= в юните hy2xs-admin, и у незакавыченного значения systemd
срезает краевые пробелы и трактует обратный слеш как escape.

Что сделано:

- контракт переехал в leaf-пакет apps/credential: его зовут util.HashPassword
  и dao, а service импортирует util — обратный импорт был бы циклическим, и
  именно поэтому HashPassword завёл собственную копию правила;
- AdminPasswordMaxBytes = 72 объявлен отдельной константой и зеркально в
  оркестраторе и панели; сверяется тестами, читающими Go-исходник;
- одно правило adminPassword вместо min=6,max=64 в тегах DTO (границу в
  байтах тегом валидатора не выразить) и код причины admin_password_format,
  называющий обе границы;
- TrimSpace убран из хеширования и из bootstrap-пути; bootstrap проверяет
  контракт сам и падает с текстом, называющим переменную и файл;
- панель считает code points и UTF-8 байты общим adminPasswordFormRule на
  обеих формах вместо встроенных min/max;
- orchestrator/src/lib/envFile.ts — порт конечного автомата
  parse_env_file_internal из systemd и обратный ему кодировщик; экранируются
  только обратный слеш и двойная кавычка, оба из SHELL_NEED_ESCAPE. Обычные
  значения остаются без кавычек, поэтому релизные гейты не меняются. Тем же
  кодировщиком пишется bootstrap-admin.secret;
- управляющие символы запрещены контрактом: формат KEY=VALUE их не несёт, а
  ввести такой пароль в форму входа всё равно нельзя;
- отрицательная проба smoke сверяет конверт отказа (code 50000,
  invalid_credentials, отсутствие accessToken) вместо HTTP 200, а пароль
  генерирует, а не берёт из литерала;
- положительная проба читает bootstrap-секрет парсером формата вместо
  grep | cut -d= -f2- с trim() — третьего по счёту слоя, срезавшего пробелы.

Тесты: граничная таблица (36 x «я», 37 x «я», 18 и 19 эмодзи, 64 x «я»,
«abcde ») прогоняется в четырёх слоях; тест с 64 кириллическими буквами
инвертирован; round-trip env-формата на значениях с кавычками, слешами и
краевыми пробелами; bootstrap-путь на настоящей SQLite. 14 новых гейтов
приёмки.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Crimson
2026-09-06 18:38:04 +05:00
parent a8407cf16b
commit 65042ee335
38 changed files with 2646 additions and 400 deletions
Download Patch File Download Diff File Expand all files Collapse all files
tools/test/frontend-contract.test.ts
+113 -9
View File
@@ -8,12 +8,14 @@ import {
FLAMY_URL,
} from "../../apps/frontend/src/constants/branding";
import {
ADMIN_PASSWORD_MAX_BYTES,
ADMIN_PASSWORD_MAX_LENGTH,
ADMIN_PASSWORD_MIN_LENGTH,
ADMIN_USERNAME_CHARSET,
ADMIN_USERNAME_MAX_LENGTH,
ADMIN_USERNAME_MIN_LENGTH,
ADMIN_USERNAME_PATTERN,
isValidAdminPassword,
} from "../../apps/frontend/src/constants/credentials";
import ru from "../../apps/frontend/src/lang/package/ru";
import en from "../../apps/frontend/src/lang/package/en";
@@ -689,7 +691,7 @@ describe("правдивая диагностика", () => {
describe("контракт учётных данных администратора", () => {
const goContract = () =>
fs.readFileSync(
path.join(REPO_ROOT, "apps", "service", "admin_credentials.go"),
path.join(REPO_ROOT, "apps", "credential", "admin.go"),
"utf8"
);
@@ -703,7 +705,7 @@ describe("контракт учётных данных администрато
if (backticked) {
return backticked[1];
}
throw new Error(`константа ${name} не найдена в admin_credentials.go`);
throw new Error(`константа ${name} не найдена в apps/credential/admin.go`);
}
const loginForm = () => readSource("views", "login", "index.vue");
@@ -718,6 +720,12 @@ describe("контракт учётных данных администрато
expect(String(ADMIN_USERNAME_MAX_LENGTH)).toBe(goConst("AdminUsernameMaxLength"));
expect(String(ADMIN_PASSWORD_MIN_LENGTH)).toBe(goConst("AdminPasswordMinLength"));
expect(String(ADMIN_PASSWORD_MAX_LENGTH)).toBe(goConst("AdminPasswordMaxLength"));
// Предел bcrypt — отдельная константа и отдельная сверка. Пока панель знала
// только границу в символах, она предлагала оператору назначить пароль из
// 64 кириллических букв (128 байт), сервер его принимал всеми проверками, а
// хеширование отказывало — и оператор получал системную ошибку на штатной
// смене пароля.
expect(String(ADMIN_PASSWORD_MAX_BYTES)).toBe(goConst("AdminPasswordMaxBytes"));
expect(ADMIN_USERNAME_CHARSET).toBe(goConst("AdminUsernameCharset"));
const declared = goConst("adminUsernameCharacterClass");
@@ -756,20 +764,108 @@ describe("контракт учётных данных администрато
// серверном пределе в 64, а форма смены пароля назначала до 64. Пароль,
// назначенный штатной операцией, становился паролем, с которым невозможно
// войти.
test("границы пароля на обеих формах — одни и те же", () => {
test("правило пароля на обеих формах — одно и то же", () => {
for (const form of [loginForm(), changePasswordForm()]) {
const code = vueCodeOf(form);
expect(code).toContain("min: ADMIN_PASSWORD_MIN_LENGTH");
expect(code).toContain("max: ADMIN_PASSWORD_MAX_LENGTH");
expect(code).toContain("adminPasswordFormRule(");
expect(code).toContain("credentials.passwordFormat");
}
});
// Регрессия RC2-UI-04. Element Plus делегирует правила формы библиотеке
// `async-validator`, а она сравнивает `min`/`max` строки с
// `String.prototype.length`, то есть считает единицы UTF-16. Сервер считает
// code points. Пароль из трёх эмодзи имел `value.length === 6`, проходил
// минимум формы и получал отказ сервера, который панель не могла объяснить.
//
// Встроенных границ на пароле поэтому быть не должно вовсе: длина
// принадлежит правилу, а не соседям по объекту.
test("на пароле нет встроенных min/max от async-validator", async () => {
const { adminPasswordFormRule } = await import(
"../../apps/frontend/src/constants/credentials"
);
// Правило одно на обе формы, и границ как СВОЙСТВ правила у него нет: длина
// живёт внутри валидатора, где её можно посчитать правильно.
const rule = adminPasswordFormRule("format") as Record<string, unknown>;
expect(typeof rule.validator).toBe("function");
expect("min" in rule).toBe(false);
expect("max" in rule).toBe(false);
// И ни одна форма не заводит собственных границ рядом с ним. Числа в
// сообщении не считаются: фраза обязана НАЗЫВАТЬ требование, поэтому они
// подставляются в t() и вырезаются здесь перед проверкой.
for (const form of [loginForm(), changePasswordForm()]) {
const withoutMessages = vueCodeOf(form).replace(
/t\("credentials\.passwordFormat",[\s\S]*?\n\s*\}\)/g,
't("credentials.passwordFormat")'
);
expect(withoutMessages).not.toContain("min: ADMIN_PASSWORD_MIN_LENGTH");
expect(withoutMessages).not.toContain("max: ADMIN_PASSWORD_MAX_LENGTH");
}
});
// Правило панели обязано отвечать так же, как Go-контракт, на тех значениях,
// где расходятся способы счёта длины.
test("правило пароля считает code points и байты, а не UTF-16", () => {
// Проверка самой таблицы: если «я» перестанет быть двухбайтовой, случаи
// ниже проверяли бы не то, что написано.
expect(new TextEncoder().encode("я".repeat(36)).length).toBe(ADMIN_PASSWORD_MAX_BYTES);
expect(new TextEncoder().encode("😀".repeat(18)).length).toBe(ADMIN_PASSWORD_MAX_BYTES);
for (const accepted of [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH),
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH),
"я".repeat(36),
"😀".repeat(18),
"abcde ",
" ".repeat(ADMIN_PASSWORD_MIN_LENGTH),
]) {
expect(isValidAdminPassword(accepted)).toBe(true);
}
for (const rejected of [
"a".repeat(ADMIN_PASSWORD_MIN_LENGTH - 1),
"a".repeat(ADMIN_PASSWORD_MAX_LENGTH + 1),
"я".repeat(37),
"😀".repeat(19),
"я".repeat(ADMIN_PASSWORD_MAX_LENGTH),
"abcde\n",
"abcde\t",
]) {
expect(isValidAdminPassword(rejected)).toBe(false);
}
// Именно тот случай, ради которого встроенные min/max убраны: три эмодзи —
// это 3 code points и 6 единиц UTF-16.
expect("😀😀😀".length).toBe(6);
expect(isValidAdminPassword("😀😀😀")).toBe(false);
});
// Пустое значение — забота правила `required`, а не правила формата: иначе
// оператор, отправивший пустую форму, читает про границы длины вместо «поле
// обязательно». Сервер ведёт себя так же (DTO приводит пустой пароль к «не
// задано» до проверки правил).
test("пустой пароль остаётся на правиле required", async () => {
const { adminPasswordFormRule } = await import(
"../../apps/frontend/src/constants/credentials"
);
const rule = adminPasswordFormRule("format");
const errors: (Error | undefined)[] = [];
rule.validator(null, "", (error?: Error) => errors.push(error));
rule.validator(null, "abc", (error?: Error) => errors.push(error));
expect(errors[0]).toBeUndefined();
expect(errors[1]).toBeInstanceOf(Error);
});
// Набор символов пароля сервером не проверяется НИГДЕ, поэтому его проверка в
// панели умеет только отвергнуть пароль, который сервер принял бы.
test("на пароль не навешен набор символов", () => {
for (const form of [loginForm(), changePasswordForm()]) {
const code = vueCodeOf(form);
expect(code).not.toContain("ADMIN_USERNAME_PATTERN,\n message: t(\"credentials.passwordLength\"");
expect(code).not.toContain("ADMIN_USERNAME_PATTERN,\n message: t(\"credentials.passwordFormat\"");
expect(code).not.toMatch(/passwordPattern/);
}
// Правило логина — единственное место, где вообще упоминается набор.
@@ -782,13 +878,17 @@ describe("контракт учётных данных администрато
for (const dictionary of [ru, en] as const) {
const credentials = (dictionary as any).credentials ?? {};
expect(typeof credentials.usernameFormat).toBe("string");
expect(typeof credentials.passwordLength).toBe("string");
expect(typeof credentials.passwordFormat).toBe("string");
for (const placeholder of ["{min}", "{max}", "{charset}"]) {
expect(credentials.usernameFormat).toContain(placeholder);
}
for (const placeholder of ["{min}", "{max}"]) {
expect(credentials.passwordLength).toContain(placeholder);
// Границ у пароля ДВЕ, и они в разных единицах: пароль из 40 эмодзи
// укладывается в 64 символа и не укладывается в 72 байта. Фраза «не
// длиннее {max} символов» отправила бы оператора сокращать пароль,
// отвергнутый не за это.
for (const placeholder of ["{min}", "{max}", "{maxBytes}"]) {
expect(credentials.passwordFormat).toContain(placeholder);
}
// Причина отказа от сервера несёт те же params и обязана их использовать.
@@ -796,6 +896,10 @@ describe("контракт учётных данных администрато
for (const placeholder of ["{min}", "{max}", "{charset}"]) {
expect(reason).toContain(placeholder);
}
const passwordReason = (dictionary as any).error?.code?.admin_password_format ?? "";
for (const placeholder of ["{min}", "{max}", "{maxBytes}"]) {
expect(passwordReason).toContain(placeholder);
}
}
});
});