fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора

Hardening-проход перед первой сборкой на Debian. Три из найденного не
воспроизводились ни на одном dry-run и проявились бы только на живом сервере.

Установка

* preflight внутри install вызывался дважды и оба раза проверял clean-host.
  Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json,
  записанный после первого preflight, и опознавался как маркер посторонней
  установки: КАЖДАЯ чистая установка падала сразу после apt-get с
  fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста —
  условие входа в операцию, возможности платформы проверяются уже внутри
  PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания.

* PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs,
  ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом
  запускал оркестратор с его собственным preflight. Отказ того preflight
  объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже
  созданном каталоге оркестратора. Отследить владение мутацией невозможно,
  пока мутируют двое: install.sh больше не изменяет ничего, раскладку
  выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали
  в owned_paths. Как следствие удалено деление clean-host на фазы.

* diagnosticsCollect стояла перед rollback обычным await в install и в
  reconfigure. На заполненном диске она падает сама и отменяла откат целиком.
  Диагностика — best effort, откат — обязателен.

* reconfigure/repair выбирали записываемую фазу отказа регулярным выражением
  по тексту ошибки. Переведено на ownership-флаги.

Секреты

* Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria
  обращается к /internal/hysteria/auth?access_token=<секрет> при каждом
  подключении пира, поэтому действующий machine token оседал открытым текстом
  в hy2xs-admin.log, который отдаётся через ExportLog и попадает в
  diagnostics-бандл. Логируется путь; значения query не пишутся, имена —
  пишутся. Канала было два: gin.Default() печатает path?query в stdout,
  оттуда в journald и в тот же бандл, — панель переведена на gin.New() +
  Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь
  проходят санитайз. Сравнение токена — constant time.

* Config API позволял прочитать и подменить ключи приложения: getConfig и
  listConfig принимали произвольный ключ, а проверка записи была denylist'ом
  из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал
  master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут
  getConfig удалён целиком — потребителей у него не было ни одного.

Пиры

* Импорт применялся по одной записи вне транзакции, вопреки собственному
  контракту. Валидация не знает, что уже лежит в базе: cross-conflict по
  UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной
  транзакцией, криптоматериал считается до её открытия.

* Файл импорта мог содержать хвостовой JSON-документ, который молча не
  применялся. После разбора проверяется io.EOF.

* Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и
  подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и
  прежние клиентские ссылки после переноса переставали работать.

Сборка

* Два stale-грепа в приёмке роняли build.sh в самом конце, внутри
  verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй
  совпадал с router_test.go, который перечисляет удалённые маршруты, потому
  что проверяет их отсутствие: добавление регрессионного теста ломало сборку.

* verify_archive требовал наличия мутирующей строки в install.sh. Инвариант
  перевёрнут: их не должно быть ни одной.

Очистка

* Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы
  listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком
  сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из
  обычных доков, в docs/14 он остаётся — там это имена объектов для удаления.

* Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry:
  203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ
  резолвера отделён от отсутствия A-записи.

Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов,
приёмка прогнана против дерева.

orchestrator/test/clean-host.test.ts

@@ -6,6 +6,11 @@ import {
   renderLegacyFailure,
   type HostProbe
 } from "../src/steps/cleanHost";
+import {
+  ORCHESTRATOR_INSTALL_DIR,
+  ORCHESTRATOR_SYMLINK_PATH,
+  RUNTIME_PACKAGE_DIR
+} from "../src/config/profile";
 import { baselineConfig } from "./fixtures";
 
 /**
@@ -31,23 +36,23 @@ const config = baselineConfig();
 
 describe("clean-host контракт", () => {
   test("чистый хост проходит", async () => {
-    await expect(assertCleanHost(config, "bootstrap", probeWith([]))).resolves.toBeUndefined();
+    await expect(assertCleanHost(config, probeWith([]))).resolves.toBeUndefined();
   });
 
   test("каждый маркер по отдельности останавливает установку", async () => {
-    const markers = legacyMarkersFor(config, "bootstrap");
+    const markers = legacyMarkersFor(config);
     expect(markers.length).toBeGreaterThan(10);
 
     for (const marker of markers) {
       const probe = probeWith([marker.target]);
-      await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(
+      await expect(assertCleanHost(config, probe)).rejects.toThrow(
         /предыдущая или посторонняя установка/
       );
     }
   });
 
   test("список покрывает состояние, юниты, бинарник и наследие 0.x", () => {
-    const targets = legacyMarkersFor(config, "bootstrap").map((marker) => marker.target);
+    const targets = legacyMarkersFor(config).map((marker) => marker.target);
 
     for (const expected of [
       "/etc/hysteria/post-install.env",
@@ -96,7 +101,7 @@ describe("clean-host контракт", () => {
       "/usr/local/bin/hysteria",
       "/etc/nftables.d/hy2xs.nft"
     ];
-    const targets = legacyMarkersFor(config, "bootstrap").map((marker) => marker.target);
+    const targets = legacyMarkersFor(config).map((marker) => marker.target);
 
     for (const purged of purgedPaths) {
       const covered = targets.some((target) => target === purged || target.startsWith(`${purged}/`));
@@ -105,50 +110,45 @@ describe("clean-host контракт", () => {
   });
 
   /**
-   * Пути, которые install.sh законно создаёт между фазами, обязаны быть
-   * маркером в PHASE 0 и перестать им быть в PHASE 1 — иначе установка
-   * отказала бы на собственном, только что разложенном оркестраторе.
+   * Регрессия архитектуры установки.
+   *
+   * Пока PHASE 1 начиналась в install.sh, у списка маркеров была вторая,
+   * «мягкая» версия: пути, которые shell успевал создать между фазами,
+   * исключались из проверки. Это была не оптимизация, а компенсация того, что
+   * мутировали двое.
+   *
+   * Теперь bootstrap выполняет сам оркестратор — уже ПОСЛЕ clean-host, — и
+   * послаблений быть не должно: любой из этих путей на входе означает чужую
+   * установку, при любом вызове.
    */
-  test("пути, созданные install.sh между фазами, не блокируют PHASE 1", async () => {
-    for (const target of [
-      "/usr/local/lib/hy2xs",
-      "/usr/local/lib/hy2xs/package",
-      "/usr/local/bin/hy2xs-orchestrator"
-    ]) {
-      const probe = probeWith([target]);
-      await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(
+  test("bootstrap-пути остаются маркерами без всяких исключений", async () => {
+    for (const target of [ORCHESTRATOR_INSTALL_DIR, RUNTIME_PACKAGE_DIR, ORCHESTRATOR_SYMLINK_PATH]) {
+      await expect(assertCleanHost(config, probeWith([target]))).rejects.toThrow(
         /предыдущая или посторонняя установка/
       );
-      await expect(assertCleanHost(config, "install", probe)).resolves.toBeUndefined();
     }
   });
 
+  test("маркеры bootstrap-путей берутся из профиля, а не из копий строк", () => {
+    const targets = legacyMarkersFor(config).map((marker) => marker.target);
+    expect(targets).toContain(ORCHESTRATOR_INSTALL_DIR);
+    expect(targets).toContain(RUNTIME_PACKAGE_DIR);
+    expect(targets).toContain(ORCHESTRATOR_SYMLINK_PATH);
+  });
+
   test("пути из конфигурации попадают в список, а не только дефолтные", () => {
     const custom = baselineConfig({
       HY2XS_INSTALL_DIR: "/srv/hy2xs-app",
       HY2XS_DATA_DIR: "/srv/hy2xs-data"
     });
-    const targets = legacyMarkersFor(custom, "bootstrap").map((marker) => marker.target);
+    const targets = legacyMarkersFor(custom).map((marker) => marker.target);
     expect(targets).toContain("/srv/hy2xs-app");
     expect(targets).toContain("/srv/hy2xs-data");
   });
 
-  // install.sh раскладывает runtime-пакет между фазами, поэтому в PHASE 1
-  // этот путь уже наш и маркером быть не может.
-  test("runtime-пакет — маркер в PHASE 0, но не в PHASE 1", async () => {
-    const probe = probeWith(["/usr/local/lib/hy2xs/package"]);
-    await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(/usr\/local\/lib\/hy2xs\/package/);
-    await expect(assertCleanHost(config, "install", probe)).resolves.toBeUndefined();
-  });
-
-  test("остальные маркеры продолжают работать и в PHASE 1", async () => {
-    const probe = probeWith(["hysteria-server.service"]);
-    await expect(assertCleanHost(config, "install", probe)).rejects.toThrow(/hysteria-server\.service/);
-  });
-
   test("сообщение перечисляет все найденные маркеры и говорит, что хост не изменён", async () => {
     const found = await detectLegacyMarkers(
-      legacyMarkersFor(config, "bootstrap"),
+      legacyMarkersFor(config),
       probeWith(["/etc/hy2xs/hy2xs.env", "hy2xs-admin.service"])
     );
     expect(found).toHaveLength(2);