fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -0,0 +1,175 @@
|
||||
import { describe, expect, test } from "bun:test";
|
||||
import { readFileSync } from "node:fs";
|
||||
import { preflight } from "../src/steps/preflight";
|
||||
import { classifyReconfigureFailure } from "../src/commands/reconfigure";
|
||||
import { baselineConfig, testContext } from "./fixtures";
|
||||
|
||||
/**
|
||||
* Порядок фаз установки — инвариант, который нельзя проверить ни модульно, ни
|
||||
* на живом сервере дешевле, чем разбором самой последовательности.
|
||||
*
|
||||
* Оба дефекта, которые здесь закреплены, проявлялись ТОЛЬКО на настоящей
|
||||
* Debian-машине и оба ломали установку полностью:
|
||||
*
|
||||
* 1. clean-host проверялся дважды, второй раз — уже после записи
|
||||
* install-state.json, и опознавал собственный маркер как чужую установку;
|
||||
* 2. bootstrap (раскладка оркестратора и runtime-пакета) выполнялся вне
|
||||
* оркестратора, поэтому не имел владельца и не попадал в rollback.
|
||||
*/
|
||||
|
||||
const installSource = readFileSync(new URL("../src/commands/install.ts", import.meta.url), "utf8");
|
||||
const reconfigureSource = readFileSync(
|
||||
new URL("../src/commands/reconfigure.ts", import.meta.url),
|
||||
"utf8"
|
||||
);
|
||||
const installerSource = readFileSync(new URL("../../package/install.sh", import.meta.url), "utf8");
|
||||
|
||||
function occurrences(haystack: string, needle: string): number {
|
||||
return haystack.split(needle).length - 1;
|
||||
}
|
||||
|
||||
describe("preflight: clean-host — условие входа, а не проверка возможностей", () => {
|
||||
const context = testContext(baselineConfig());
|
||||
|
||||
test("в режиме install умолчания у checkCleanHost нет", async () => {
|
||||
await expect(preflight(context)).rejects.toThrow(/checkCleanHost must be stated explicitly/);
|
||||
await expect(preflight(context, { requireCapabilities: true })).rejects.toThrow(
|
||||
/checkCleanHost must be stated explicitly/
|
||||
);
|
||||
});
|
||||
|
||||
test("отказ наступает раньше любой работы с системой", async () => {
|
||||
// Проверка стоит первой в preflight, поэтому тест проходит и не под root,
|
||||
// и на не-Debian машине: до assertPlatform дело не доходит.
|
||||
await expect(preflight(context)).rejects.toThrow(/checkCleanHost/);
|
||||
});
|
||||
});
|
||||
|
||||
describe("последовательность install", () => {
|
||||
test("clean-host запрашивается ровно один раз за операцию", () => {
|
||||
expect(occurrences(installSource, "checkCleanHost: true")).toBe(1);
|
||||
expect(occurrences(installSource, "checkCleanHost: false")).toBe(1);
|
||||
});
|
||||
|
||||
// Регрессия: повторный clean-host стоял ПОСЛЕ advanceInstallState и падал на
|
||||
// /var/lib/hy2xs/install-state.json, записанном этой же установкой.
|
||||
test("clean-host проверяется до первой записи состояния", () => {
|
||||
const cleanHostAt = installSource.indexOf("checkCleanHost: true");
|
||||
const firstStateWriteAt = installSource.indexOf("await advanceInstallState(");
|
||||
expect(cleanHostAt).toBeGreaterThan(-1);
|
||||
expect(firstStateWriteAt).toBeGreaterThan(-1);
|
||||
expect(cleanHostAt).toBeLessThan(firstStateWriteAt);
|
||||
});
|
||||
|
||||
test("проход capabilities явно отказывается от clean-host", () => {
|
||||
const capabilitiesAt = installSource.indexOf("requireCapabilities: true");
|
||||
const optOutAt = installSource.indexOf("checkCleanHost: false");
|
||||
expect(capabilitiesAt).toBeGreaterThan(-1);
|
||||
// Оба флага стоят в одном вызове.
|
||||
expect(Math.abs(capabilitiesAt - optOutAt)).toBeLessThan(80);
|
||||
});
|
||||
|
||||
test("bootstrap — первый мутирующий шаг и он под флагом владения", () => {
|
||||
const flagAt = installSource.indexOf("ownership.bootstrapTouched = true");
|
||||
const callAt = installSource.indexOf("await bootstrapRuntime(");
|
||||
const depsAt = installSource.indexOf("await installDeps(");
|
||||
|
||||
expect(flagAt).toBeGreaterThan(-1);
|
||||
expect(callAt).toBeGreaterThan(-1);
|
||||
expect(flagAt).toBeLessThan(callAt);
|
||||
expect(callAt).toBeLessThan(depsAt);
|
||||
});
|
||||
|
||||
test("установка продолжается от установленного runtime-пакета", () => {
|
||||
expect(installSource).toContain("context.options.packageDir = await bootstrapRuntime(context)");
|
||||
});
|
||||
|
||||
// Регрессия: diagnosticsCollect стоял перед rollback обычным await, поэтому
|
||||
// её собственный отказ (нет места, недоступен journalctl) отменял откат.
|
||||
test("отказ диагностики не отменяет rollback", () => {
|
||||
const diagnosticsAt = installSource.indexOf("await diagnosticsCollect(options)");
|
||||
const rollbackAt = installSource.indexOf("await rollbackFailedInstall(");
|
||||
const tryAt = installSource.lastIndexOf("try {", diagnosticsAt);
|
||||
const catchAt = installSource.indexOf("catch (diagnosticsError)");
|
||||
|
||||
expect(tryAt).toBeLessThan(diagnosticsAt);
|
||||
expect(catchAt).toBeGreaterThan(diagnosticsAt);
|
||||
expect(catchAt).toBeLessThan(rollbackAt);
|
||||
});
|
||||
});
|
||||
|
||||
describe("классификация отказа reconfigure/repair", () => {
|
||||
function ownership(overrides: Partial<Parameters<typeof classifyReconfigureFailure>[0]> = {}) {
|
||||
return {
|
||||
configTouched: false,
|
||||
unitsTouched: false,
|
||||
firewallTouched: false,
|
||||
envTouched: false,
|
||||
servicesRestarted: false,
|
||||
...overrides
|
||||
};
|
||||
}
|
||||
|
||||
// Регрессия: фаза выбиралась регулярным выражением по тексту ошибки. Тот же
|
||||
// приём уже убрали из install — здесь он остался.
|
||||
test("до firewall отказ не выдаёт себя за firewall failure", () => {
|
||||
expect(classifyReconfigureFailure(ownership())).toBe("reconfigure_failed");
|
||||
expect(classifyReconfigureFailure(ownership({ configTouched: true }))).toBe("reconfigure_failed");
|
||||
expect(classifyReconfigureFailure(ownership({ unitsTouched: true }))).toBe("reconfigure_failed");
|
||||
});
|
||||
|
||||
test("тронутый firewall даёт firewall failure", () => {
|
||||
expect(classifyReconfigureFailure(ownership({ unitsTouched: true, firewallTouched: true }))).toBe(
|
||||
"firewall_connectivity_failure"
|
||||
);
|
||||
});
|
||||
|
||||
test("после рестарта сервисов отказ относится к smoke", () => {
|
||||
expect(
|
||||
classifyReconfigureFailure(ownership({ firewallTouched: true, servicesRestarted: true }))
|
||||
).toBe("smoke_failed");
|
||||
});
|
||||
|
||||
// Проверяется код, а не упоминание: комментарий, объясняющий, ПОЧЕМУ
|
||||
// классификация по тексту ошибки убрана, должен быть разрешён.
|
||||
test("текст ошибки на классификацию не влияет", () => {
|
||||
expect(reconfigureSource).not.toContain(".test(message)");
|
||||
expect(reconfigureSource).toContain("classifyReconfigureFailure(ownership)");
|
||||
});
|
||||
|
||||
test("отказ диагностики не отменяет откат firewall и конфигов", () => {
|
||||
const diagnosticsAt = reconfigureSource.indexOf("await diagnosticsCollect(options)");
|
||||
const firewallRollbackAt = reconfigureSource.indexOf("await rollbackFirewallNow(context)");
|
||||
const stateRollbackAt = reconfigureSource.indexOf("await rollbackCurrentState()");
|
||||
const catchAt = reconfigureSource.indexOf("catch (diagnosticsError)");
|
||||
|
||||
expect(catchAt).toBeGreaterThan(diagnosticsAt);
|
||||
expect(catchAt).toBeLessThan(firewallRollbackAt);
|
||||
expect(firewallRollbackAt).toBeLessThan(stateRollbackAt);
|
||||
});
|
||||
});
|
||||
|
||||
describe("install.sh остаётся read-only bootstrap", () => {
|
||||
test("установщик запускает preflight и передаёт мутацию через exec", () => {
|
||||
expect(installerSource).toContain("preflight-install --package-dir");
|
||||
expect(installerSource).toMatch(/exec "\$ORCHESTRATOR" install --package-dir/);
|
||||
});
|
||||
|
||||
test("в установщике не осталось ни одной мутирующей команды", () => {
|
||||
const mutating = /^\s*(install|ln|cp|mv|rm|mkdir|chown|chmod|systemctl|apt-get|useradd|groupadd|nft|tee)\s/;
|
||||
const offenders = installerSource
|
||||
.split(/\r?\n/)
|
||||
.map((line, index) => ({ line, number: index + 1 }))
|
||||
.filter((entry) => mutating.test(entry.line));
|
||||
|
||||
expect(
|
||||
offenders,
|
||||
`install.sh мутирует хост: ${offenders.map((entry) => `${entry.number}: ${entry.line.trim()}`).join("; ")}`
|
||||
).toEqual([]);
|
||||
});
|
||||
|
||||
test("установщик не раскладывает оркестратор сам", () => {
|
||||
expect(installerSource).not.toContain("ORCHESTRATOR_INSTALL_PATH=");
|
||||
expect(installerSource).not.toContain("RUNTIME_PACKAGE_DIR=");
|
||||
});
|
||||
});
|
||||
Reference in New Issue
Block a user