fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора

Hardening-проход перед первой сборкой на Debian. Три из найденного не
воспроизводились ни на одном dry-run и проявились бы только на живом сервере.

Установка

* preflight внутри install вызывался дважды и оба раза проверял clean-host.
  Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json,
  записанный после первого preflight, и опознавался как маркер посторонней
  установки: КАЖДАЯ чистая установка падала сразу после apt-get с
  fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста —
  условие входа в операцию, возможности платформы проверяются уже внутри
  PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания.

* PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs,
  ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом
  запускал оркестратор с его собственным preflight. Отказ того preflight
  объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже
  созданном каталоге оркестратора. Отследить владение мутацией невозможно,
  пока мутируют двое: install.sh больше не изменяет ничего, раскладку
  выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали
  в owned_paths. Как следствие удалено деление clean-host на фазы.

* diagnosticsCollect стояла перед rollback обычным await в install и в
  reconfigure. На заполненном диске она падает сама и отменяла откат целиком.
  Диагностика — best effort, откат — обязателен.

* reconfigure/repair выбирали записываемую фазу отказа регулярным выражением
  по тексту ошибки. Переведено на ownership-флаги.

Секреты

* Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria
  обращается к /internal/hysteria/auth?access_token=<секрет> при каждом
  подключении пира, поэтому действующий machine token оседал открытым текстом
  в hy2xs-admin.log, который отдаётся через ExportLog и попадает в
  diagnostics-бандл. Логируется путь; значения query не пишутся, имена —
  пишутся. Канала было два: gin.Default() печатает path?query в stdout,
  оттуда в journald и в тот же бандл, — панель переведена на gin.New() +
  Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь
  проходят санитайз. Сравнение токена — constant time.

* Config API позволял прочитать и подменить ключи приложения: getConfig и
  listConfig принимали произвольный ключ, а проверка записи была denylist'ом
  из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал
  master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут
  getConfig удалён целиком — потребителей у него не было ни одного.

Пиры

* Импорт применялся по одной записи вне транзакции, вопреки собственному
  контракту. Валидация не знает, что уже лежит в базе: cross-conflict по
  UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной
  транзакцией, криптоматериал считается до её открытия.

* Файл импорта мог содержать хвостовой JSON-документ, который молча не
  применялся. После разбора проверяется io.EOF.

* Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и
  подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и
  прежние клиентские ссылки после переноса переставали работать.

Сборка

* Два stale-грепа в приёмке роняли build.sh в самом конце, внутри
  verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй
  совпадал с router_test.go, который перечисляет удалённые маршруты, потому
  что проверяет их отсутствие: добавление регрессионного теста ломало сборку.

* verify_archive требовал наличия мутирующей строки в install.sh. Инвариант
  перевёрнут: их не должно быть ни одной.

Очистка

* Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы
  listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком
  сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из
  обычных доков, в docs/14 он остаётся — там это имена объектов для удаления.

* Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry:
  203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ
  резолвера отделён от отсутствия A-записи.

Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов,
приёмка прогнана против дерева.

package/docs/README.md

@@ -27,15 +27,20 @@
 ## Установка выполняется в две фазы
 
 ```text
-PHASE 0 — READ ONLY
+PHASE 0 — READ ONLY                       выполняет install.sh
   проверка прав и checksums пакета
   clean-host preflight из распакованного архива
         ↓  ноль изменений на сервере
-PHASE 1 — MUTATION
-  установка orchestrator, раскладка runtime-пакета
-  install
+        ↓  exec
+PHASE 1 — MUTATION                        выполняет orchestrator
+  раскладка orchestrator и runtime-пакета
+  установка
 ```
 
+`install.sh` не изменяет на сервере ничего: он проверяет и передаёт управление.
+Всю мутирующую фазу выполняет оркестратор, поэтому при любом отказе известно,
+какие именно пути были созданы этой операцией.
+
 HY2XS v1 **не устанавливается поверх** предыдущей установки и не мигрирует её
 состояние. Если PHASE 0 обнаружит старую установку, установщик завершится с
 ошибкой и **не изменит на сервере ничего**.

package/install.sh

@@ -3,23 +3,31 @@ set -eu
 
 # Установка HY2XS состоит из двух строго разделённых фаз.
 #
-#   PHASE 0 — READ ONLY
+#   PHASE 0 — READ ONLY  (этот файл, целиком)
 #     проверка прав, целостности пакета и чистоты хоста.
-#     Ни один persistent path не изменяется, включая /usr/local/lib/hy2xs.
+#     Ни один persistent path не изменяется.
 #
-#   PHASE 1 — MUTATION
-#     раскладка оркестратора и runtime-пакета, затем сама установка.
+#   PHASE 1 — MUTATION   (оркестратор, `hy2xs-orchestrator install`)
+#     раскладка самого оркестратора, runtime-пакета и вся установка.
 #
-# Инвариант: до успешного завершения PHASE 0 установщик не имеет права
-# изменить на сервере ничего. HY2XS v1 не устанавливается поверх 0.x и не
-# мигрирует состояние, поэтому ошибочный запуск поверх работающего сервера
-# обязан быть безвредным.
+# Инвариант: у мутации ровно ОДИН владелец.
+#
+# Раньше PHASE 1 начиналась здесь: install.sh сам создавал /usr/local/lib/hy2xs,
+# ставил туда бинарник, вешал symlink и копировал runtime-пакет, и только потом
+# запускал оркестратор. Между этими двумя действиями оркестратор выполнял
+# собственный preflight. Если он отказывал — сменился DNS, занялся порт,
+# истёк таймаут резолвера, — у оркестратора ни один ownership-флаг не был
+# взведён, отказ классифицировался как `fatal_pre_apply`, и пользователь читал
+# «на сервере ничего не изменено». Хост при этом уже нёс каталог оркестратора,
+# symlink и runtime-пакет, а следующий запуск упирался в них как в маркеры
+# чужой установки.
+#
+# Отследить владение мутацией нельзя, пока мутируют двое. Поэтому здесь не
+# осталось ни одной изменяющей команды: shell только проверяет и передаёт
+# управление через exec. Сборка проверяет это структурно (tools/build/lib/verify.sh).
 
 PACKAGE_DIR="$(CDPATH= cd -- "$(dirname -- "$0")" && pwd)"
 ORCHESTRATOR="$PACKAGE_DIR/orchestrator/hy2xs-orchestrator"
-ORCHESTRATOR_INSTALL_PATH="/usr/local/lib/hy2xs/hy2xs-orchestrator"
-ORCHESTRATOR_SYMLINK="/usr/local/bin/hy2xs-orchestrator"
-RUNTIME_PACKAGE_DIR="/usr/local/lib/hy2xs/package"
 
 log() {
   printf '[hy2xs-install] %s\n' "$*"
@@ -71,8 +79,6 @@ scan_config_argument() {
 }
 scan_config_argument "$@"
 
-# Bootstrap preflight запускается из РАСПАКОВАННОГО пакета: установленного
-# оркестратора на этом этапе ещё не существует и появиться не должен.
 log "running clean-host preflight from the unpacked package"
 if [ -n "$PREFLIGHT_CONFIG" ]; then
   "$ORCHESTRATOR" preflight-install --package-dir "$PACKAGE_DIR" --config "$PREFLIGHT_CONFIG" \
@@ -85,24 +91,11 @@ fi
 log "PHASE 0 passed"
 
 # ---------------------------------------------------------------- PHASE 1 ---
-
-log "PHASE 1: applying changes"
-
-install -d -m 0755 /usr/local/lib/hy2xs
-install -m 0755 "$ORCHESTRATOR" "$ORCHESTRATOR_INSTALL_PATH"
-ln -sf "$ORCHESTRATOR_INSTALL_PATH" "$ORCHESTRATOR_SYMLINK"
-
-log "installing runtime package assets to: $RUNTIME_PACKAGE_DIR"
-rm -rf "$RUNTIME_PACKAGE_DIR"
-install -d -m 0755 "$RUNTIME_PACKAGE_DIR"
-cp -a "$PACKAGE_DIR/config" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/docs" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/systemd" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/templates" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/metadata" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/ui" "$RUNTIME_PACKAGE_DIR/"
-cp -a "$PACKAGE_DIR/install.sh" "$RUNTIME_PACKAGE_DIR/"
+#
+# Всё, что ниже, выполняет оркестратор: он ставит себя в /usr/local/lib/hy2xs,
+# раскладывает runtime-пакет и продолжает установку — уже под собственным
+# учётом владения и с собственным rollback.
 
 log "package directory: $PACKAGE_DIR"
-log "starting install-only orchestrator"
-exec "$ORCHESTRATOR_INSTALL_PATH" install --package-dir "$RUNTIME_PACKAGE_DIR" "$@"
+log "handing the mutating phase over to the orchestrator"
+exec "$ORCHESTRATOR" install --package-dir "$PACKAGE_DIR" "$@"