fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -130,7 +130,20 @@ run_fix20_acceptance_subset() {
|
||||
|
||||
log_step "Acceptance: smoke auth checks are tokenized"
|
||||
grep -q 'unexpected auth status without machine token' orchestrator/src/steps/smoke.ts || fail "acceptance: missing 403 negative smoke for auth without machine token"
|
||||
grep -q 'hysteria2/auth?access_token=\${context.config.hysteriaTrafficStatsSecret}' orchestrator/src/steps/smoke.ts || fail "acceptance: smoke auth URL is not tokenized"
|
||||
# Проверяется контракт, а не литерал URL.
|
||||
#
|
||||
# Регрессия приёмки: здесь стоял grep по строке
|
||||
# `hysteria2/auth?access_token=${...}`. После переезда machine-auth на
|
||||
# /internal/hysteria/auth и централизации пути в профиле такой строки в
|
||||
# smoke.ts не существует — приёмка падала на корректном коде, причём в самом
|
||||
# конце сборки, внутри verify_archive. Единственный источник истины у пути
|
||||
# один, поэтому и проверять нужно обращение к нему.
|
||||
grep -q 'HYSTERIA_MACHINE_AUTH_PATH' orchestrator/src/steps/smoke.ts \
|
||||
|| fail "acceptance: smoke must take the machine-auth path from the production profile"
|
||||
grep -q 'hysteriaMachineAuthUrl(' orchestrator/src/steps/smoke.ts \
|
||||
|| fail "acceptance: smoke auth URL must be built by the production helper (tokenized)"
|
||||
! grep -Eq 'access_token=' orchestrator/src/steps/smoke.ts \
|
||||
|| fail "acceptance: smoke must not assemble the machine token into a URL by hand"
|
||||
|
||||
log_step "Acceptance: bootstrap peer can pass auth smoke"
|
||||
grep -q 'quota := int64(-1)' apps/dao/sqlite.go || fail "acceptance: bootstrap peer quota must be unlimited (-1), otherwise install auth smoke fails"
|
||||
@@ -260,7 +273,9 @@ run_clean_install_acceptance() {
|
||||
done
|
||||
grep -qF '/var/lib/hysteria' orchestrator/src/steps/cleanHost.ts \
|
||||
|| fail "acceptance: clean-host must treat leftover Hysteria runtime state as a legacy marker"
|
||||
grep -qF '/usr/local/bin/hy2xs-orchestrator' orchestrator/src/steps/cleanHost.ts \
|
||||
# Symlink оркестратора остаётся маркером, но путь объявлен в профиле: его
|
||||
# создаёт steps/bootstrap.ts, и две копии строки разошлись бы.
|
||||
grep -q 'ORCHESTRATOR_SYMLINK_PATH' orchestrator/src/steps/cleanHost.ts \
|
||||
|| fail "acceptance: clean-host must treat a leftover orchestrator symlink as a legacy marker"
|
||||
! grep -q 'keep-hysteria-binary' tools/legacy/purge-v0.sh \
|
||||
|| fail "acceptance: --keep-hysteria-binary contradicts the installer clean-host contract"
|
||||
@@ -304,9 +319,15 @@ run_clean_install_acceptance() {
|
||||
log_step "Acceptance: dead updater/config-write routes stay removed"
|
||||
# Ищется регистрация маршрута (имя в кавычках), а не любое упоминание:
|
||||
# комментарий, объясняющий, почему маршрута нет, должен быть разрешён.
|
||||
#
|
||||
# Тесты исключены по той же причине, и это не послабление: router_test.go
|
||||
# ПЕРЕЧИСЛЯЕТ удалённые имена, потому что проверяет их отсутствие в таблице
|
||||
# маршрутов. Пока `*_test.go` попадал под скан, приёмка падала на собственном
|
||||
# регрессионном тесте — то есть добавление теста, закрепляющего удаление
|
||||
# маршрута, ломало сборку.
|
||||
local dead_route
|
||||
for dead_route in hysteria2ChangeVersion listRelease updateHysteria2Config importHysteria2Config restartServer uploadCertFile hysteria2AcmePath exportConfig importConfig; do
|
||||
! grep -rqF "${dead_route}\"" apps/router apps/controller \
|
||||
for dead_route in hysteria2ChangeVersion listRelease updateHysteria2Config importHysteria2Config restartServer uploadCertFile hysteria2AcmePath exportConfig importConfig getConfig; do
|
||||
! grep -rqF --include='*.go' --exclude='*_test.go' "${dead_route}\"" apps/router apps/controller \
|
||||
|| fail "acceptance: removed route ${dead_route} came back"
|
||||
! grep -rqF "${dead_route}\"" apps/frontend/src/api \
|
||||
|| fail "acceptance: frontend still calls the removed route ${dead_route}"
|
||||
@@ -345,4 +366,240 @@ run_clean_install_acceptance() {
|
||||
[ -f docs/14-legacy-cleanup.md ] || fail "acceptance: legacy cleanup runbook is missing"
|
||||
! grep -q 'purge-v0' "$package_dir/install.sh" \
|
||||
|| fail "acceptance: the installer must never run destructive cleanup on its own"
|
||||
|
||||
run_single_owner_acceptance "$package_dir"
|
||||
run_secret_channel_acceptance
|
||||
run_atomic_import_acceptance
|
||||
run_legacy_account_acceptance
|
||||
}
|
||||
|
||||
# PHASE 1 принадлежит оркестратору целиком.
|
||||
run_single_owner_acceptance() {
|
||||
local package_dir="$1"
|
||||
|
||||
log_step "Acceptance: install.sh does not mutate the host at all"
|
||||
local mutation_hits
|
||||
mutation_hits="$(grep -nE '^[[:space:]]*(install|ln|cp|mv|rm|mkdir|chown|chmod|systemctl|apt-get|useradd|groupadd|nft|tee)[[:space:]]' \
|
||||
"$package_dir/install.sh" || true)"
|
||||
[ -z "$mutation_hits" ] \
|
||||
|| fail "acceptance: install.sh must not mutate the host; PHASE 1 belongs to the orchestrator alone: $mutation_hits"
|
||||
grep -q 'exec .*install --package-dir' "$package_dir/install.sh" \
|
||||
|| fail "acceptance: install.sh must hand the mutating phase over via exec"
|
||||
|
||||
log_step "Acceptance: the orchestrator owns its own bootstrap"
|
||||
[ -f orchestrator/src/steps/bootstrap.ts ] \
|
||||
|| fail "acceptance: the bootstrap step module is missing"
|
||||
grep -q 'ownership.bootstrapTouched' orchestrator/src/commands/install.ts \
|
||||
|| fail "acceptance: bootstrap must be covered by an ownership flag"
|
||||
"$BUN_BIN" -e '
|
||||
const source = require("node:fs").readFileSync("orchestrator/src/commands/install.ts", "utf8");
|
||||
const flagAt = source.indexOf("ownership.bootstrapTouched = true");
|
||||
const callAt = source.indexOf("await bootstrapRuntime(");
|
||||
const depsAt = source.indexOf("await installDeps(");
|
||||
if (flagAt < 0 || callAt < 0) throw new Error("bootstrap step is not wired into install");
|
||||
if (flagAt > callAt) throw new Error("bootstrapTouched is raised after bootstrapRuntime");
|
||||
if (callAt > depsAt) throw new Error("bootstrap must run before installDeps");
|
||||
' || fail "acceptance: bootstrap must be the first owned mutating step"
|
||||
|
||||
log_step "Acceptance: bootstrap paths are declared once and are clean-host markers"
|
||||
grep -q 'ORCHESTRATOR_SYMLINK_PATH' orchestrator/src/steps/cleanHost.ts \
|
||||
|| fail "acceptance: clean-host must take bootstrap paths from the production profile"
|
||||
grep -qF '/usr/local/bin/hy2xs-orchestrator' orchestrator/src/config/profile.ts \
|
||||
|| fail "acceptance: the orchestrator symlink path must be declared in the profile"
|
||||
grep -qF '/var/lib/hysteria' orchestrator/src/steps/cleanHost.ts \
|
||||
|| fail "acceptance: clean-host must treat leftover Hysteria runtime state as a legacy marker"
|
||||
|
||||
log_step "Acceptance: clean-host is checked once, before the first mutation"
|
||||
# Регрессия: preflight вызывался дважды и оба раза проверял clean-host.
|
||||
# Ко второму разу на диске лежал собственный install-state.json, и каждая
|
||||
# чистая установка падала сразу после apt-get.
|
||||
! grep -rq 'cleanHostPhase' orchestrator/src \
|
||||
|| fail "acceptance: the two-tier clean-host phase hack must not come back"
|
||||
grep -q 'checkCleanHost' orchestrator/src/steps/preflight.ts \
|
||||
|| fail "acceptance: preflight must take clean-host as an explicit decision"
|
||||
"$BUN_BIN" -e '
|
||||
const source = require("node:fs").readFileSync("orchestrator/src/commands/install.ts", "utf8");
|
||||
const enabled = source.split("checkCleanHost: true").length - 1;
|
||||
const disabled = source.split("checkCleanHost: false").length - 1;
|
||||
if (enabled !== 1) throw new Error("clean-host must be requested exactly once, got " + enabled);
|
||||
if (disabled !== 1) throw new Error("the capabilities pass must opt out explicitly");
|
||||
const at = source.indexOf("checkCleanHost: true");
|
||||
const state = source.indexOf("await advanceInstallState(");
|
||||
if (at > state) throw new Error("clean-host is checked after the first install-state write");
|
||||
' || fail "acceptance: clean-host must be an entry condition, checked exactly once"
|
||||
|
||||
log_step "Acceptance: diagnostics never block rollback"
|
||||
local command_file
|
||||
for command_file in orchestrator/src/commands/install.ts orchestrator/src/commands/reconfigure.ts; do
|
||||
grep -q 'catch (diagnosticsError)' "$command_file" \
|
||||
|| fail "acceptance: diagnostics must be best effort in $command_file"
|
||||
done
|
||||
"$BUN_BIN" -e '
|
||||
const fs = require("node:fs");
|
||||
for (const file of [
|
||||
["orchestrator/src/commands/install.ts", "await rollbackFailedInstall("],
|
||||
["orchestrator/src/commands/reconfigure.ts", "await rollbackCurrentState()"]
|
||||
]) {
|
||||
const source = fs.readFileSync(file[0], "utf8");
|
||||
const diagnostics = source.indexOf("await diagnosticsCollect(options)");
|
||||
const guard = source.indexOf("catch (diagnosticsError)");
|
||||
const rollback = source.indexOf(file[1]);
|
||||
if (diagnostics < 0 || guard < 0 || rollback < 0) throw new Error("missing markers in " + file[0]);
|
||||
if (!(diagnostics < guard && guard < rollback)) {
|
||||
throw new Error("diagnostics is not guarded before rollback in " + file[0]);
|
||||
}
|
||||
}
|
||||
' || fail "acceptance: a diagnostics failure must never cancel the rollback"
|
||||
|
||||
log_step "Acceptance: reconfigure classifies by ownership, not by message text"
|
||||
! grep -qF '.test(message)' orchestrator/src/commands/reconfigure.ts \
|
||||
|| fail "acceptance: reconfigure must not classify failures by matching the error text"
|
||||
grep -q 'classifyReconfigureFailure(ownership)' orchestrator/src/commands/reconfigure.ts \
|
||||
|| fail "acceptance: reconfigure failure classification must be ownership-driven"
|
||||
}
|
||||
|
||||
# Каналы утечки секретов: Config API и журналы.
|
||||
run_secret_channel_acceptance() {
|
||||
log_step "Acceptance: config API is an allowlist, not a denylist"
|
||||
grep -q 'IsPublicReadableConfigKey' apps/controller/config.go \
|
||||
|| fail "acceptance: config reads must go through the allowlist"
|
||||
grep -q 'IsPublicWritableConfigKey' apps/controller/config.go \
|
||||
|| fail "acceptance: config writes must go through the allowlist"
|
||||
# Ищется регистрация и вызов, а не имя: router_test.go обязан УПОМИНАТЬ
|
||||
# getConfig — он проверяет, что маршрут не вернулся.
|
||||
! grep -rq 'controller.GetConfig' apps/router \
|
||||
|| fail "acceptance: the arbitrary-key getConfig route came back"
|
||||
! grep -q 'func GetConfig(' apps/controller/config.go \
|
||||
|| fail "acceptance: the arbitrary-key getConfig handler came back"
|
||||
! grep -rq 'export function getConfigApi' apps/frontend/src \
|
||||
|| fail "acceptance: the frontend client for getConfig came back"
|
||||
! grep -rq 'getConfigApi(' apps/frontend/src \
|
||||
|| fail "acceptance: something still calls the removed getConfig client"
|
||||
local secret_key
|
||||
for secret_key in JwtSecret PeerSecretKey PeerSecretEncryptionKey Hysteria2TrafficStatsSecret; do
|
||||
grep -q "${secret_key}," apps/model/constant/config.go \
|
||||
|| fail "acceptance: ${secret_key} must be declared an internal config key"
|
||||
done
|
||||
# Секреты не имеют права оказаться в allowlist ни на чтение, ни на запись.
|
||||
"$BUN_BIN" -e '
|
||||
const source = require("node:fs").readFileSync("apps/model/constant/config.go", "utf8");
|
||||
const start = source.indexOf("publicReadableConfigKeys");
|
||||
const end = source.indexOf("func IsPublicReadableConfigKey");
|
||||
const body = source.slice(start, end);
|
||||
for (const key of ["JwtSecret", "PeerSecretKey", "PeerSecretEncryptionKey", "Hysteria2TrafficStatsSecret", "Hysteria2Config"]) {
|
||||
if (body.includes(key + ":")) throw new Error(key + " is in the public allowlist");
|
||||
}
|
||||
' || fail "acceptance: no secret key may appear in the public config allowlist"
|
||||
|
||||
log_step "Acceptance: request logging never carries query values"
|
||||
# Проверяется КОД, а не упоминание: комментарий, объясняющий, почему логгер
|
||||
# больше не пишет RequestURI, обязан быть разрешён. Поэтому строки
|
||||
# комментариев отбрасываются до поиска.
|
||||
local log_code server_code
|
||||
log_code="$(grep -v '^[[:space:]]*//' apps/middleware/log.go || true)"
|
||||
server_code="$(grep -v '^[[:space:]]*//' apps/cmd/server.go || true)"
|
||||
|
||||
printf '%s\n' "$log_code" | grep -q 'c.Request.URL.Path' \
|
||||
|| fail "acceptance: the request logger must log the path, not RequestURI"
|
||||
! printf '%s\n' "$log_code" | grep -q 'RequestURI' \
|
||||
|| fail "acceptance: RequestURI carries the machine token in its query string"
|
||||
! grep -rq 'ReqUri' apps/model/vo apps/frontend/src/api \
|
||||
|| fail "acceptance: the reqUri log field came back"
|
||||
|
||||
log_step "Acceptance: the admin has exactly one HTTP log channel"
|
||||
! printf '%s\n' "$server_code" | grep -q 'gin.Default()' \
|
||||
|| fail "acceptance: gin.Default() logs the query string to stdout and then to journald"
|
||||
printf '%s\n' "$server_code" | grep -q 'gin.New()' \
|
||||
|| fail "acceptance: the admin engine must be built with gin.New()"
|
||||
printf '%s\n' "$server_code" | grep -q 'gin.Recovery()' \
|
||||
|| fail "acceptance: gin.New() must still install the recovery middleware"
|
||||
|
||||
log_step "Acceptance: exported logs are sanitized on both sides"
|
||||
grep -q 'SanitizeLogText' apps/service/journal.go \
|
||||
|| fail "acceptance: exported Hysteria journal must be sanitized"
|
||||
grep -q 'redactLogText' orchestrator/src/commands/diagnostics.ts \
|
||||
|| fail "acceptance: diagnostics bundle must sanitize collected journals"
|
||||
grep -q 'journal-admin.log' orchestrator/src/commands/diagnostics.ts \
|
||||
|| fail "acceptance: the admin journal must be part of the sanitized set"
|
||||
|
||||
log_step "Acceptance: machine token comparison is constant time"
|
||||
grep -q 'subtle.ConstantTimeCompare' apps/middleware/machine_auth.go \
|
||||
|| fail "acceptance: the machine token must be compared in constant time"
|
||||
}
|
||||
|
||||
# Импорт пиров: одна транзакция и ровно один JSON-документ.
|
||||
run_atomic_import_acceptance() {
|
||||
log_step "Acceptance: peer import is a single database transaction"
|
||||
grep -q 'WithPeerTx' apps/service/peer.go \
|
||||
|| fail "acceptance: peer import must apply the whole batch in one transaction"
|
||||
grep -q 'func WithPeerTx' apps/dao/peer.go \
|
||||
|| fail "acceptance: the peer transaction boundary is missing from the dao layer"
|
||||
grep -q 'sqliteDB.Transaction' apps/dao/peer.go \
|
||||
|| fail "acceptance: WithPeerTx must open a real database transaction"
|
||||
# Применение обязано идти по tx, а не по глобальному соединению.
|
||||
"$BUN_BIN" -e '
|
||||
const source = require("node:fs").readFileSync("apps/service/peer.go", "utf8");
|
||||
const start = source.indexOf("func applyPeerImportEntry");
|
||||
if (start < 0) throw new Error("applyPeerImportEntry is missing");
|
||||
const body = source.slice(start);
|
||||
for (const call of ["dao.GetPeer(", "dao.SavePeer(", "dao.UpdatePeer("]) {
|
||||
if (body.includes(call)) throw new Error("peer import still writes outside the transaction: " + call);
|
||||
}
|
||||
' || fail "acceptance: peer import must not bypass the transaction"
|
||||
|
||||
log_step "Acceptance: peer import accepts exactly one JSON document"
|
||||
grep -q 'io.EOF' apps/controller/peer.go \
|
||||
|| fail "acceptance: peer import must verify that nothing follows the JSON document"
|
||||
grep -q 'exactly one JSON document' apps/controller/peer.go \
|
||||
|| fail "acceptance: the trailing-document refusal must be explicit"
|
||||
|
||||
log_step "Acceptance: peer export offers both modes in the UI"
|
||||
grep -q 'includeSecrets' apps/frontend/src/api/peer/index.ts \
|
||||
|| fail "acceptance: the UI must be able to request a secrets-bearing backup"
|
||||
grep -q 'handleExportBackup' apps/frontend/src/views/peer/list/index.vue \
|
||||
|| fail "acceptance: the backup export button is missing"
|
||||
grep -q 'exportBackupConfirm' apps/frontend/src/views/peer/list/index.vue \
|
||||
|| fail "acceptance: a secrets-bearing export must require explicit confirmation"
|
||||
local locale
|
||||
for locale in ru en; do
|
||||
grep -q 'exportBackupConfirm' "apps/frontend/src/lang/package/${locale}.ts" \
|
||||
|| fail "acceptance: the backup warning is missing from the ${locale} locale"
|
||||
done
|
||||
}
|
||||
|
||||
# Compatibility-слой предыдущего поколения не должен пережить 1.0.
|
||||
run_legacy_account_acceptance() {
|
||||
log_step "Acceptance: the legacy account layer is gone from the runtime"
|
||||
[ ! -f apps/model/entity/account.go ] \
|
||||
|| fail "acceptance: the LegacyAccount entity came back"
|
||||
# Каталоги перечислены явно: рекурсия по apps захватила бы
|
||||
# apps/frontend/node_modules, который к этому шагу сборки уже существует.
|
||||
! grep -rq 'LegacyAccount' apps/dao apps/model apps/service apps/controller apps/cmd \
|
||||
|| fail "acceptance: legacy account migration code came back"
|
||||
# Ищется запись в списке миграций (имя в кавычках), а не упоминание:
|
||||
# комментарий, объясняющий, почему миграции удалены, должен быть разрешён.
|
||||
local dead_migration
|
||||
for dead_migration in 002_migrate_legacy_accounts 003_archive_legacy_account; do
|
||||
! grep -qF "\"${dead_migration}\"" apps/dao/sqlite.go \
|
||||
|| fail "acceptance: legacy migration ${dead_migration} came back"
|
||||
done
|
||||
# Номера оставшихся миграций не перенумеровываются: они уже записаны в
|
||||
# schema_migrations на установленных машинах.
|
||||
local kept_migration
|
||||
for kept_migration in 000_base_config 001_admin_peer_split 004_traffic_samples_and_aggregates 005_metric_sample; do
|
||||
grep -qF "\"${kept_migration}\"" apps/dao/sqlite.go \
|
||||
|| fail "acceptance: migration ${kept_migration} disappeared or was renumbered"
|
||||
done
|
||||
|
||||
log_step "Acceptance: v1 docs carry no previous-generation vocabulary"
|
||||
# docs/14 — единственное место, где эти имена обозначают реальные объекты
|
||||
# для удаления. В обычных docs их быть не должно.
|
||||
local doc
|
||||
for doc in docs/*.md; do
|
||||
case "$doc" in
|
||||
docs/14-legacy-cleanup.md) continue ;;
|
||||
esac
|
||||
! grep -q 'H_UI_' "$doc" \
|
||||
|| fail "acceptance: previous-generation config keys leaked into $doc"
|
||||
done
|
||||
}
|
||||
|
||||
+22
-11
@@ -62,22 +62,33 @@ verify_archive() {
|
||||
printf '%s\n' "$listing" | grep -q '^hy2xs-install/metadata/package.release_line$' || fail "archive missing product release line"
|
||||
printf '%s\n' "$listing" | grep -q '^hy2xs-install/metadata/package.config_schema_version$' || fail "archive missing packaged config schema version"
|
||||
|
||||
# Двухфазный контракт установки проверяется структурно: read-only preflight
|
||||
# обязан стоять раньше первой мутации, иначе ошибочный запуск поверх
|
||||
# работающего сервера снова начнёт его ломать.
|
||||
local packaged_installer preflight_line first_mutation_line
|
||||
# Контракт установки проверяется структурно: install.sh — read-only bootstrap
|
||||
# целиком, у PHASE 1 ровно один владелец — оркестратор.
|
||||
#
|
||||
# Раньше здесь проверялся порядок «preflight раньше первой мутации», и сама
|
||||
# проверка ТРЕБОВАЛА наличия мутирующей строки в install.sh. Пока shell сам
|
||||
# раскладывал оркестратор и runtime-пакет, между двумя фазами существовало
|
||||
# окно: PHASE 0 проходила, install.sh изменял хост, а отказ следующего
|
||||
# preflight внутри оркестратора объявлялся «на сервере ничего не изменено».
|
||||
# Владение мутацией нельзя было отследить, потому что мутировали двое.
|
||||
local packaged_installer mutation_hits
|
||||
packaged_installer="$(tar -xOzf "$archive" hy2xs-install/install.sh)"
|
||||
printf '%s\n' "$packaged_installer" | grep -q 'preflight-install' \
|
||||
|| fail "packaged install.sh does not run the read-only preflight"
|
||||
printf '%s\n' "$packaged_installer" | grep -q 'preflight-install --package-dir' \
|
||||
|| fail "packaged install.sh: could not locate the preflight invocation"
|
||||
|
||||
preflight_line="$(printf '%s\n' "$packaged_installer" | grep -n 'preflight-install --package-dir' | head -n1 | cut -d: -f1)"
|
||||
first_mutation_line="$(printf '%s\n' "$packaged_installer" \
|
||||
| grep -nE '^[[:space:]]*(install -d|install -m|ln -sf|rm -rf|cp -a)' | head -n1 | cut -d: -f1)"
|
||||
# Комментарии отбрасываются: строка, ОБЪЯСНЯЮЩАЯ, почему установщик больше
|
||||
# не выполняет `install -d`, не является выполнением `install -d`.
|
||||
mutation_hits="$(printf '%s\n' "$packaged_installer" \
|
||||
| grep -nE '^[[:space:]]*(install|ln|cp|mv|rm|mkdir|chown|chmod|systemctl|apt-get|useradd|groupadd|nft|tee)[[:space:]]' \
|
||||
|| true)"
|
||||
[ -z "$mutation_hits" ] \
|
||||
|| fail "packaged install.sh must not mutate the host; PHASE 1 belongs to the orchestrator alone. Found:
|
||||
$mutation_hits"
|
||||
|
||||
[ -n "$preflight_line" ] || fail "packaged install.sh: could not locate the preflight invocation"
|
||||
[ -n "$first_mutation_line" ] || fail "packaged install.sh: could not locate the mutation phase"
|
||||
[ "$preflight_line" -lt "$first_mutation_line" ] \
|
||||
|| fail "packaged install.sh mutates the host (line $first_mutation_line) before the clean-host preflight (line $preflight_line)"
|
||||
printf '%s\n' "$packaged_installer" | grep -q 'exec .*install --package-dir' \
|
||||
|| fail "packaged install.sh must hand the whole mutating phase to the orchestrator via exec"
|
||||
|
||||
local license_text
|
||||
license_text="$(tar -xOzf "$archive" hy2xs-install/LICENSE)"
|
||||
|
||||
@@ -216,10 +216,16 @@ verify_api_namespace_contract() {
|
||||
# Старое пространство имён не имеет права вернуться ни в один компонент.
|
||||
# Историческое имя допустимо только в docs/14-legacy-cleanup.md и в
|
||||
# legacy-маркерах clean-host: там это имя чужого артефакта, а не наше.
|
||||
#
|
||||
# Список каталогов покрывает КАЖДЫЙ слой, который может собрать URL: раньше
|
||||
# в нём не было apps/middleware, apps/cmd, apps/dao и apps/util, то есть
|
||||
# ровно тех мест, где живут HTTP-логгер, точка входа сервера и helpers.
|
||||
local legacy_hits
|
||||
legacy_hits="$(grep -rlF '/hui' \
|
||||
apps/model apps/router apps/controller apps/service apps/frontend/src \
|
||||
orchestrator/src orchestrator/test package/templates tools/test 2>/dev/null || true)"
|
||||
apps/model apps/router apps/controller apps/service apps/middleware \
|
||||
apps/cmd apps/dao apps/util apps/frontend/src \
|
||||
orchestrator/src orchestrator/test package/templates \
|
||||
tools/test tools/build 2>/dev/null || true)"
|
||||
[ -z "$legacy_hits" ] \
|
||||
|| fail "versions contract: legacy /hui namespace came back in: $legacy_hits"
|
||||
}
|
||||
|
||||
Reference in New Issue
Block a user