fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора

Hardening-проход перед первой сборкой на Debian. Три из найденного не
воспроизводились ни на одном dry-run и проявились бы только на живом сервере.

Установка

* preflight внутри install вызывался дважды и оба раза проверял clean-host.
  Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json,
  записанный после первого preflight, и опознавался как маркер посторонней
  установки: КАЖДАЯ чистая установка падала сразу после apt-get с
  fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста —
  условие входа в операцию, возможности платформы проверяются уже внутри
  PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания.

* PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs,
  ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом
  запускал оркестратор с его собственным preflight. Отказ того preflight
  объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже
  созданном каталоге оркестратора. Отследить владение мутацией невозможно,
  пока мутируют двое: install.sh больше не изменяет ничего, раскладку
  выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали
  в owned_paths. Как следствие удалено деление clean-host на фазы.

* diagnosticsCollect стояла перед rollback обычным await в install и в
  reconfigure. На заполненном диске она падает сама и отменяла откат целиком.
  Диагностика — best effort, откат — обязателен.

* reconfigure/repair выбирали записываемую фазу отказа регулярным выражением
  по тексту ошибки. Переведено на ownership-флаги.

Секреты

* Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria
  обращается к /internal/hysteria/auth?access_token=<секрет> при каждом
  подключении пира, поэтому действующий machine token оседал открытым текстом
  в hy2xs-admin.log, который отдаётся через ExportLog и попадает в
  diagnostics-бандл. Логируется путь; значения query не пишутся, имена —
  пишутся. Канала было два: gin.Default() печатает path?query в stdout,
  оттуда в journald и в тот же бандл, — панель переведена на gin.New() +
  Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь
  проходят санитайз. Сравнение токена — constant time.

* Config API позволял прочитать и подменить ключи приложения: getConfig и
  listConfig принимали произвольный ключ, а проверка записи была denylist'ом
  из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал
  master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут
  getConfig удалён целиком — потребителей у него не было ни одного.

Пиры

* Импорт применялся по одной записи вне транзакции, вопреки собственному
  контракту. Валидация не знает, что уже лежит в базе: cross-conflict по
  UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной
  транзакцией, криптоматериал считается до её открытия.

* Файл импорта мог содержать хвостовой JSON-документ, который молча не
  применялся. После разбора проверяется io.EOF.

* Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и
  подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и
  прежние клиентские ссылки после переноса переставали работать.

Сборка

* Два stale-грепа в приёмке роняли build.sh в самом конце, внутри
  verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй
  совпадал с router_test.go, который перечисляет удалённые маршруты, потому
  что проверяет их отсутствие: добавление регрессионного теста ломало сборку.

* verify_archive требовал наличия мутирующей строки в install.sh. Инвариант
  перевёрнут: их не должно быть ни одной.

Очистка

* Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы
  listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком
  сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из
  обычных доков, в docs/14 он остаётся — там это имена объектов для удаления.

* Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry:
  203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ
  резолвера отделён от отсутствия A-записи.

Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов,
приёмка прогнана против дерева.

tools/build/lib/verify.sh

@@ -62,22 +62,33 @@ verify_archive() {
   printf '%s\n' "$listing" | grep -q '^hy2xs-install/metadata/package.release_line$' || fail "archive missing product release line"
   printf '%s\n' "$listing" | grep -q '^hy2xs-install/metadata/package.config_schema_version$' || fail "archive missing packaged config schema version"
 
-  # Двухфазный контракт установки проверяется структурно: read-only preflight
-  # обязан стоять раньше первой мутации, иначе ошибочный запуск поверх
-  # работающего сервера снова начнёт его ломать.
-  local packaged_installer preflight_line first_mutation_line
+  # Контракт установки проверяется структурно: install.sh — read-only bootstrap
+  # целиком, у PHASE 1 ровно один владелец — оркестратор.
+  #
+  # Раньше здесь проверялся порядок «preflight раньше первой мутации», и сама
+  # проверка ТРЕБОВАЛА наличия мутирующей строки в install.sh. Пока shell сам
+  # раскладывал оркестратор и runtime-пакет, между двумя фазами существовало
+  # окно: PHASE 0 проходила, install.sh изменял хост, а отказ следующего
+  # preflight внутри оркестратора объявлялся «на сервере ничего не изменено».
+  # Владение мутацией нельзя было отследить, потому что мутировали двое.
+  local packaged_installer mutation_hits
   packaged_installer="$(tar -xOzf "$archive" hy2xs-install/install.sh)"
   printf '%s\n' "$packaged_installer" | grep -q 'preflight-install' \
     || fail "packaged install.sh does not run the read-only preflight"
+  printf '%s\n' "$packaged_installer" | grep -q 'preflight-install --package-dir' \
+    || fail "packaged install.sh: could not locate the preflight invocation"
 
-  preflight_line="$(printf '%s\n' "$packaged_installer" | grep -n 'preflight-install --package-dir' | head -n1 | cut -d: -f1)"
-  first_mutation_line="$(printf '%s\n' "$packaged_installer" \
-    | grep -nE '^[[:space:]]*(install -d|install -m|ln -sf|rm -rf|cp -a)' | head -n1 | cut -d: -f1)"
+  # Комментарии отбрасываются: строка, ОБЪЯСНЯЮЩАЯ, почему установщик больше
+  # не выполняет `install -d`, не является выполнением `install -d`.
+  mutation_hits="$(printf '%s\n' "$packaged_installer" \
+    | grep -nE '^[[:space:]]*(install|ln|cp|mv|rm|mkdir|chown|chmod|systemctl|apt-get|useradd|groupadd|nft|tee)[[:space:]]' \
+    || true)"
+  [ -z "$mutation_hits" ] \
+    || fail "packaged install.sh must not mutate the host; PHASE 1 belongs to the orchestrator alone. Found:
+$mutation_hits"
 
-  [ -n "$preflight_line" ] || fail "packaged install.sh: could not locate the preflight invocation"
-  [ -n "$first_mutation_line" ] || fail "packaged install.sh: could not locate the mutation phase"
-  [ "$preflight_line" -lt "$first_mutation_line" ] \
-    || fail "packaged install.sh mutates the host (line $first_mutation_line) before the clean-host preflight (line $preflight_line)"
+  printf '%s\n' "$packaged_installer" | grep -q 'exec .*install --package-dir' \
+    || fail "packaged install.sh must hand the whole mutating phase to the orchestrator via exec"
 
   local license_text
   license_text="$(tar -xOzf "$archive" hy2xs-install/LICENSE)"