fix(admin): вход в панель падал на теге правила, пережившего переименование

RC2 на чистом Debian 13 завершался INSTALL EXIT CODE: 0 при полностью
недоступной панели. На LoginDto.Username стоял тег `validateStr` — правило с
таким именем не регистрировалось: при переименовании в `credentialStr` правка
не доехала до одного файла, оставив мёртвую регистрацию и живую ссылку на
несуществующее имя. go-playground/validator на неизвестный тег ПАНИКУЕТ при
разборе структуры, то есть до всякой проверки логина и пароля, а gin.Recovery
превращал панику в HTTP 500 на каждый POST /api/auth/login.

Дефект пережил 311 Go-тестов, и это главное, что здесь чинится. Проверялся сам
регексп, в обход валидатора, а обработчика входа не касался ни один тест.
Очевидная замена не помогла бы: цепочка правил поля обрывается на первом
несработавшем, поэтому нулевое DTO отказывает по `required` и до испорченного
тега не доходит. Теперь TestEveryValidationTagIsRegistered обходит исходники
apps/model/**, вытаскивает каждый тег `validate:"…"` и предъявляет его
валидатору отдельно — незарегистрированное правило паникует так же, как в бою,
но на сборке. Барьер проверен возвратом исходного тега.

Установка тоже не отвечала на вопрос, ради которого проверялась. Smoke считал
панель работающей по трём признакам — юнит активен, порт в LISTEN, /healthz
отвечает ok, — и все три были истинны. Теперь smoke выполняет настоящий вход
bootstrap-учётными данными и требует конверт успеха с непустым токеном: по коду
HTTP это неотличимо, админка отвечает 200 OK и на отказ. Отрицательная проба
идёт в любом режиме операции и от актуальности пароля не зависит.

Рядом лежали три расхождения того же класса, найденные при разборе.

Оркестратор не знал контракта, который сам порождает: HY2XS_ADMIN_USER по
умолчанию был `admin` — пять символов при минимуме панели в шесть, — и такая
установка проходила целиком, создавая учётную запись, под которой невозможно
войти. Про одно имя существовало три расходящихся умолчания. Оба значения
теперь проверяются при разборе окружения — той стороной, которая их порождает:
отказ, пришедший установщику, чинится строкой в hy2xs.env, а неработающий вход
на готовом сервере — переустановкой.

Панель была строже сервера. Форма входа ограничивала пароль 32 символами при
серверном пределе в 64, а форма смены пароля назначала до 64: пароль,
назначенный штатной операцией, после этого не вводился. Набор символов на
пароле отвергал значение, которое сервер принял бы, — сервер его не
ограничивает нигде. Контракт учётных данных объявлен один раз в
service/admin_credentials.go, копии в панели и оркестраторе сверяются с ним
тестами, читающими Go-исходник.

Класс символов логина был записан диапазоном по опечатке: неэкранированный
дефис превращал `+-=` в диапазон, впускающий `, - . / 0-9 : ; < =`. С серверным
набором это совпадало только потому, что обе стороны несли одну опечатку. Набор
записан явно и НЕ сужен — он уже действует на установленных серверах.

Визуально: красная рамка отказа обводила не то, что видит оператор. Element Plus
рисует состояние ошибки на el-input__wrapper селектором из четырёх классов, а
форма входа рисует видимую рамку поля на el-form-item — внутрь поля кладутся
иконка, ввод и переключатель видимости — и гасила чужую тень селектором из трёх,
проигрывая по специфичности. Рамка ложилась вокруг одного лишь ввода: у логина
начиналась после иконки, у пароля обрывалась перед «глазом». Индикация
перенесена на элемент, который оператор и видит полем; чужая тень гасится
селектором, повторяющим её собственный и добавляющим атрибут scoped-стиля, —
конкретностью, а не !important. Остальные формы панели проверены: собственная
рамка на el-form-item есть только на форме входа.

Заодно: `last_login_at` объявлен в схеме и в entity, а писать его было некому —
UpdateAdminLastLoginAt не вызывался ниоткуда. Отметка ставится в service.Login
сразу после успешной проверки пароля; отказ записи вход не отменяет, но
попадает в журнал. Обработчик входа переехал из controller/peer.go в
controller/auth.go: стек в journal указывал на управление пирами.

Требование теперь называется, а не сообщается фактом нарушения. «Неверный
формат логина» и «Некорректное значение» не давали оператору способа узнать,
что от него хотят: набор символов приходит из hy2xs.env и в панели нигде не
показан. Фразы форм и серверная причина credential_format перечисляют границы
и набор.

Гейт сборки run_admin_login_acceptance удерживает барьеры от тихого удаления —
по той же причине, что и гейт детектора гонок. Каждое из его утверждений
проверено мутационной пробой на реальный отказ; две первые редакции оказались
вакуумными и переписаны.

Прогнано: go vet + go test ./... , bun test оркестратора (427) и контрактов
панели (66), vue-tsc --noEmit, production-сборка frontend, гейт приёмки
целиком. `go test -race` не прогонялся — на машине нет C-компилятора, это
релизный гейт сборщика.

Прогон задокументирован в
docs/acceptance/2026-09-04-v1.0.0-rc2-runtime-findings.md.

docs/runtime/08-orchestrator-spec.md

@@ -542,6 +542,44 @@ production-профилем, а не ищет подстроки. Проверя
 Сообщение об ошибке для `auth.http.url` намеренно не печатает сам токен: текст
 уходит в логи и в diagnostics-бандл.
 
+## Smoke проверяет, что панель ВПУСКАЕТ
+
+Открытый порт — это не работающая панель.
+
+До RC3 установка отвечала на вопрос «работает ли панель» тремя фактами: юнит
+активен, `127.0.0.1:8080` в `LISTEN`, `/healthz` отвечает `ok: true`. RC2
+доказал, что все три бывают истинными одновременно с полностью недоступной
+панелью: на поле логина стоял тег незарегистрированного правила валидации,
+`POST /api/auth/login` паниковал ещё до проверки учётных данных, `gin.Recovery`
+превращал панику в HTTP 500 — и установка завершалась `INSTALL EXIT CODE: 0`.
+
+Поэтому smoke выполняет **настоящий вход** на `POST /api/auth/login`:
+
+| Проба | Когда | Что требуется |
+| --- | --- | --- |
+| заведомо неверные учётные данные | всегда | HTTP 200 с конвертом отказа |
+| bootstrap-учётные данные из `bootstrap-admin.secret` | только `install` | `code: 20000` и непустой `accessToken` |
+
+Детали, которые здесь существенны:
+
+- **успех определяется конвертом, а не кодом HTTP.** Админка отвечает `200 OK` и
+  на отказ тоже — причина живёт в поле `code`. Проверка «HTTP 200» приняла бы за
+  успешный вход любой отказ, то есть не проверяла бы ничего;
+- **токен требуется отдельно.** `code: 20000` без `accessToken` означал бы
+  панель, которая пускает и не выдаёт сессию;
+- **тело собирается `JSON.stringify`**, а не интерполяцией в строку: пароль
+  задаёт оператор, и кавычка в нём сломала бы сам запрос, а не панель — проверка
+  объявила бы рабочую установку сломанной;
+- **обе команды идут через `runReadOnlySecret`**: он не кладёт команду в текст
+  ошибки, а команда несёт пароль администратора. Наружу отдаётся только код
+  ответа: тело успешного входа содержит токен доступа, а текст ошибки уезжает в
+  журнал установки и в diagnostics-бандл;
+- **положительная проба install-only.** На `reconfigure` пароль в
+  `bootstrap-admin.secret` устаревает в тот момент, когда оператор сменил его в
+  панели, и требовать по нему вход значило бы ронять законную операцию.
+  Отрицательная проба от пароля не зависит и выполняется всегда — именно она
+  воспроизводит дефект RC2.
+
 ## Редактирование секретов
 
 `redact-config` и diagnostics-бандл используют **структурную** редакцию: YAML

docs/runtime/09-post-install-env.md

@@ -144,6 +144,34 @@ anycast. Отсутствие A-записи фатально при любом
 - `HY2XS_FORCE_PASSWORD_CHANGE` в production baseline установлен в `false` (forced UX-flow пока не реализован);
 - после первичного seed перезапуски `hy2xs-admin` не должны переопределять пароль admin и `con_pass`.
 
+### Учётные данные администратора проверяются при разборе окружения
+
+`HY2XS_ADMIN_USER` и `HY2XS_ADMIN_INITIAL_PASSWORD` — это значения, которые
+потом принимает **форма входа в панель**. Оркестратор проверяет их против того
+же контракта, что и админка (`apps/service/admin_credentials.go`):
+
+| Переменная | Требование | Значение по умолчанию |
+| --- | --- | --- |
+| `HY2XS_ADMIN_USER` | 6-32 символа из набора `a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=` | `hy2xsadmin` |
+| `HY2XS_ADMIN_INITIAL_PASSWORD` | 6-64 символа, набор не ограничен | генерируется |
+
+Значение вне контракта **роняет установку** с явным текстом, называющим границы
+и набор. Так и должно быть: отказ, пришедший установщику, чинится одной строкой
+в `hy2xs.env`, а неработающий вход на готовом сервере — переустановкой.
+
+Проверяется и сгенерированный пароль, а не только заданный оператором:
+генератор — такой же источник значения.
+
+Окружающие пробелы у `HY2XS_ADMIN_USER` снимаются. Иначе они уезжали бы в имя
+учётной записи в SQLite, и вход отказывал бы «неверным логином или паролем» —
+отказом, который невозможно связать с причиной.
+
+Значение по умолчанию совпадает в трёх местах и обязано совпадать:
+`package/config/hy2xs.env`, `orchestrator/src/config/env.ts` и запасное
+значение в `apps/dao/sqlite.go`. Раньше оркестратор писал `admin` — пять
+символов при минимуме панели в шесть, — и установка завершалась
+`INSTALL EXIT CODE: 0`, оставляя панель, в которую невозможно войти.
+
 ### Immutable-bootstrap контракт
 
 - `/etc/hy2xs/bootstrap-admin.secret` создаётся оркестратором только при первичной установке.