fix(admin): вход в панель падал на теге правила, пережившего переименование
RC2 на чистом Debian 13 завершался INSTALL EXIT CODE: 0 при полностью недоступной панели. На LoginDto.Username стоял тег `validateStr` — правило с таким именем не регистрировалось: при переименовании в `credentialStr` правка не доехала до одного файла, оставив мёртвую регистрацию и живую ссылку на несуществующее имя. go-playground/validator на неизвестный тег ПАНИКУЕТ при разборе структуры, то есть до всякой проверки логина и пароля, а gin.Recovery превращал панику в HTTP 500 на каждый POST /api/auth/login. Дефект пережил 311 Go-тестов, и это главное, что здесь чинится. Проверялся сам регексп, в обход валидатора, а обработчика входа не касался ни один тест. Очевидная замена не помогла бы: цепочка правил поля обрывается на первом несработавшем, поэтому нулевое DTO отказывает по `required` и до испорченного тега не доходит. Теперь TestEveryValidationTagIsRegistered обходит исходники apps/model/**, вытаскивает каждый тег `validate:"…"` и предъявляет его валидатору отдельно — незарегистрированное правило паникует так же, как в бою, но на сборке. Барьер проверен возвратом исходного тега. Установка тоже не отвечала на вопрос, ради которого проверялась. Smoke считал панель работающей по трём признакам — юнит активен, порт в LISTEN, /healthz отвечает ok, — и все три были истинны. Теперь smoke выполняет настоящий вход bootstrap-учётными данными и требует конверт успеха с непустым токеном: по коду HTTP это неотличимо, админка отвечает 200 OK и на отказ. Отрицательная проба идёт в любом режиме операции и от актуальности пароля не зависит. Рядом лежали три расхождения того же класса, найденные при разборе. Оркестратор не знал контракта, который сам порождает: HY2XS_ADMIN_USER по умолчанию был `admin` — пять символов при минимуме панели в шесть, — и такая установка проходила целиком, создавая учётную запись, под которой невозможно войти. Про одно имя существовало три расходящихся умолчания. Оба значения теперь проверяются при разборе окружения — той стороной, которая их порождает: отказ, пришедший установщику, чинится строкой в hy2xs.env, а неработающий вход на готовом сервере — переустановкой. Панель была строже сервера. Форма входа ограничивала пароль 32 символами при серверном пределе в 64, а форма смены пароля назначала до 64: пароль, назначенный штатной операцией, после этого не вводился. Набор символов на пароле отвергал значение, которое сервер принял бы, — сервер его не ограничивает нигде. Контракт учётных данных объявлен один раз в service/admin_credentials.go, копии в панели и оркестраторе сверяются с ним тестами, читающими Go-исходник. Класс символов логина был записан диапазоном по опечатке: неэкранированный дефис превращал `+-=` в диапазон, впускающий `, - . / 0-9 : ; < =`. С серверным набором это совпадало только потому, что обе стороны несли одну опечатку. Набор записан явно и НЕ сужен — он уже действует на установленных серверах. Визуально: красная рамка отказа обводила не то, что видит оператор. Element Plus рисует состояние ошибки на el-input__wrapper селектором из четырёх классов, а форма входа рисует видимую рамку поля на el-form-item — внутрь поля кладутся иконка, ввод и переключатель видимости — и гасила чужую тень селектором из трёх, проигрывая по специфичности. Рамка ложилась вокруг одного лишь ввода: у логина начиналась после иконки, у пароля обрывалась перед «глазом». Индикация перенесена на элемент, который оператор и видит полем; чужая тень гасится селектором, повторяющим её собственный и добавляющим атрибут scoped-стиля, — конкретностью, а не !important. Остальные формы панели проверены: собственная рамка на el-form-item есть только на форме входа. Заодно: `last_login_at` объявлен в схеме и в entity, а писать его было некому — UpdateAdminLastLoginAt не вызывался ниоткуда. Отметка ставится в service.Login сразу после успешной проверки пароля; отказ записи вход не отменяет, но попадает в журнал. Обработчик входа переехал из controller/peer.go в controller/auth.go: стек в journal указывал на управление пирами. Требование теперь называется, а не сообщается фактом нарушения. «Неверный формат логина» и «Некорректное значение» не давали оператору способа узнать, что от него хотят: набор символов приходит из hy2xs.env и в панели нигде не показан. Фразы форм и серверная причина credential_format перечисляют границы и набор. Гейт сборки run_admin_login_acceptance удерживает барьеры от тихого удаления — по той же причине, что и гейт детектора гонок. Каждое из его утверждений проверено мутационной пробой на реальный отказ; две первые редакции оказались вакуумными и переписаны. Прогнано: go vet + go test ./... , bun test оркестратора (427) и контрактов панели (66), vue-tsc --noEmit, production-сборка frontend, гейт приёмки целиком. `go test -race` не прогонялся — на машине нет C-компилятора, это релизный гейт сборщика. Прогон задокументирован в docs/acceptance/2026-09-04-v1.0.0-rc2-runtime-findings.md.
This commit is contained in:
@@ -4,6 +4,8 @@ import {
|
||||
GECKO_DEFAULT_MAX_PACKET_SIZE,
|
||||
GECKO_DEFAULT_MIN_PACKET_SIZE,
|
||||
HY2XS_CONFIG_SCHEMA_VERSION,
|
||||
assertValidAdminPassword,
|
||||
assertValidAdminUsername,
|
||||
normalizeHysteriaObfsType,
|
||||
validateGeckoPacketSizes
|
||||
} from "./profile";
|
||||
@@ -250,8 +252,23 @@ export function parseRuntimeEnv(content: string): RuntimeConfig {
|
||||
uiBindHost,
|
||||
uiPublicAccess: parseBool("HY2XS_UI_PUBLIC_ACCESS", env.HY2XS_UI_PUBLIC_ACCESS, false),
|
||||
uiPort,
|
||||
adminUser: requireValue("HY2XS_ADMIN_USER", env.HY2XS_ADMIN_USER || "admin"),
|
||||
adminInitialPassword: valueOrGenerate(env.HY2XS_ADMIN_INITIAL_PASSWORD),
|
||||
// Умолчание — `hy2xsadmin`, и оно совпадает с package/config/hy2xs.env и с
|
||||
// запасным значением в apps/dao/sqlite.go. Раньше здесь стояло `admin`:
|
||||
// пять символов при минимуме панели в шесть, и третье расходящееся
|
||||
// умолчание про одно и то же имя. Установка при этом завершалась успешно, а
|
||||
// войти было нельзя — отказ приходил не установщику, а оператору, и уже без
|
||||
// объяснения.
|
||||
adminUser: assertValidAdminUsername(
|
||||
"HY2XS_ADMIN_USER",
|
||||
requireValue("HY2XS_ADMIN_USER", env.HY2XS_ADMIN_USER || "hy2xsadmin")
|
||||
),
|
||||
// Проверяется и сгенерированный пароль, а не только заданный оператором:
|
||||
// генератор — такой же источник значения, и его расхождение с контрактом
|
||||
// панели обязано ронять установку, а не всплывать на форме входа.
|
||||
adminInitialPassword: assertValidAdminPassword(
|
||||
"HY2XS_ADMIN_INITIAL_PASSWORD",
|
||||
valueOrGenerate(env.HY2XS_ADMIN_INITIAL_PASSWORD)
|
||||
),
|
||||
adminConPass: requireValue("HY2XS_ADMIN_CON_PASS", valueOrGenerate(env.HY2XS_ADMIN_CON_PASS)),
|
||||
forcePasswordChange: parseBool("HY2XS_FORCE_PASSWORD_CHANGE", env.HY2XS_FORCE_PASSWORD_CHANGE, false),
|
||||
allowSelfSignedDev: parseBool("HY2XS_ALLOW_SELF_SIGNED_DEV", env.HY2XS_ALLOW_SELF_SIGNED_DEV, false),
|
||||
|
||||
@@ -41,6 +41,89 @@ export const HY2XS_TARGET_ARCH = "amd64";
|
||||
export const ADMIN_API_BASE = "/api";
|
||||
export const HYSTERIA_MACHINE_AUTH_PATH = "/internal/hysteria/auth";
|
||||
|
||||
/**
|
||||
* Путь формы входа в панель. Смысл тот же, что у HYSTERIA_MACHINE_AUTH_PATH:
|
||||
* это runtime-контракт продукта, по которому smoke проверяет, что установка
|
||||
* оставила после себя РАБОТАЮЩУЮ панель, а не просто открытый порт.
|
||||
*/
|
||||
export const ADMIN_LOGIN_PATH = `${ADMIN_API_BASE}/auth/login`;
|
||||
|
||||
/**
|
||||
* Контракт учётных данных администратора.
|
||||
*
|
||||
* Зачем он здесь. Оркестратор задаёт имя и первый пароль администратора, а
|
||||
* принимает их панель — по правилам, которых оркестратор не знал вовсе.
|
||||
* Следствие было не теоретическим: значением по умолчанию здесь стояло
|
||||
* `admin` — пять символов при минимуме в шесть, — и такая установка
|
||||
* завершалась `INSTALL EXIT CODE: 0`, оставляя панель, в которую невозможно
|
||||
* войти. Проверять контракт обязана та сторона, которая значение ПОРОЖДАЕТ:
|
||||
* отказ установки чинится одной строкой в hy2xs.env, а неработающий вход на
|
||||
* готовом сервере — переустановкой.
|
||||
*
|
||||
* Значения обязаны совпадать с apps/service/admin_credentials.go; сверка
|
||||
* выполняется тестом admin-credentials.test.ts, который читает Go-исходник.
|
||||
*/
|
||||
export const ADMIN_USERNAME_MIN_LENGTH = 6;
|
||||
export const ADMIN_USERNAME_MAX_LENGTH = 32;
|
||||
export const ADMIN_PASSWORD_MIN_LENGTH = 6;
|
||||
export const ADMIN_PASSWORD_MAX_LENGTH = 64;
|
||||
|
||||
/**
|
||||
* Набор символов логина в записи регекспа.
|
||||
*
|
||||
* Дефис ЭКРАНИРОВАН намеренно. В исходной записи `_+-=` он экранирован не был,
|
||||
* из-за чего `+-=` образовывал диапазон и молча впускал `, - . / 0-9 : ; < =`.
|
||||
* Здесь перечислено то же самое ФАКТИЧЕСКОЕ множество, но явно: сужать его в
|
||||
* одиночку нельзя — оно уже действует на установленных серверах.
|
||||
*/
|
||||
const ADMIN_USERNAME_CHARACTER_CLASS = "a-zA-Z0-9!@#$%^&*()_+,\\-./:;<=";
|
||||
|
||||
export const ADMIN_USERNAME_PATTERN = new RegExp(
|
||||
`^[${ADMIN_USERNAME_CHARACTER_CLASS}]{${ADMIN_USERNAME_MIN_LENGTH},${ADMIN_USERNAME_MAX_LENGTH}}$`
|
||||
);
|
||||
|
||||
/** Тот же набор в том виде, в каком его показывают оператору. */
|
||||
export const ADMIN_USERNAME_CHARSET = "a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=";
|
||||
|
||||
/**
|
||||
* Проверка логина администратора против контракта панели.
|
||||
*
|
||||
* Возвращает значение, а не булево: вызывающий обязан использовать именно
|
||||
* проверенное — с обрезанными краями, — иначе пробел из hy2xs.env уедет в базу
|
||||
* и вход снова перестанет работать по причине, которую негде увидеть.
|
||||
*/
|
||||
export function assertValidAdminUsername(name: string, value: string): string {
|
||||
const username = value.trim();
|
||||
if (!ADMIN_USERNAME_PATTERN.test(username)) {
|
||||
throw new Error(
|
||||
`invalid ${name}: панель принимает от ${ADMIN_USERNAME_MIN_LENGTH} до ${ADMIN_USERNAME_MAX_LENGTH} ` +
|
||||
`символов из набора ${ADMIN_USERNAME_CHARSET}. ` +
|
||||
`Установка с другим значением завершилась бы успешно, а войти в панель было бы нельзя.`
|
||||
);
|
||||
}
|
||||
return username;
|
||||
}
|
||||
|
||||
/**
|
||||
* Проверка пароля администратора против контракта панели.
|
||||
*
|
||||
* Набор символов НЕ проверяется: сервер его не ограничивает ни при установке,
|
||||
* ни при смене пароля. Проверяется только длина — и в РУНАХ, ровно так её
|
||||
* считает валидатор админки. `String.length` считает единицы UTF-16, и пароль
|
||||
* из эмодзи прошёл бы здесь и отказался бы на форме входа.
|
||||
*/
|
||||
export function assertValidAdminPassword(name: string, value: string): string {
|
||||
const length = [...value].length;
|
||||
if (length < ADMIN_PASSWORD_MIN_LENGTH || length > ADMIN_PASSWORD_MAX_LENGTH) {
|
||||
throw new Error(
|
||||
`invalid ${name}: панель принимает пароль длиной от ${ADMIN_PASSWORD_MIN_LENGTH} ` +
|
||||
`до ${ADMIN_PASSWORD_MAX_LENGTH} символов, получено ${length}. ` +
|
||||
`Установка с другим значением завершилась бы успешно, а войти в панель было бы нельзя.`
|
||||
);
|
||||
}
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* Где оркестратор живёт на установленном хосте.
|
||||
*
|
||||
|
||||
@@ -2,7 +2,7 @@ import type { RuntimeContext } from "../types/context";
|
||||
import { info } from "../lib/log";
|
||||
import { readText } from "../lib/fs";
|
||||
import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
|
||||
import { HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { ADMIN_LOGIN_PATH, HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
|
||||
import { assertEffectiveFirewallIsOurs } from "./firewall";
|
||||
|
||||
@@ -209,6 +209,8 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
);
|
||||
}
|
||||
|
||||
await assertAdminLoginWorks(context);
|
||||
|
||||
await retry(
|
||||
"trafficStats valid secret",
|
||||
10,
|
||||
@@ -244,6 +246,132 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
await assertEffectiveHysteriaVersion(context);
|
||||
}
|
||||
|
||||
/**
|
||||
* Панель обязана ВПУСКАТЬ, а не просто слушать порт.
|
||||
*
|
||||
* Почему эта проверка появилась. До неё установка отвечала на вопрос «работает
|
||||
* ли панель» тремя фактами: юнит активен, `127.0.0.1:8080` в LISTEN, `/healthz`
|
||||
* отвечает `ok:true`. RC2 доказал, что все три могут быть истинными
|
||||
* одновременно с полностью недоступной панелью: на поле логина стоял тег
|
||||
* несуществующего правила валидации, `POST /api/auth/login` паниковал ещё до
|
||||
* проверки учётных данных, gin.Recovery превращал панику в HTTP 500 — и
|
||||
* установка завершалась `INSTALL EXIT CODE: 0`.
|
||||
*
|
||||
* Разница между «порт открыт» и «оператор может войти» — это весь продукт,
|
||||
* поэтому smoke выполняет НАСТОЯЩИЙ вход теми учётными данными, которые создал
|
||||
* установщик.
|
||||
*
|
||||
* Что здесь важно по деталям:
|
||||
*
|
||||
* - тело собирается JSON.stringify, а не интерполяцией в строку. Пароль
|
||||
* задаёт оператор, и кавычка или обратный слеш в нём иначе сломали бы не
|
||||
* панель, а сам запрос — и проверка объявила бы рабочую установку сломанной;
|
||||
* - обе команды идут через runReadOnlySecret: этот раннер не кладёт команду в
|
||||
* текст ошибки, а команда несёт пароль администратора. Ошибка проверки
|
||||
* уезжает в журнал и в diagnostics-бандл;
|
||||
* - положительная проба выполняется только на install. На reconfigure пароль в
|
||||
* bootstrap-admin.secret устаревает в тот момент, когда оператор сменил его
|
||||
* в панели, и требовать по нему вход значило бы ронять законную операцию;
|
||||
* - отрицательная проба выполняется ВСЕГДА и от актуальности пароля не
|
||||
* зависит. Именно она воспроизводит дефект RC2: заведомо неверные учётные
|
||||
* данные обязаны получить осмысленный отказ, а не 500.
|
||||
*/
|
||||
async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
const loginUrl = `http://127.0.0.1:${context.config.uiPort}${ADMIN_LOGIN_PATH}`;
|
||||
|
||||
const rejectedPayload = JSON.stringify({
|
||||
username: "hy2xsadmin",
|
||||
pass: "definitely-not-the-admin-password"
|
||||
});
|
||||
const rejectedStatus = await retry(
|
||||
"admin login rejects wrong credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(code) => code.trim() === "200",
|
||||
(code, error) =>
|
||||
new Error(
|
||||
`admin login answered HTTP ${code ?? String(error)} for invalid credentials: ` +
|
||||
`панель обязана отвечать конвертом отказа, а HTTP 500 здесь означает, что запрос ` +
|
||||
`не доживает до проверки учётных данных`
|
||||
)
|
||||
);
|
||||
info(`admin login rejects wrong credentials with HTTP ${rejectedStatus.trim()}`);
|
||||
|
||||
if (context.mode !== "install") {
|
||||
return;
|
||||
}
|
||||
|
||||
const adminUser = (
|
||||
await runReadOnlySecret`grep '^ADMIN_USER=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
const adminPassword = (
|
||||
await runReadOnlySecret`grep '^ADMIN_INITIAL_PASSWORD=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
if (!adminUser) {
|
||||
throw new Error("admin username is empty in bootstrap secret file");
|
||||
}
|
||||
if (!adminPassword) {
|
||||
throw new Error("admin initial password is empty in bootstrap secret file");
|
||||
}
|
||||
|
||||
const payload = JSON.stringify({ username: adminUser, pass: adminPassword });
|
||||
const response = await retry(
|
||||
"admin login with bootstrap credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -X POST -H 'Content-Type: application/json' --data ${payload} ${loginUrl}`,
|
||||
(body) => isSuccessfulLogin(body),
|
||||
(body, error) =>
|
||||
new Error(
|
||||
`admin panel refused the bootstrap login it created itself: ${describeLoginFailure(body, error)}\n` +
|
||||
`Порт открыт и /healthz отвечает, но войти в панель нельзя — установка не считается выполненной.`
|
||||
)
|
||||
);
|
||||
|
||||
info(`admin login accepted: ${describeIssuedToken(response)}`);
|
||||
}
|
||||
|
||||
/**
|
||||
* Успех определяется по КОНВЕРТУ, а не по коду HTTP.
|
||||
*
|
||||
* Админка отвечает `200 OK` и на отказ тоже: причина живёт в поле `code`
|
||||
* ответа. Проверка «HTTP 200» приняла бы за успешный вход любой отказ — то есть
|
||||
* ровно ничего бы не проверяла.
|
||||
*
|
||||
* Выданный токен требуется отдельно: `code: 20000` без `accessToken` означал бы
|
||||
* панель, которая пускает и не выдаёт сессию.
|
||||
*/
|
||||
function isSuccessfulLogin(body: string): boolean {
|
||||
return /"code"\s*:\s*20000/.test(body) && /"accessToken"\s*:\s*"[^"]+"/.test(body);
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина отказа БЕЗ тела ответа.
|
||||
*
|
||||
* Тело сюда попасть не может: в ответе успешного входа лежит токен доступа, а
|
||||
* текст этой ошибки уезжает в журнал установки и в diagnostics-бандл, который
|
||||
* операторы пересылают в переписке. Поэтому наружу выдаётся только код ответа.
|
||||
*/
|
||||
function describeLoginFailure(body: string | undefined, error: unknown): string {
|
||||
if (body === undefined) {
|
||||
return `запрос не выполнен: ${String(error)}`;
|
||||
}
|
||||
const code = body.match(/"code"\s*:\s*(\d+)/);
|
||||
if (code) {
|
||||
return `ответ с code=${code[1]} и без токена доступа`;
|
||||
}
|
||||
return "ответ не является конвертом API админки";
|
||||
}
|
||||
|
||||
/** Подтверждение выдачи токена без самого токена. */
|
||||
function describeIssuedToken(body: string): string {
|
||||
const tokenType = body.match(/"tokenType"\s*:\s*"([^"]*)"/);
|
||||
return tokenType ? `выдан токен типа ${tokenType[1]}` : "выдан токен доступа";
|
||||
}
|
||||
|
||||
/**
|
||||
* Установленный бинарник обязан совпадать с версией, замороженной в metadata
|
||||
* пакета. На reconfigure metadata может относиться к другому пакету, поэтому
|
||||
|
||||
Reference in New Issue
Block a user