fix(admin): вход в панель падал на теге правила, пережившего переименование
RC2 на чистом Debian 13 завершался INSTALL EXIT CODE: 0 при полностью недоступной панели. На LoginDto.Username стоял тег `validateStr` — правило с таким именем не регистрировалось: при переименовании в `credentialStr` правка не доехала до одного файла, оставив мёртвую регистрацию и живую ссылку на несуществующее имя. go-playground/validator на неизвестный тег ПАНИКУЕТ при разборе структуры, то есть до всякой проверки логина и пароля, а gin.Recovery превращал панику в HTTP 500 на каждый POST /api/auth/login. Дефект пережил 311 Go-тестов, и это главное, что здесь чинится. Проверялся сам регексп, в обход валидатора, а обработчика входа не касался ни один тест. Очевидная замена не помогла бы: цепочка правил поля обрывается на первом несработавшем, поэтому нулевое DTO отказывает по `required` и до испорченного тега не доходит. Теперь TestEveryValidationTagIsRegistered обходит исходники apps/model/**, вытаскивает каждый тег `validate:"…"` и предъявляет его валидатору отдельно — незарегистрированное правило паникует так же, как в бою, но на сборке. Барьер проверен возвратом исходного тега. Установка тоже не отвечала на вопрос, ради которого проверялась. Smoke считал панель работающей по трём признакам — юнит активен, порт в LISTEN, /healthz отвечает ok, — и все три были истинны. Теперь smoke выполняет настоящий вход bootstrap-учётными данными и требует конверт успеха с непустым токеном: по коду HTTP это неотличимо, админка отвечает 200 OK и на отказ. Отрицательная проба идёт в любом режиме операции и от актуальности пароля не зависит. Рядом лежали три расхождения того же класса, найденные при разборе. Оркестратор не знал контракта, который сам порождает: HY2XS_ADMIN_USER по умолчанию был `admin` — пять символов при минимуме панели в шесть, — и такая установка проходила целиком, создавая учётную запись, под которой невозможно войти. Про одно имя существовало три расходящихся умолчания. Оба значения теперь проверяются при разборе окружения — той стороной, которая их порождает: отказ, пришедший установщику, чинится строкой в hy2xs.env, а неработающий вход на готовом сервере — переустановкой. Панель была строже сервера. Форма входа ограничивала пароль 32 символами при серверном пределе в 64, а форма смены пароля назначала до 64: пароль, назначенный штатной операцией, после этого не вводился. Набор символов на пароле отвергал значение, которое сервер принял бы, — сервер его не ограничивает нигде. Контракт учётных данных объявлен один раз в service/admin_credentials.go, копии в панели и оркестраторе сверяются с ним тестами, читающими Go-исходник. Класс символов логина был записан диапазоном по опечатке: неэкранированный дефис превращал `+-=` в диапазон, впускающий `, - . / 0-9 : ; < =`. С серверным набором это совпадало только потому, что обе стороны несли одну опечатку. Набор записан явно и НЕ сужен — он уже действует на установленных серверах. Визуально: красная рамка отказа обводила не то, что видит оператор. Element Plus рисует состояние ошибки на el-input__wrapper селектором из четырёх классов, а форма входа рисует видимую рамку поля на el-form-item — внутрь поля кладутся иконка, ввод и переключатель видимости — и гасила чужую тень селектором из трёх, проигрывая по специфичности. Рамка ложилась вокруг одного лишь ввода: у логина начиналась после иконки, у пароля обрывалась перед «глазом». Индикация перенесена на элемент, который оператор и видит полем; чужая тень гасится селектором, повторяющим её собственный и добавляющим атрибут scoped-стиля, — конкретностью, а не !important. Остальные формы панели проверены: собственная рамка на el-form-item есть только на форме входа. Заодно: `last_login_at` объявлен в схеме и в entity, а писать его было некому — UpdateAdminLastLoginAt не вызывался ниоткуда. Отметка ставится в service.Login сразу после успешной проверки пароля; отказ записи вход не отменяет, но попадает в журнал. Обработчик входа переехал из controller/peer.go в controller/auth.go: стек в journal указывал на управление пирами. Требование теперь называется, а не сообщается фактом нарушения. «Неверный формат логина» и «Некорректное значение» не давали оператору способа узнать, что от него хотят: набор символов приходит из hy2xs.env и в панели нигде не показан. Фразы форм и серверная причина credential_format перечисляют границы и набор. Гейт сборки run_admin_login_acceptance удерживает барьеры от тихого удаления — по той же причине, что и гейт детектора гонок. Каждое из его утверждений проверено мутационной пробой на реальный отказ; две первые редакции оказались вакуумными и переписаны. Прогнано: go vet + go test ./... , bun test оркестратора (427) и контрактов панели (66), vue-tsc --noEmit, production-сборка frontend, гейт приёмки целиком. `go test -race` не прогонялся — на машине нет C-компилятора, это релизный гейт сборщика. Прогон задокументирован в docs/acceptance/2026-09-04-v1.0.0-rc2-runtime-findings.md.
This commit is contained in:
@@ -2,7 +2,7 @@ import type { RuntimeContext } from "../types/context";
|
||||
import { info } from "../lib/log";
|
||||
import { readText } from "../lib/fs";
|
||||
import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
|
||||
import { HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { ADMIN_LOGIN_PATH, HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
|
||||
import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
|
||||
import { assertEffectiveFirewallIsOurs } from "./firewall";
|
||||
|
||||
@@ -209,6 +209,8 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
);
|
||||
}
|
||||
|
||||
await assertAdminLoginWorks(context);
|
||||
|
||||
await retry(
|
||||
"trafficStats valid secret",
|
||||
10,
|
||||
@@ -244,6 +246,132 @@ export async function smoke(context: RuntimeContext): Promise<void> {
|
||||
await assertEffectiveHysteriaVersion(context);
|
||||
}
|
||||
|
||||
/**
|
||||
* Панель обязана ВПУСКАТЬ, а не просто слушать порт.
|
||||
*
|
||||
* Почему эта проверка появилась. До неё установка отвечала на вопрос «работает
|
||||
* ли панель» тремя фактами: юнит активен, `127.0.0.1:8080` в LISTEN, `/healthz`
|
||||
* отвечает `ok:true`. RC2 доказал, что все три могут быть истинными
|
||||
* одновременно с полностью недоступной панелью: на поле логина стоял тег
|
||||
* несуществующего правила валидации, `POST /api/auth/login` паниковал ещё до
|
||||
* проверки учётных данных, gin.Recovery превращал панику в HTTP 500 — и
|
||||
* установка завершалась `INSTALL EXIT CODE: 0`.
|
||||
*
|
||||
* Разница между «порт открыт» и «оператор может войти» — это весь продукт,
|
||||
* поэтому smoke выполняет НАСТОЯЩИЙ вход теми учётными данными, которые создал
|
||||
* установщик.
|
||||
*
|
||||
* Что здесь важно по деталям:
|
||||
*
|
||||
* - тело собирается JSON.stringify, а не интерполяцией в строку. Пароль
|
||||
* задаёт оператор, и кавычка или обратный слеш в нём иначе сломали бы не
|
||||
* панель, а сам запрос — и проверка объявила бы рабочую установку сломанной;
|
||||
* - обе команды идут через runReadOnlySecret: этот раннер не кладёт команду в
|
||||
* текст ошибки, а команда несёт пароль администратора. Ошибка проверки
|
||||
* уезжает в журнал и в diagnostics-бандл;
|
||||
* - положительная проба выполняется только на install. На reconfigure пароль в
|
||||
* bootstrap-admin.secret устаревает в тот момент, когда оператор сменил его
|
||||
* в панели, и требовать по нему вход значило бы ронять законную операцию;
|
||||
* - отрицательная проба выполняется ВСЕГДА и от актуальности пароля не
|
||||
* зависит. Именно она воспроизводит дефект RC2: заведомо неверные учётные
|
||||
* данные обязаны получить осмысленный отказ, а не 500.
|
||||
*/
|
||||
async function assertAdminLoginWorks(context: RuntimeContext): Promise<void> {
|
||||
const loginUrl = `http://127.0.0.1:${context.config.uiPort}${ADMIN_LOGIN_PATH}`;
|
||||
|
||||
const rejectedPayload = JSON.stringify({
|
||||
username: "hy2xsadmin",
|
||||
pass: "definitely-not-the-admin-password"
|
||||
});
|
||||
const rejectedStatus = await retry(
|
||||
"admin login rejects wrong credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' --data ${rejectedPayload} ${loginUrl}`,
|
||||
(code) => code.trim() === "200",
|
||||
(code, error) =>
|
||||
new Error(
|
||||
`admin login answered HTTP ${code ?? String(error)} for invalid credentials: ` +
|
||||
`панель обязана отвечать конвертом отказа, а HTTP 500 здесь означает, что запрос ` +
|
||||
`не доживает до проверки учётных данных`
|
||||
)
|
||||
);
|
||||
info(`admin login rejects wrong credentials with HTTP ${rejectedStatus.trim()}`);
|
||||
|
||||
if (context.mode !== "install") {
|
||||
return;
|
||||
}
|
||||
|
||||
const adminUser = (
|
||||
await runReadOnlySecret`grep '^ADMIN_USER=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
const adminPassword = (
|
||||
await runReadOnlySecret`grep '^ADMIN_INITIAL_PASSWORD=' ${context.config.bootstrapAdminSecretPath} | head -n1 | cut -d= -f2-`
|
||||
).trim();
|
||||
if (!adminUser) {
|
||||
throw new Error("admin username is empty in bootstrap secret file");
|
||||
}
|
||||
if (!adminPassword) {
|
||||
throw new Error("admin initial password is empty in bootstrap secret file");
|
||||
}
|
||||
|
||||
const payload = JSON.stringify({ username: adminUser, pass: adminPassword });
|
||||
const response = await retry(
|
||||
"admin login with bootstrap credentials",
|
||||
10,
|
||||
1000,
|
||||
async () =>
|
||||
runReadOnlySecret`curl -sS --max-time 5 -X POST -H 'Content-Type: application/json' --data ${payload} ${loginUrl}`,
|
||||
(body) => isSuccessfulLogin(body),
|
||||
(body, error) =>
|
||||
new Error(
|
||||
`admin panel refused the bootstrap login it created itself: ${describeLoginFailure(body, error)}\n` +
|
||||
`Порт открыт и /healthz отвечает, но войти в панель нельзя — установка не считается выполненной.`
|
||||
)
|
||||
);
|
||||
|
||||
info(`admin login accepted: ${describeIssuedToken(response)}`);
|
||||
}
|
||||
|
||||
/**
|
||||
* Успех определяется по КОНВЕРТУ, а не по коду HTTP.
|
||||
*
|
||||
* Админка отвечает `200 OK` и на отказ тоже: причина живёт в поле `code`
|
||||
* ответа. Проверка «HTTP 200» приняла бы за успешный вход любой отказ — то есть
|
||||
* ровно ничего бы не проверяла.
|
||||
*
|
||||
* Выданный токен требуется отдельно: `code: 20000` без `accessToken` означал бы
|
||||
* панель, которая пускает и не выдаёт сессию.
|
||||
*/
|
||||
function isSuccessfulLogin(body: string): boolean {
|
||||
return /"code"\s*:\s*20000/.test(body) && /"accessToken"\s*:\s*"[^"]+"/.test(body);
|
||||
}
|
||||
|
||||
/**
|
||||
* Причина отказа БЕЗ тела ответа.
|
||||
*
|
||||
* Тело сюда попасть не может: в ответе успешного входа лежит токен доступа, а
|
||||
* текст этой ошибки уезжает в журнал установки и в diagnostics-бандл, который
|
||||
* операторы пересылают в переписке. Поэтому наружу выдаётся только код ответа.
|
||||
*/
|
||||
function describeLoginFailure(body: string | undefined, error: unknown): string {
|
||||
if (body === undefined) {
|
||||
return `запрос не выполнен: ${String(error)}`;
|
||||
}
|
||||
const code = body.match(/"code"\s*:\s*(\d+)/);
|
||||
if (code) {
|
||||
return `ответ с code=${code[1]} и без токена доступа`;
|
||||
}
|
||||
return "ответ не является конвертом API админки";
|
||||
}
|
||||
|
||||
/** Подтверждение выдачи токена без самого токена. */
|
||||
function describeIssuedToken(body: string): string {
|
||||
const tokenType = body.match(/"tokenType"\s*:\s*"([^"]*)"/);
|
||||
return tokenType ? `выдан токен типа ${tokenType[1]}` : "выдан токен доступа";
|
||||
}
|
||||
|
||||
/**
|
||||
* Установленный бинарник обязан совпадать с версией, замороженной в metadata
|
||||
* пакета. На reconfigure metadata может относиться к другому пакету, поэтому
|
||||
|
||||
Reference in New Issue
Block a user