fix(install): сделать границу «хост изменён» настоящим инвариантом
fatal_pre_apply мог означать «хост уже изменён». install-state.json пишется сразу после успешного preflight, до установки пакетов, но классификация отказа его не учитывала. Падение apt-get объявлялось как «на сервере ничего не изменено»: откат и обработка состояния пропускались, а маркер оставался на диске и ломал следующую установку по clean-host контракту. Ownership-флаги переформулированы с «шаг успешно завершился» на «операция могла начать менять систему» и взводятся перед мутирующим вызовом: apt-get умеет изменить систему и упасть. fatal_pre_apply теперь недостижим ни при одном взведённом флаге, включая stateWritten. Read-only guard PHASE 0 можно было обойти. Guard стоял на writeText, writeTextAtomic, runVisible, runHidden и runRawVisible, но не на универсальном run, через который в коде проходили и наблюдение (ss, systemctl is-active), и настоящие мутации (useradd, install -d, mkdir, cp -a, tar). Универсального раннера больше нет: runReadOnly/runReadOnlySecret без guard'а и runMutating* под guard'ом, выбор — явное решение на месте вызова. clean-host не замечал часть того, что удаляет purge. /var/lib/hysteria с ACME-состоянием Hysteria, /var/log/hy2xs, /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator не были маркерами: сервер, где остался только старый runtime-state Hysteria, проходил проверку и получал свежую установку поверх чужого состояния. Пути, которые install.sh создаёт между фазами, помечены как созданные установщиком, иначе PHASE 1 отказала бы на собственном оркестраторе. purge-v0.sh --keep-hysteria-binary противоречил установщику: скрипт сохранял /usr/local/bin/hysteria и сообщал «хост чист для установки HY2XS v1», хотя clean-host считает этот бинарник legacy-маркером. Флаг удалён. DNS проверялся на существование A-записи, но не на то, куда она ведёт. После принудительной смены IPv4 провайдером doctor отвечал успехом, хотя клиентская ссылка отправляла людей на чужую машину. Проверялся при этом HY2XS_DOMAIN, тогда как в hysteria2:// уезжает HY2XS_PUBLIC_HOST. Добавлен инвариант публичного endpoint: A-записи обязаны принадлежать множеству публичных IPv4, назначенных интерфейсам этого сервера. Проверка живёт в общем preflight, поэтому действует в install, reconfigure и doctor. Адрес определяется локально, без внешних сервисов определения IP. Строгость управляется HY2XS_PUBLIC_ENDPOINT_POLICY (strict по умолчанию); отсутствие A-записи фатально при любом значении. TS-санитайзер приведён к той же формулировке, что и Go: URL-значение определяется по самому значению, а не по имени ключа.
This commit is contained in:
@@ -55,20 +55,74 @@ describe("clean-host контракт", () => {
|
||||
"/var/lib/hy2xs/install-state.json",
|
||||
"/etc/hy2xs/bootstrap-admin.secret",
|
||||
"/usr/local/lib/hy2xs/package",
|
||||
"/usr/local/lib/hy2xs",
|
||||
"/usr/local/bin/hy2xs-orchestrator",
|
||||
"/etc/hysteria/config.yaml",
|
||||
"/usr/local/bin/hysteria",
|
||||
"/var/lib/hysteria",
|
||||
"/etc/nftables.d/hy2xs.nft",
|
||||
"hy2xs-admin.service",
|
||||
"hysteria-server.service",
|
||||
"h-ui.service",
|
||||
"/usr/local/h-ui",
|
||||
config.installDir,
|
||||
config.dataDir
|
||||
config.dataDir,
|
||||
config.logDir
|
||||
]) {
|
||||
expect(targets).toContain(expected);
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* purge-v0.sh и clean-host обязаны описывать одну и ту же границу.
|
||||
*
|
||||
* Регрессия: purge удалял /var/lib/hysteria, /var/log/hy2xs,
|
||||
* /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator, а clean-host их
|
||||
* не проверял. Сервер, где остался только старый ACME-state Hysteria,
|
||||
* проходил проверку и получал свежую установку поверх чужого runtime.
|
||||
*/
|
||||
test("всё, что удаляет purge-v0.sh, проверяется clean-host контрактом", () => {
|
||||
const purgedPaths = [
|
||||
"/etc/hy2xs",
|
||||
"/etc/hysteria",
|
||||
"/var/lib/hy2xs",
|
||||
"/var/lib/hy2xs-admin",
|
||||
"/var/lib/hysteria",
|
||||
"/var/log/hy2xs",
|
||||
"/opt/hy2xs-admin",
|
||||
"/usr/local/lib/hy2xs",
|
||||
"/usr/local/h-ui",
|
||||
"/usr/local/bin/hy2xs-orchestrator",
|
||||
"/usr/local/bin/hysteria",
|
||||
"/etc/nftables.d/hy2xs.nft"
|
||||
];
|
||||
const targets = legacyMarkersFor(config, "bootstrap").map((marker) => marker.target);
|
||||
|
||||
for (const purged of purgedPaths) {
|
||||
const covered = targets.some((target) => target === purged || target.startsWith(`${purged}/`));
|
||||
expect(covered, `purge удаляет ${purged}, но clean-host его не проверяет`).toBe(true);
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* Пути, которые install.sh законно создаёт между фазами, обязаны быть
|
||||
* маркером в PHASE 0 и перестать им быть в PHASE 1 — иначе установка
|
||||
* отказала бы на собственном, только что разложенном оркестраторе.
|
||||
*/
|
||||
test("пути, созданные install.sh между фазами, не блокируют PHASE 1", async () => {
|
||||
for (const target of [
|
||||
"/usr/local/lib/hy2xs",
|
||||
"/usr/local/lib/hy2xs/package",
|
||||
"/usr/local/bin/hy2xs-orchestrator"
|
||||
]) {
|
||||
const probe = probeWith([target]);
|
||||
await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(
|
||||
/предыдущая или посторонняя установка/
|
||||
);
|
||||
await expect(assertCleanHost(config, "install", probe)).resolves.toBeUndefined();
|
||||
}
|
||||
});
|
||||
|
||||
test("пути из конфигурации попадают в список, а не только дефолтные", () => {
|
||||
const custom = baselineConfig({
|
||||
HY2XS_INSTALL_DIR: "/srv/hy2xs-app",
|
||||
|
||||
@@ -138,13 +138,13 @@ describe("подмены в конфиге обнаруживаются", () =>
|
||||
|
||||
test("auth url указывает на другой порт", () => {
|
||||
const { config, yaml } = renderFor();
|
||||
const tampered = yaml.replace("http://127.0.0.1:8080/hui", "http://127.0.0.1:9090/hui");
|
||||
const tampered = yaml.replace("http://127.0.0.1:8080/", "http://127.0.0.1:9090/");
|
||||
expect(() => assertHysteriaConfigMatchesProfile(tampered, config)).toThrow(/auth\.http\.url must be/);
|
||||
});
|
||||
|
||||
test("auth url указывает на другой путь", () => {
|
||||
const { config, yaml } = renderFor();
|
||||
const tampered = yaml.replace("/hui/hysteria2/auth", "/hui/hysteria2/authorize");
|
||||
const tampered = yaml.replace("/internal/hysteria/auth", "/internal/hysteria/authorize");
|
||||
expect(() => assertHysteriaConfigMatchesProfile(tampered, config)).toThrow(/auth\.http\.url must be/);
|
||||
});
|
||||
|
||||
@@ -156,7 +156,7 @@ describe("подмены в конфиге обнаруживаются", () =>
|
||||
|
||||
test("сообщение об ошибке auth url не печатает сам токен", () => {
|
||||
const { config, yaml } = renderFor();
|
||||
const tampered = yaml.replace("http://127.0.0.1:8080/hui", "http://127.0.0.1:9090/hui");
|
||||
const tampered = yaml.replace("http://127.0.0.1:8080/", "http://127.0.0.1:9090/");
|
||||
try {
|
||||
assertHysteriaConfigMatchesProfile(tampered, config);
|
||||
throw new Error("expected assertion to fail");
|
||||
|
||||
@@ -10,6 +10,7 @@ export const BASELINE_ENV_LINES: readonly string[] = [
|
||||
"HY2XS_IPV6_ENABLED=false",
|
||||
"HY2XS_DOMAIN=vpn.example.com",
|
||||
"HY2XS_DNS_AAAA_POLICY=strict",
|
||||
"HY2XS_PUBLIC_ENDPOINT_POLICY=strict",
|
||||
"HY2XS_PUBLIC_HOST=vpn.example.com",
|
||||
"HY2XS_PUBLIC_PORT=443",
|
||||
"HY2XS_SSH_PORT=2323",
|
||||
|
||||
@@ -2,18 +2,29 @@ import { afterEach, describe, expect, test } from "bun:test";
|
||||
import { classifyFailure } from "../src/commands/install";
|
||||
import { disableReadOnlyGuard, enableReadOnlyGuard, isReadOnlyGuardActive } from "../src/lib/guard";
|
||||
import { writeText, writeTextAtomic } from "../src/lib/fs";
|
||||
import { runHidden, runRawVisible, runVisible } from "../src/lib/process";
|
||||
import {
|
||||
runMutating,
|
||||
runMutatingHidden,
|
||||
runMutatingRaw,
|
||||
runMutatingVisible,
|
||||
runReadOnly,
|
||||
runReadOnlySecret
|
||||
} from "../src/lib/process";
|
||||
|
||||
type Ownership = Parameters<typeof classifyFailure>[0];
|
||||
|
||||
function ownership(overrides: Partial<Ownership> = {}): Ownership {
|
||||
return {
|
||||
stateWritten: false,
|
||||
depsInstalled: false,
|
||||
filesystemPrepared: false,
|
||||
unitsDeployed: false,
|
||||
depsTouched: false,
|
||||
filesystemTouched: false,
|
||||
uiTouched: false,
|
||||
hysteriaTouched: false,
|
||||
configTouched: false,
|
||||
unitsTouched: false,
|
||||
firewallTouched: false,
|
||||
postInstallWritten: false,
|
||||
postInstallTouched: false,
|
||||
bootstrapSecretTouched: false,
|
||||
servicesStarted: false,
|
||||
...overrides
|
||||
};
|
||||
@@ -38,9 +49,35 @@ describe("read-only guard (PHASE 0)", () => {
|
||||
|
||||
test("под guard'ом мутирующие раннеры недоступны", async () => {
|
||||
enableReadOnlyGuard("test phase");
|
||||
await expect(runVisible`true`).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runHidden`true`).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runRawVisible("true")).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runMutating`true`).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runMutatingVisible`true`).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runMutatingHidden`true`).rejects.toThrow(/read-only guard violation/);
|
||||
await expect(runMutatingRaw("true")).rejects.toThrow(/read-only guard violation/);
|
||||
});
|
||||
|
||||
// Регрессия: раньше существовал один универсальный `run`, через который
|
||||
// мутирующие команды (useradd, install -d, mkdir) проходили мимо guard'а.
|
||||
// Read-only раннеры обязаны работать под guard'ом, мутирующие — нет.
|
||||
test("read-only раннеры под guard'ом не блокируются", async () => {
|
||||
enableReadOnlyGuard("test phase");
|
||||
// Проверяется guard, а не наличие POSIX-shell: на машине разработчика без
|
||||
// `sh` вызов упадёт по ENOENT, и это тоже доказывает, что guard его
|
||||
// пропустил. Значение имеет только отсутствие guard violation.
|
||||
for (const call of [
|
||||
() => runReadOnly`printf hy2xs`,
|
||||
() => runReadOnlySecret`printf hy2xs`
|
||||
]) {
|
||||
try {
|
||||
expect(await call()).toBe("hy2xs");
|
||||
} catch (error) {
|
||||
expect(String(error)).not.toMatch(/read-only guard violation/);
|
||||
}
|
||||
}
|
||||
});
|
||||
|
||||
test("сообщение мутирующего раннера называет операцию", async () => {
|
||||
enableReadOnlyGuard("the read-only install preflight (PHASE 0)");
|
||||
await expect(runMutating`mktemp -d`).rejects.toThrow(/runMutating\(mktemp -d\).*PHASE 0/s);
|
||||
});
|
||||
|
||||
test("сообщение называет операцию и фазу", async () => {
|
||||
@@ -66,26 +103,64 @@ describe("классификация отказа установки", () => {
|
||||
expect(classifyFailure(ownership(), "preflight_ok")).toBe("fatal_pre_apply");
|
||||
});
|
||||
|
||||
test("установленные пакеты уже делают отказ post-apply", () => {
|
||||
expect(classifyFailure(ownership({ depsInstalled: true }), "preflight_ok")).toBe("fatal_post_apply");
|
||||
// Регрессия: install-state.json пишется сразу после успешного preflight, до
|
||||
// installDeps. Пока classifyFailure его не учитывал, падение apt-get
|
||||
// объявлялось «на сервере ничего не изменено», rollback пропускался, а
|
||||
// /var/lib/hy2xs/install-state.json оставался на хосте и ломал следующую
|
||||
// установку по clean-host контракту.
|
||||
test("записанный install-state сам по себе делает отказ post-apply", () => {
|
||||
expect(classifyFailure(ownership({ stateWritten: true }), "preflight_ok")).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
test("развёрнутые юниты без firewall — post-apply", () => {
|
||||
expect(classifyFailure(ownership({ filesystemPrepared: true, unitsDeployed: true }), "units_deployed")).toBe(
|
||||
"fatal_post_apply"
|
||||
);
|
||||
test("падение installDeps после записи состояния — post-apply", () => {
|
||||
expect(
|
||||
classifyFailure(ownership({ stateWritten: true, depsTouched: true }), "preflight_ok")
|
||||
).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
// Флаг взводится ПЕРЕД шагом, поэтому частично применённый apt-get уже
|
||||
// считается изменением хоста, даже если installDeps не завершился.
|
||||
test("начатая установка пакетов уже делает отказ post-apply", () => {
|
||||
expect(classifyFailure(ownership({ depsTouched: true }), "preflight_ok")).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
test("каждая мутирующая стадия до firewall даёт post-apply", () => {
|
||||
const stages = [
|
||||
"filesystemTouched",
|
||||
"uiTouched",
|
||||
"hysteriaTouched",
|
||||
"configTouched",
|
||||
"unitsTouched"
|
||||
] as const;
|
||||
for (const stage of stages) {
|
||||
expect(classifyFailure(ownership({ [stage]: true }), "installing")).toBe("fatal_post_apply");
|
||||
}
|
||||
});
|
||||
|
||||
test("тронутый firewall классифицируется как firewall failure", () => {
|
||||
expect(
|
||||
classifyFailure(ownership({ unitsDeployed: true, firewallTouched: true }), "firewall_applied")
|
||||
classifyFailure(ownership({ unitsTouched: true, firewallTouched: true }), "firewall_applied")
|
||||
).toBe("firewall_connectivity_failure");
|
||||
});
|
||||
|
||||
test("после записи post-install env отказ — postinstall validation", () => {
|
||||
expect(
|
||||
classifyFailure(
|
||||
ownership({ unitsDeployed: true, firewallTouched: true, postInstallWritten: true }),
|
||||
ownership({ unitsTouched: true, firewallTouched: true, postInstallTouched: true }),
|
||||
"postinstall_env_written"
|
||||
)
|
||||
).toBe("postinstall_validation_failure");
|
||||
});
|
||||
|
||||
test("отказ на bootstrap-секрете тоже postinstall validation", () => {
|
||||
expect(
|
||||
classifyFailure(
|
||||
ownership({
|
||||
unitsTouched: true,
|
||||
firewallTouched: true,
|
||||
postInstallTouched: true,
|
||||
bootstrapSecretTouched: true
|
||||
}),
|
||||
"postinstall_env_written"
|
||||
)
|
||||
).toBe("postinstall_validation_failure");
|
||||
@@ -93,9 +168,10 @@ describe("классификация отказа установки", () => {
|
||||
|
||||
test("после старта сервисов различаются smoke и service failure", () => {
|
||||
const started = ownership({
|
||||
unitsDeployed: true,
|
||||
unitsTouched: true,
|
||||
firewallTouched: true,
|
||||
postInstallWritten: true,
|
||||
postInstallTouched: true,
|
||||
bootstrapSecretTouched: true,
|
||||
servicesStarted: true
|
||||
});
|
||||
expect(classifyFailure(started, "smoke_running")).toBe("smoke_readiness_timeout");
|
||||
@@ -107,6 +183,14 @@ describe("классификация отказа установки", () => {
|
||||
// preflight-ошибка со словом "nftables" приводила к откату чужого firewall.
|
||||
test("текст ошибки не влияет на классификацию", () => {
|
||||
expect(classifyFailure(ownership(), "installing")).toBe("fatal_pre_apply");
|
||||
expect(classifyFailure(ownership({ depsInstalled: true }), "deps_ok")).toBe("fatal_post_apply");
|
||||
expect(classifyFailure(ownership({ depsTouched: true }), "deps_ok")).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
// Единственный способ получить fatal_pre_apply — не тронуть вообще ничего.
|
||||
test("fatal_pre_apply невозможен ни при одном взведённом флаге", () => {
|
||||
const empty = ownership();
|
||||
for (const key of Object.keys(empty) as (keyof typeof empty)[]) {
|
||||
expect(classifyFailure(ownership({ [key]: true }), "installing")).not.toBe("fatal_pre_apply");
|
||||
}
|
||||
});
|
||||
});
|
||||
|
||||
@@ -0,0 +1,270 @@
|
||||
import { describe, expect, test } from "bun:test";
|
||||
import {
|
||||
checkPublicEndpoint,
|
||||
getLocalPublicIpv4s,
|
||||
isRoutablePublicIpv4,
|
||||
type EndpointProbe
|
||||
} from "../src/steps/networkEndpoint";
|
||||
import { assertPublicEndpoint } from "../src/steps/preflight";
|
||||
import { baselineConfig } from "./fixtures";
|
||||
|
||||
/**
|
||||
* Проба полностью подменяет и DNS, и список локальных адресов: тест не имеет
|
||||
* права зависеть ни от сети, ни от интерфейсов машины разработчика.
|
||||
*/
|
||||
function probe(options: { local: string[]; dns?: Record<string, string[] | "ENODATA"> }): EndpointProbe {
|
||||
return {
|
||||
async resolve4(hostname) {
|
||||
const records = options.dns?.[hostname];
|
||||
if (records === undefined || records === "ENODATA") {
|
||||
const error = new Error(`queryA ENODATA ${hostname}`) as Error & { code?: string };
|
||||
error.code = "ENODATA";
|
||||
throw error;
|
||||
}
|
||||
return records;
|
||||
},
|
||||
getLocalPublicIpv4s: () => options.local
|
||||
};
|
||||
}
|
||||
|
||||
const CURRENT = "185.10.20.27";
|
||||
const STALE = "185.10.20.10";
|
||||
const SECOND = "185.10.20.28";
|
||||
|
||||
describe("классификация IPv4", () => {
|
||||
test("публичные адреса распознаются", () => {
|
||||
for (const ip of ["1.1.1.1", "8.8.8.8", "185.10.20.27", "203.0.113.5"]) {
|
||||
expect(isRoutablePublicIpv4(ip)).toBe(true);
|
||||
}
|
||||
});
|
||||
|
||||
test("непубличные диапазоны исключаются", () => {
|
||||
for (const ip of [
|
||||
"0.0.0.0",
|
||||
"10.1.2.3",
|
||||
"100.64.0.1",
|
||||
"127.0.0.1",
|
||||
"169.254.1.1",
|
||||
"172.16.0.1",
|
||||
"172.31.255.254",
|
||||
"192.168.1.1",
|
||||
"224.0.0.1",
|
||||
"240.0.0.1",
|
||||
"255.255.255.255"
|
||||
]) {
|
||||
expect(isRoutablePublicIpv4(ip), `${ip} должен быть исключён`).toBe(false);
|
||||
}
|
||||
});
|
||||
|
||||
test("172.32.0.0 уже вне приватного диапазона", () => {
|
||||
expect(isRoutablePublicIpv4("172.32.0.1")).toBe(true);
|
||||
expect(isRoutablePublicIpv4("172.15.255.255")).toBe(true);
|
||||
});
|
||||
|
||||
test("не-IPv4 не проходит", () => {
|
||||
for (const value of ["", "vpn.example.com", "2001:db8::1", "1.2.3", "1.2.3.256"]) {
|
||||
expect(isRoutablePublicIpv4(value)).toBe(false);
|
||||
}
|
||||
});
|
||||
|
||||
test("перечисление локальных адресов не падает на реальной машине", () => {
|
||||
const local = getLocalPublicIpv4s();
|
||||
expect(Array.isArray(local)).toBe(true);
|
||||
for (const ip of local) {
|
||||
expect(isRoutablePublicIpv4(ip)).toBe(true);
|
||||
}
|
||||
});
|
||||
});
|
||||
|
||||
describe("инвариант публичного endpoint", () => {
|
||||
const config = baselineConfig();
|
||||
|
||||
test("A-запись совпадает с текущим публичным IPv4 — PASS", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(0);
|
||||
});
|
||||
|
||||
// Основной сценарий: провайдер принудительно сменил IP, DNS не обновили.
|
||||
test("A-запись указывает на старый IPv4 — FAIL с обоими адресами в тексте", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("mismatch");
|
||||
expect(problems[0].message).toContain(STALE);
|
||||
expect(problems[0].message).toContain(CURRENT);
|
||||
expect(problems[0].message).toContain("Update the DNS A record");
|
||||
});
|
||||
|
||||
test("A-запись отсутствует — FAIL", async () => {
|
||||
const problems = await checkPublicEndpoint(config, probe({ local: [CURRENT], dns: {} }));
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("resolution");
|
||||
expect(problems[0].message).toContain("has no A-record");
|
||||
});
|
||||
|
||||
// Единственный правильный адрес рядом с чужим — это второй backend за тем
|
||||
// же именем. Для single-host профиля это ошибка, а не балансировка.
|
||||
test("A = текущий + чужой — FAIL", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT, "1.1.1.1"] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("mismatch");
|
||||
});
|
||||
|
||||
test("у сервера два публичных IP, DNS использует один — PASS", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [CURRENT, SECOND], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(0);
|
||||
});
|
||||
|
||||
test("PUBLIC_HOST как правильный IPv4-литерал — PASS", async () => {
|
||||
const literal = baselineConfig({ HY2XS_PUBLIC_HOST: CURRENT, HY2XS_DOMAIN: "vpn.example.com" });
|
||||
const problems = await checkPublicEndpoint(
|
||||
literal,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(0);
|
||||
});
|
||||
|
||||
test("PUBLIC_HOST как устаревший IPv4-литерал — FAIL", async () => {
|
||||
const literal = baselineConfig({ HY2XS_PUBLIC_HOST: STALE, HY2XS_DOMAIN: "vpn.example.com" });
|
||||
const problems = await checkPublicEndpoint(
|
||||
literal,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].message).toContain(STALE);
|
||||
});
|
||||
|
||||
/**
|
||||
* Ключевой пробел исходной проверки: проверялся HY2XS_DOMAIN, а в
|
||||
* hysteria2:// уходит HY2XS_PUBLIC_HOST.
|
||||
*/
|
||||
test("DOMAIN в порядке, но отдельный PUBLIC_HOST устарел — FAIL", async () => {
|
||||
const split = baselineConfig({
|
||||
HY2XS_DOMAIN: "tls.example.com",
|
||||
HY2XS_PUBLIC_HOST: "vpn.example.com"
|
||||
});
|
||||
const problems = await checkPublicEndpoint(
|
||||
split,
|
||||
probe({
|
||||
local: [CURRENT],
|
||||
dns: { "tls.example.com": [CURRENT], "vpn.example.com": [STALE] }
|
||||
})
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].message).toContain("HY2XS_PUBLIC_HOST");
|
||||
});
|
||||
|
||||
test("PUBLIC_HOST в порядке, но отдельный TLS-домен устарел — FAIL", async () => {
|
||||
const split = baselineConfig({
|
||||
HY2XS_DOMAIN: "tls.example.com",
|
||||
HY2XS_PUBLIC_HOST: "vpn.example.com"
|
||||
});
|
||||
const problems = await checkPublicEndpoint(
|
||||
split,
|
||||
probe({
|
||||
local: [CURRENT],
|
||||
dns: { "tls.example.com": [STALE], "vpn.example.com": [CURRENT] }
|
||||
})
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].message).toContain("HY2XS_DOMAIN");
|
||||
});
|
||||
|
||||
test("совпадающие DOMAIN и PUBLIC_HOST проверяются один раз", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
});
|
||||
|
||||
test("на сервере нет ни одного публичного IPv4 — FAIL", async () => {
|
||||
const problems = await checkPublicEndpoint(
|
||||
config,
|
||||
probe({ local: [], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("no_local_address");
|
||||
});
|
||||
|
||||
// Регрессия: пока резолв выполнялся только после проверки локального
|
||||
// множества, сервер за NAT скрывал отсутствие A-записи.
|
||||
test("отсутствие A-записи видно даже без локального публичного IPv4", async () => {
|
||||
const problems = await checkPublicEndpoint(config, probe({ local: [], dns: {} }));
|
||||
expect(problems.map((problem) => problem.kind)).toEqual(["resolution", "no_local_address"]);
|
||||
});
|
||||
|
||||
test("без локального множества не возникает каскада mismatch по каждому имени", async () => {
|
||||
const split = baselineConfig({
|
||||
HY2XS_DOMAIN: "tls.example.com",
|
||||
HY2XS_PUBLIC_HOST: "vpn.example.com"
|
||||
});
|
||||
const problems = await checkPublicEndpoint(
|
||||
split,
|
||||
probe({ local: [], dns: { "tls.example.com": [CURRENT], "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("no_local_address");
|
||||
});
|
||||
});
|
||||
|
||||
describe("HY2XS_PUBLIC_ENDPOINT_POLICY", () => {
|
||||
test("strict — расхождение останавливает операцию", async () => {
|
||||
const strict = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "strict" });
|
||||
await expect(
|
||||
assertPublicEndpoint(strict, probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } }))
|
||||
).rejects.toThrow(/DNS IPv4 mismatch/);
|
||||
});
|
||||
|
||||
test("strict — значение по умолчанию", async () => {
|
||||
const implicit = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: null });
|
||||
expect(implicit.publicEndpointPolicy).toBe("strict");
|
||||
await expect(
|
||||
assertPublicEndpoint(implicit, probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } }))
|
||||
).rejects.toThrow(/DNS IPv4 mismatch/);
|
||||
});
|
||||
|
||||
test("warn — расхождение пропускается", async () => {
|
||||
const warn = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "warn" });
|
||||
await expect(
|
||||
assertPublicEndpoint(warn, probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } }))
|
||||
).resolves.toBeUndefined();
|
||||
});
|
||||
|
||||
test("off — сравнение не выполняется", async () => {
|
||||
const off = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "off" });
|
||||
await expect(
|
||||
assertPublicEndpoint(off, probe({ local: [], dns: { "vpn.example.com": [STALE] } }))
|
||||
).resolves.toBeUndefined();
|
||||
await expect(
|
||||
assertPublicEndpoint(off, probe({ local: [CURRENT], dns: { "vpn.example.com": [STALE] } }))
|
||||
).resolves.toBeUndefined();
|
||||
});
|
||||
|
||||
// Ослаблять нечего: имя без A-записи не работает ни в какой топологии.
|
||||
test("отсутствие A-записи фатально при любой политике", async () => {
|
||||
for (const policy of ["strict", "warn", "off"]) {
|
||||
const config = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: policy });
|
||||
await expect(
|
||||
assertPublicEndpoint(config, probe({ local: [CURRENT], dns: {} }))
|
||||
).rejects.toThrow(/has no A-record/);
|
||||
}
|
||||
});
|
||||
|
||||
test("неизвестное значение политики отклоняется", () => {
|
||||
expect(() => baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "maybe" })).toThrow(
|
||||
/invalid HY2XS_PUBLIC_ENDPOINT_POLICY/
|
||||
);
|
||||
});
|
||||
});
|
||||
@@ -25,7 +25,7 @@ acme:
|
||||
auth:
|
||||
type: http
|
||||
http:
|
||||
url: http://127.0.0.1:8080/hui/hysteria2/auth?access_token=${MACHINE_TOKEN}
|
||||
url: http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}
|
||||
insecure: false
|
||||
|
||||
obfs:
|
||||
@@ -61,7 +61,7 @@ describe("редакция серверного конфига", () => {
|
||||
expect(parsed.listen).toBe("0.0.0.0:443");
|
||||
const auth = parsed.auth as Record<string, unknown>;
|
||||
const http = auth.http as Record<string, unknown>;
|
||||
expect(String(http.url)).toContain("127.0.0.1:8080/hui/hysteria2/auth");
|
||||
expect(String(http.url)).toContain("127.0.0.1:8080/internal/hysteria/auth");
|
||||
// В query-параметре маркер приходит percent-encoded — так же, как это
|
||||
// делает Go-санитайзер админки: результат обязан остаться валидным URL.
|
||||
expect(String(http.url)).toContain(encodeURIComponent(REDACTED));
|
||||
@@ -99,6 +99,45 @@ describe("редакция серверного конфига", () => {
|
||||
expect(dns.name).toBe("cloudflare");
|
||||
});
|
||||
|
||||
// Паритет с Go-санитайзером админки: URL-значение определяется по самому
|
||||
// значению, а не по имени ключа. Обе реализации описывают один контракт и
|
||||
// не имеют права расходиться.
|
||||
test("URL под произвольным именем ключа теряет секреты, но сохраняет адрес", () => {
|
||||
const yaml =
|
||||
"future:\n" +
|
||||
" endpoint: https://svc-user:svc-p4ss@relay.example.com/?access_token=endpoint-token\n" +
|
||||
" mirrors:\n" +
|
||||
" - https://mirror-user:mirror-p4ss@mirror.example.com/pull\n";
|
||||
const parsed = Bun.YAML.parse(redactYaml(yaml)) as Record<string, unknown>;
|
||||
const future = parsed.future as Record<string, unknown>;
|
||||
|
||||
const endpoint = String(future.endpoint);
|
||||
expect(endpoint).toContain("relay.example.com");
|
||||
expect(endpoint).not.toContain("svc-p4ss");
|
||||
expect(endpoint).not.toContain("endpoint-token");
|
||||
|
||||
const mirrors = future.mirrors as string[];
|
||||
expect(mirrors).toHaveLength(1);
|
||||
expect(mirrors[0]).toContain("mirror.example.com");
|
||||
expect(mirrors[0]).not.toContain("mirror-p4ss");
|
||||
});
|
||||
|
||||
test("не-URL скаляры проходят редакцию без изменений", () => {
|
||||
const yaml =
|
||||
"bandwidth:\n up: 50 mbps\n down: 50 mbps\n" +
|
||||
"quic:\n maxIdleTimeout: 30s\n initStreamReceiveWindow: 8388608\n" +
|
||||
"outbounds:\n - addr: 10.0.0.1:1080\n";
|
||||
const parsed = Bun.YAML.parse(redactYaml(yaml)) as Record<string, unknown>;
|
||||
const bandwidth = parsed.bandwidth as Record<string, unknown>;
|
||||
const quic = parsed.quic as Record<string, unknown>;
|
||||
const outbounds = parsed.outbounds as Record<string, unknown>[];
|
||||
|
||||
expect(bandwidth.up).toBe("50 mbps");
|
||||
expect(quic.maxIdleTimeout).toBe("30s");
|
||||
expect(quic.initStreamReceiveWindow).toBe(8388608);
|
||||
expect(outbounds[0].addr).toBe("10.0.0.1:1080");
|
||||
});
|
||||
|
||||
test("невалидный YAML не роняет редакцию и всё равно чистится", () => {
|
||||
const broken = `auth:\n http:\n url: http://127.0.0.1:8080/x?access_token=${MACHINE_TOKEN}\n\t bad-tab: [`;
|
||||
const redacted = redactYaml(broken);
|
||||
@@ -116,7 +155,7 @@ describe("редакция env-артефактов", () => {
|
||||
const POST_INSTALL = [
|
||||
"PACKAGE_VERSION=1.0.0",
|
||||
"HY2_AUTH_MODE=http",
|
||||
`HY2_AUTH_URL=http://127.0.0.1:8080/hui/hysteria2/auth?access_token=${MACHINE_TOKEN}`,
|
||||
`HY2_AUTH_URL=http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}`,
|
||||
`HY2_OBFS_PASSWORD=${OBFS_PASSWORD}`,
|
||||
"HY2_PORT=443"
|
||||
].join("\n");
|
||||
@@ -126,7 +165,7 @@ describe("редакция env-артефактов", () => {
|
||||
test("секрет внутри URL-значения вырезается, даже если имя ключа несекретное", () => {
|
||||
const redacted = redactEnv(POST_INSTALL);
|
||||
expect(redacted).not.toContain(MACHINE_TOKEN);
|
||||
expect(redacted).toContain("HY2_AUTH_URL=http://127.0.0.1:8080/hui/hysteria2/auth");
|
||||
expect(redacted).toContain("HY2_AUTH_URL=http://127.0.0.1:8080/internal/hysteria/auth");
|
||||
});
|
||||
|
||||
test("ключи-секреты вырезаются по имени", () => {
|
||||
|
||||
@@ -129,7 +129,7 @@ describe("шаблон", () => {
|
||||
|
||||
test("auth URL содержит machine access token", () => {
|
||||
expect(render()).toContain(
|
||||
"/hui/hysteria2/auth?access_token=traffic-stats-secret"
|
||||
"/internal/hysteria/auth?access_token=traffic-stats-secret"
|
||||
);
|
||||
});
|
||||
|
||||
|
||||
Reference in New Issue
Block a user