fix(install): сделать границу «хост изменён» настоящим инвариантом

fatal_pre_apply мог означать «хост уже изменён». install-state.json пишется
сразу после успешного preflight, до установки пакетов, но классификация
отказа его не учитывала. Падение apt-get объявлялось как «на сервере ничего
не изменено»: откат и обработка состояния пропускались, а маркер оставался на
диске и ломал следующую установку по clean-host контракту.

Ownership-флаги переформулированы с «шаг успешно завершился» на «операция
могла начать менять систему» и взводятся перед мутирующим вызовом: apt-get
умеет изменить систему и упасть. fatal_pre_apply теперь недостижим ни при
одном взведённом флаге, включая stateWritten.

Read-only guard PHASE 0 можно было обойти. Guard стоял на writeText,
writeTextAtomic, runVisible, runHidden и runRawVisible, но не на универсальном
run, через который в коде проходили и наблюдение (ss, systemctl is-active), и
настоящие мутации (useradd, install -d, mkdir, cp -a, tar). Универсального
раннера больше нет: runReadOnly/runReadOnlySecret без guard'а и runMutating*
под guard'ом, выбор — явное решение на месте вызова.

clean-host не замечал часть того, что удаляет purge. /var/lib/hysteria с
ACME-состоянием Hysteria, /var/log/hy2xs, /usr/local/lib/hy2xs и
/usr/local/bin/hy2xs-orchestrator не были маркерами: сервер, где остался
только старый runtime-state Hysteria, проходил проверку и получал свежую
установку поверх чужого состояния. Пути, которые install.sh создаёт между
фазами, помечены как созданные установщиком, иначе PHASE 1 отказала бы на
собственном оркестраторе.

purge-v0.sh --keep-hysteria-binary противоречил установщику: скрипт сохранял
/usr/local/bin/hysteria и сообщал «хост чист для установки HY2XS v1», хотя
clean-host считает этот бинарник legacy-маркером. Флаг удалён.

DNS проверялся на существование A-записи, но не на то, куда она ведёт. После
принудительной смены IPv4 провайдером doctor отвечал успехом, хотя клиентская
ссылка отправляла людей на чужую машину. Проверялся при этом HY2XS_DOMAIN,
тогда как в hysteria2:// уезжает HY2XS_PUBLIC_HOST.

Добавлен инвариант публичного endpoint: A-записи обязаны принадлежать
множеству публичных IPv4, назначенных интерфейсам этого сервера. Проверка
живёт в общем preflight, поэтому действует в install, reconfigure и doctor.
Адрес определяется локально, без внешних сервисов определения IP. Строгость
управляется HY2XS_PUBLIC_ENDPOINT_POLICY (strict по умолчанию); отсутствие
A-записи фатально при любом значении.

TS-санитайзер приведён к той же формулировке, что и Go: URL-значение
определяется по самому значению, а не по имени ключа.

orchestrator/test/install-boundary.test.ts

@@ -2,18 +2,29 @@ import { afterEach, describe, expect, test } from "bun:test";
 import { classifyFailure } from "../src/commands/install";
 import { disableReadOnlyGuard, enableReadOnlyGuard, isReadOnlyGuardActive } from "../src/lib/guard";
 import { writeText, writeTextAtomic } from "../src/lib/fs";
-import { runHidden, runRawVisible, runVisible } from "../src/lib/process";
+import {
+  runMutating,
+  runMutatingHidden,
+  runMutatingRaw,
+  runMutatingVisible,
+  runReadOnly,
+  runReadOnlySecret
+} from "../src/lib/process";
 
 type Ownership = Parameters<typeof classifyFailure>[0];
 
 function ownership(overrides: Partial<Ownership> = {}): Ownership {
   return {
     stateWritten: false,
-    depsInstalled: false,
-    filesystemPrepared: false,
-    unitsDeployed: false,
+    depsTouched: false,
+    filesystemTouched: false,
+    uiTouched: false,
+    hysteriaTouched: false,
+    configTouched: false,
+    unitsTouched: false,
     firewallTouched: false,
-    postInstallWritten: false,
+    postInstallTouched: false,
+    bootstrapSecretTouched: false,
     servicesStarted: false,
     ...overrides
   };
@@ -38,9 +49,35 @@ describe("read-only guard (PHASE 0)", () => {
 
   test("под guard'ом мутирующие раннеры недоступны", async () => {
     enableReadOnlyGuard("test phase");
-    await expect(runVisible`true`).rejects.toThrow(/read-only guard violation/);
-    await expect(runHidden`true`).rejects.toThrow(/read-only guard violation/);
-    await expect(runRawVisible("true")).rejects.toThrow(/read-only guard violation/);
+    await expect(runMutating`true`).rejects.toThrow(/read-only guard violation/);
+    await expect(runMutatingVisible`true`).rejects.toThrow(/read-only guard violation/);
+    await expect(runMutatingHidden`true`).rejects.toThrow(/read-only guard violation/);
+    await expect(runMutatingRaw("true")).rejects.toThrow(/read-only guard violation/);
+  });
+
+  // Регрессия: раньше существовал один универсальный `run`, через который
+  // мутирующие команды (useradd, install -d, mkdir) проходили мимо guard'а.
+  // Read-only раннеры обязаны работать под guard'ом, мутирующие — нет.
+  test("read-only раннеры под guard'ом не блокируются", async () => {
+    enableReadOnlyGuard("test phase");
+    // Проверяется guard, а не наличие POSIX-shell: на машине разработчика без
+    // `sh` вызов упадёт по ENOENT, и это тоже доказывает, что guard его
+    // пропустил. Значение имеет только отсутствие guard violation.
+    for (const call of [
+      () => runReadOnly`printf hy2xs`,
+      () => runReadOnlySecret`printf hy2xs`
+    ]) {
+      try {
+        expect(await call()).toBe("hy2xs");
+      } catch (error) {
+        expect(String(error)).not.toMatch(/read-only guard violation/);
+      }
+    }
+  });
+
+  test("сообщение мутирующего раннера называет операцию", async () => {
+    enableReadOnlyGuard("the read-only install preflight (PHASE 0)");
+    await expect(runMutating`mktemp -d`).rejects.toThrow(/runMutating\(mktemp -d\).*PHASE 0/s);
   });
 
   test("сообщение называет операцию и фазу", async () => {
@@ -66,26 +103,64 @@ describe("классификация отказа установки", () => {
     expect(classifyFailure(ownership(), "preflight_ok")).toBe("fatal_pre_apply");
   });
 
-  test("установленные пакеты уже делают отказ post-apply", () => {
-    expect(classifyFailure(ownership({ depsInstalled: true }), "preflight_ok")).toBe("fatal_post_apply");
+  // Регрессия: install-state.json пишется сразу после успешного preflight, до
+  // installDeps. Пока classifyFailure его не учитывал, падение apt-get
+  // объявлялось «на сервере ничего не изменено», rollback пропускался, а
+  // /var/lib/hy2xs/install-state.json оставался на хосте и ломал следующую
+  // установку по clean-host контракту.
+  test("записанный install-state сам по себе делает отказ post-apply", () => {
+    expect(classifyFailure(ownership({ stateWritten: true }), "preflight_ok")).toBe("fatal_post_apply");
   });
 
-  test("развёрнутые юниты без firewall — post-apply", () => {
-    expect(classifyFailure(ownership({ filesystemPrepared: true, unitsDeployed: true }), "units_deployed")).toBe(
-      "fatal_post_apply"
-    );
+  test("падение installDeps после записи состояния — post-apply", () => {
+    expect(
+      classifyFailure(ownership({ stateWritten: true, depsTouched: true }), "preflight_ok")
+    ).toBe("fatal_post_apply");
+  });
+
+  // Флаг взводится ПЕРЕД шагом, поэтому частично применённый apt-get уже
+  // считается изменением хоста, даже если installDeps не завершился.
+  test("начатая установка пакетов уже делает отказ post-apply", () => {
+    expect(classifyFailure(ownership({ depsTouched: true }), "preflight_ok")).toBe("fatal_post_apply");
+  });
+
+  test("каждая мутирующая стадия до firewall даёт post-apply", () => {
+    const stages = [
+      "filesystemTouched",
+      "uiTouched",
+      "hysteriaTouched",
+      "configTouched",
+      "unitsTouched"
+    ] as const;
+    for (const stage of stages) {
+      expect(classifyFailure(ownership({ [stage]: true }), "installing")).toBe("fatal_post_apply");
+    }
   });
 
   test("тронутый firewall классифицируется как firewall failure", () => {
     expect(
-      classifyFailure(ownership({ unitsDeployed: true, firewallTouched: true }), "firewall_applied")
+      classifyFailure(ownership({ unitsTouched: true, firewallTouched: true }), "firewall_applied")
     ).toBe("firewall_connectivity_failure");
   });
 
   test("после записи post-install env отказ — postinstall validation", () => {
     expect(
       classifyFailure(
-        ownership({ unitsDeployed: true, firewallTouched: true, postInstallWritten: true }),
+        ownership({ unitsTouched: true, firewallTouched: true, postInstallTouched: true }),
+        "postinstall_env_written"
+      )
+    ).toBe("postinstall_validation_failure");
+  });
+
+  test("отказ на bootstrap-секрете тоже postinstall validation", () => {
+    expect(
+      classifyFailure(
+        ownership({
+          unitsTouched: true,
+          firewallTouched: true,
+          postInstallTouched: true,
+          bootstrapSecretTouched: true
+        }),
         "postinstall_env_written"
       )
     ).toBe("postinstall_validation_failure");
@@ -93,9 +168,10 @@ describe("классификация отказа установки", () => {
 
   test("после старта сервисов различаются smoke и service failure", () => {
     const started = ownership({
-      unitsDeployed: true,
+      unitsTouched: true,
       firewallTouched: true,
-      postInstallWritten: true,
+      postInstallTouched: true,
+      bootstrapSecretTouched: true,
       servicesStarted: true
     });
     expect(classifyFailure(started, "smoke_running")).toBe("smoke_readiness_timeout");
@@ -107,6 +183,14 @@ describe("классификация отказа установки", () => {
   // preflight-ошибка со словом "nftables" приводила к откату чужого firewall.
   test("текст ошибки не влияет на классификацию", () => {
     expect(classifyFailure(ownership(), "installing")).toBe("fatal_pre_apply");
-    expect(classifyFailure(ownership({ depsInstalled: true }), "deps_ok")).toBe("fatal_post_apply");
+    expect(classifyFailure(ownership({ depsTouched: true }), "deps_ok")).toBe("fatal_post_apply");
+  });
+
+  // Единственный способ получить fatal_pre_apply — не тронуть вообще ничего.
+  test("fatal_pre_apply невозможен ни при одном взведённом флаге", () => {
+    const empty = ownership();
+    for (const key of Object.keys(empty) as (keyof typeof empty)[]) {
+      expect(classifyFailure(ownership({ [key]: true }), "installing")).not.toBe("fatal_pre_apply");
+    }
   });
 });