fix(install): сделать границу «хост изменён» настоящим инвариантом
fatal_pre_apply мог означать «хост уже изменён». install-state.json пишется сразу после успешного preflight, до установки пакетов, но классификация отказа его не учитывала. Падение apt-get объявлялось как «на сервере ничего не изменено»: откат и обработка состояния пропускались, а маркер оставался на диске и ломал следующую установку по clean-host контракту. Ownership-флаги переформулированы с «шаг успешно завершился» на «операция могла начать менять систему» и взводятся перед мутирующим вызовом: apt-get умеет изменить систему и упасть. fatal_pre_apply теперь недостижим ни при одном взведённом флаге, включая stateWritten. Read-only guard PHASE 0 можно было обойти. Guard стоял на writeText, writeTextAtomic, runVisible, runHidden и runRawVisible, но не на универсальном run, через который в коде проходили и наблюдение (ss, systemctl is-active), и настоящие мутации (useradd, install -d, mkdir, cp -a, tar). Универсального раннера больше нет: runReadOnly/runReadOnlySecret без guard'а и runMutating* под guard'ом, выбор — явное решение на месте вызова. clean-host не замечал часть того, что удаляет purge. /var/lib/hysteria с ACME-состоянием Hysteria, /var/log/hy2xs, /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator не были маркерами: сервер, где остался только старый runtime-state Hysteria, проходил проверку и получал свежую установку поверх чужого состояния. Пути, которые install.sh создаёт между фазами, помечены как созданные установщиком, иначе PHASE 1 отказала бы на собственном оркестраторе. purge-v0.sh --keep-hysteria-binary противоречил установщику: скрипт сохранял /usr/local/bin/hysteria и сообщал «хост чист для установки HY2XS v1», хотя clean-host считает этот бинарник legacy-маркером. Флаг удалён. DNS проверялся на существование A-записи, но не на то, куда она ведёт. После принудительной смены IPv4 провайдером doctor отвечал успехом, хотя клиентская ссылка отправляла людей на чужую машину. Проверялся при этом HY2XS_DOMAIN, тогда как в hysteria2:// уезжает HY2XS_PUBLIC_HOST. Добавлен инвариант публичного endpoint: A-записи обязаны принадлежать множеству публичных IPv4, назначенных интерфейсам этого сервера. Проверка живёт в общем preflight, поэтому действует в install, reconfigure и doctor. Адрес определяется локально, без внешних сервисов определения IP. Строгость управляется HY2XS_PUBLIC_ENDPOINT_POLICY (strict по умолчанию); отсутствие A-записи фатально при любом значении. TS-санитайзер приведён к той же формулировке, что и Go: URL-значение определяется по самому значению, а не по имени ключа.
This commit is contained in:
@@ -25,7 +25,7 @@ acme:
|
||||
auth:
|
||||
type: http
|
||||
http:
|
||||
url: http://127.0.0.1:8080/hui/hysteria2/auth?access_token=${MACHINE_TOKEN}
|
||||
url: http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}
|
||||
insecure: false
|
||||
|
||||
obfs:
|
||||
@@ -61,7 +61,7 @@ describe("редакция серверного конфига", () => {
|
||||
expect(parsed.listen).toBe("0.0.0.0:443");
|
||||
const auth = parsed.auth as Record<string, unknown>;
|
||||
const http = auth.http as Record<string, unknown>;
|
||||
expect(String(http.url)).toContain("127.0.0.1:8080/hui/hysteria2/auth");
|
||||
expect(String(http.url)).toContain("127.0.0.1:8080/internal/hysteria/auth");
|
||||
// В query-параметре маркер приходит percent-encoded — так же, как это
|
||||
// делает Go-санитайзер админки: результат обязан остаться валидным URL.
|
||||
expect(String(http.url)).toContain(encodeURIComponent(REDACTED));
|
||||
@@ -99,6 +99,45 @@ describe("редакция серверного конфига", () => {
|
||||
expect(dns.name).toBe("cloudflare");
|
||||
});
|
||||
|
||||
// Паритет с Go-санитайзером админки: URL-значение определяется по самому
|
||||
// значению, а не по имени ключа. Обе реализации описывают один контракт и
|
||||
// не имеют права расходиться.
|
||||
test("URL под произвольным именем ключа теряет секреты, но сохраняет адрес", () => {
|
||||
const yaml =
|
||||
"future:\n" +
|
||||
" endpoint: https://svc-user:svc-p4ss@relay.example.com/?access_token=endpoint-token\n" +
|
||||
" mirrors:\n" +
|
||||
" - https://mirror-user:mirror-p4ss@mirror.example.com/pull\n";
|
||||
const parsed = Bun.YAML.parse(redactYaml(yaml)) as Record<string, unknown>;
|
||||
const future = parsed.future as Record<string, unknown>;
|
||||
|
||||
const endpoint = String(future.endpoint);
|
||||
expect(endpoint).toContain("relay.example.com");
|
||||
expect(endpoint).not.toContain("svc-p4ss");
|
||||
expect(endpoint).not.toContain("endpoint-token");
|
||||
|
||||
const mirrors = future.mirrors as string[];
|
||||
expect(mirrors).toHaveLength(1);
|
||||
expect(mirrors[0]).toContain("mirror.example.com");
|
||||
expect(mirrors[0]).not.toContain("mirror-p4ss");
|
||||
});
|
||||
|
||||
test("не-URL скаляры проходят редакцию без изменений", () => {
|
||||
const yaml =
|
||||
"bandwidth:\n up: 50 mbps\n down: 50 mbps\n" +
|
||||
"quic:\n maxIdleTimeout: 30s\n initStreamReceiveWindow: 8388608\n" +
|
||||
"outbounds:\n - addr: 10.0.0.1:1080\n";
|
||||
const parsed = Bun.YAML.parse(redactYaml(yaml)) as Record<string, unknown>;
|
||||
const bandwidth = parsed.bandwidth as Record<string, unknown>;
|
||||
const quic = parsed.quic as Record<string, unknown>;
|
||||
const outbounds = parsed.outbounds as Record<string, unknown>[];
|
||||
|
||||
expect(bandwidth.up).toBe("50 mbps");
|
||||
expect(quic.maxIdleTimeout).toBe("30s");
|
||||
expect(quic.initStreamReceiveWindow).toBe(8388608);
|
||||
expect(outbounds[0].addr).toBe("10.0.0.1:1080");
|
||||
});
|
||||
|
||||
test("невалидный YAML не роняет редакцию и всё равно чистится", () => {
|
||||
const broken = `auth:\n http:\n url: http://127.0.0.1:8080/x?access_token=${MACHINE_TOKEN}\n\t bad-tab: [`;
|
||||
const redacted = redactYaml(broken);
|
||||
@@ -116,7 +155,7 @@ describe("редакция env-артефактов", () => {
|
||||
const POST_INSTALL = [
|
||||
"PACKAGE_VERSION=1.0.0",
|
||||
"HY2_AUTH_MODE=http",
|
||||
`HY2_AUTH_URL=http://127.0.0.1:8080/hui/hysteria2/auth?access_token=${MACHINE_TOKEN}`,
|
||||
`HY2_AUTH_URL=http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}`,
|
||||
`HY2_OBFS_PASSWORD=${OBFS_PASSWORD}`,
|
||||
"HY2_PORT=443"
|
||||
].join("\n");
|
||||
@@ -126,7 +165,7 @@ describe("редакция env-артефактов", () => {
|
||||
test("секрет внутри URL-значения вырезается, даже если имя ключа несекретное", () => {
|
||||
const redacted = redactEnv(POST_INSTALL);
|
||||
expect(redacted).not.toContain(MACHINE_TOKEN);
|
||||
expect(redacted).toContain("HY2_AUTH_URL=http://127.0.0.1:8080/hui/hysteria2/auth");
|
||||
expect(redacted).toContain("HY2_AUTH_URL=http://127.0.0.1:8080/internal/hysteria/auth");
|
||||
});
|
||||
|
||||
test("ключи-секреты вырезаются по имени", () => {
|
||||
|
||||
Reference in New Issue
Block a user