fix(utf8): закрыть lossy-границы конфигурации и API

apps/credential/admin_test.go

@@ -146,8 +146,7 @@ func TestAdminPasswordBoundaries(t *testing.T) {
 		{"U+FDF0 рядом с диапазоном", "abcde" + string(rune(0xFDF0)), true},
 		{"U+FFFD (replacement)", "abcde" + string(rune(0xFFFD)), true},
 
-		// U+FEFF формат несёт (0xFEFF & 0xFFFE == 0xFEFE), и отвергается он
-		// продуктовой политикой, а не systemd.
+		// U+FEFF отвергается документированным транспортным доменом systemd.
 		{"U+FEFF", "abcde" + string(rune(0xFEFF)), false},
 	}
 
@@ -187,18 +186,18 @@ func TestAdminPasswordLimitsAreIndependent(t *testing.T) {
 	}
 }
 
-// Домен транспорта повторяет множество systemd ТОЧНО — не шире и не уже.
+// Домен транспорта повторяет публично документированное множество systemd.
 //
-// Шире означало бы, что HY2XS отвергает значение, которое systemd загрузил бы;
-// уже — что значение проходит все двери продукта и делает файл окружения
-// незагружаемым, а юнит — не стартующим. Второе и было дефектом: контракт знал
-// про управляющие символы и не знал про noncharacters.
+// Шире означало бы собственный запрет сверх публичного контракта; уже — что
+// значение проходит все двери продукта вопреки документации EnvironmentFile.
+// Второе и было дефектом: контракт знал про управляющие символы и не знал про
+// noncharacters.
 //
 // Границы взяты из `unichar_is_valid` (systemd, src/basic/utf8.c) и проверяются
 // вместе с соседями: правило обязано отвергать ровно диапазон, а не окрестность.
-func TestEnvTransportDomainMatchesSystemd(t *testing.T) {
+func TestEnvTransportDomainMatchesDocumentedSystemdContract(t *testing.T) {
 	rejected := []rune{
-		0x0000,         // embedded NUL — отдельная ветка utf8_is_valid
+		0x0000, 0xFEFF, // NUL и BOM запрещены публичным контрактом
 		0xFDD0, 0xFDEF, // U+FDD0..U+FDEF
 		0xFFFE, 0xFFFF,
 		0x1FFFE, 0x1FFFF,
@@ -206,21 +205,20 @@ func TestEnvTransportDomainMatchesSystemd(t *testing.T) {
 	}
 	for _, r := range rejected {
 		if IsEnvTransportableText(string(r)) {
-			t.Errorf("U+%04X принят: systemd откажется загружать такой EnvironmentFile", r)
+			t.Errorf("U+%04X принят вопреки документированному контракту EnvironmentFile", r)
 		}
 	}
 
 	accepted := []rune{
 		0x0020, 0x007F, 0x0085, // управляющие формат НЕСЁТ; их запрещает политика продукта
 		0xFDCF, 0xFDF0, // соседи зарезервированного диапазона
-		0xFEFF,   // 0xFEFF & 0xFFFE == 0xFEFE — systemd принимает
 		0xFFFD,   // replacement character — обычный символ
 		0x10FFFD, // последний scalar value, не noncharacter
 		0x1F600,  // 😀
 	}
 	for _, r := range accepted {
 		if !IsEnvTransportableText(string(r)) {
-			t.Errorf("U+%04X отвергнут: правило шире множества systemd", r)
+			t.Errorf("U+%04X отвергнут: правило шире документированного множества systemd", r)
 		}
 	}
 
@@ -239,7 +237,7 @@ func TestEnvTransportDomainMatchesSystemd(t *testing.T) {
 // одно из двух правил отсутствует.
 func TestProductPolicyIsWiderThanTransportDomain(t *testing.T) {
 	// Управляющие символы формат несёт — их запрещает HY2XS.
-	for _, r := range []rune{0x0A, 0x0D, 0x09, 0x7F, 0x85, 0x9F, 0xFEFF} {
+	for _, r := range []rune{0x0A, 0x0D, 0x09, 0x7F, 0x85, 0x9F} {
 		password := "abcde" + string(r)
 		if !IsEnvTransportableText(password) && r != 0x00 {
 			t.Errorf("U+%04X: ожидалось, что формат его несёт", r)
@@ -248,6 +246,9 @@ func TestProductPolicyIsWiderThanTransportDomain(t *testing.T) {
 			t.Errorf("U+%04X принят паролем вопреки политике продукта", r)
 		}
 	}
+	if IsEnvTransportableText("abcde" + string(rune(0xFEFF))) {
+		t.Error("U+FEFF принят вопреки документированному контракту EnvironmentFile")
+	}
 }
 
 // Пароль НЕ триммится нигде, включая сам контракт.