fix(admin): убрать каналы утечки секретов и остатки H UI из runtime

Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export,
и файл там оставался навсегда. При includeSecrets=true это означало
расшифрованные секреты пиров — фактические учётные данные доступа — в
открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки
формируются в памяти, каталога export/ больше нет.

Generic export/import таблицы config удалён целиком. Он исключал только сырой
Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export
выгружала их открытым текстом, импорт позволял подменить. Для
PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже
существующих пиров. Production-сценария у этой пары не было.

Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира:
в базу попадало имя любой длины и с любыми символами, disabled с произвольным
числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в
середине оставляла список наполовину изменённым, а импорт мог перезаписать
bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret.
Партия проверяется целиком до первой записи, неизвестные поля отклоняются.

Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT,
H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт
аргументом, админка писала его в SQLite и тут же читала обратно, а UI
показывал поля disabled — второй источник истины, из которого ничего нельзя
было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR,
база переименована в hy2xs-admin.db, reference-схема — в schema.sql.

API namespace разделён по природе маршрутов: операторский API на /api,
machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth —
runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому
объявлен одной константой на компонент.

Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr:
будущее upstream-поле с другим именем уносило учётные данные и access_token
целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется
значением, а не именем ключа — как в TS-санитайзере оркестратора.

Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен:
NProgress приходил со своим #29d и был единственным элементом вне палитры.

apps/cmd/reset.go

@@ -32,7 +32,7 @@ func runReset(cmd *cobra.Command, args []string) {
 		fmt.Println(err.Error())
 		os.Exit(1)
 	}
-	if err = dao.InitSql(""); err != nil {
+	if err = dao.InitSql(); err != nil {
 		fmt.Println(err.Error())
 		os.Exit(1)
 	}

apps/cmd/server.go

@@ -15,6 +15,8 @@ import (
 	"net/http"
 	"os"
 	"path/filepath"
+	"strconv"
+	"strings"
 )
 
 func resolveUiBindHost() (string, error) {
@@ -29,31 +31,30 @@ func resolveUiBindHost() (string, error) {
 	return host, nil
 }
 
+// resolveUiPort проверяет порт, полученный из контракта запуска.
+//
+// Источник истины — HY2XS_UI_PORT, который оркестратор подставляет в ExecStart
+// как `-p`. Раньше это значение по дороге записывалось в SQLite и читалось
+// оттуда обратно: круг, в котором база не добавляла ни одного факта, но делала
+// вид, что порт принадлежит ей.
+func resolveUiPort(port string) (int, error) {
+	trimmed := strings.TrimSpace(port)
+	if trimmed == "" {
+		return 0, errors.New("UI port is required: pass -p <port>")
+	}
+	value, err := strconv.Atoi(trimmed)
+	if err != nil || value < 1 || value > 65535 {
+		return 0, fmt.Errorf("port: %s is invalid", port)
+	}
+	return value, nil
+}
+
 func runServer(port string) error {
 	defer releaseResource()
 
 	middleware.InitLog()
-	if err := initFile(); err != nil {
-		return err
-	}
-	if err := dao.InitSql(port); err != nil {
-		return err
-	}
-	if err := middleware.InitCron(); err != nil {
-		return err
-	}
-	if err := service.InitHysteria2(); err != nil {
-		return err
-	}
-	config, err := dao.GetConfig("key = ?", constant.HUIWebContext)
-	if err != nil {
-		return err
-	}
 
-	r := gin.Default()
-	router.Router(r, config.Value)
-
-	serverPort, crtPath, keyPath, err := service.GetServerPortAndCert()
+	uiPort, err := resolveUiPort(port)
 	if err != nil {
 		return err
 	}
@@ -62,8 +63,27 @@ func runServer(port string) error {
 		return err
 	}
 
-	service.InitServer(fmt.Sprintf("%s:%d", bindHost, serverPort), r)
-	if err := service.StartServer(crtPath, keyPath); err != nil && err != http.ErrServerClosed {
+	if err := initFile(); err != nil {
+		return err
+	}
+	if err := dao.InitSql(); err != nil {
+		return err
+	}
+	if err := middleware.InitCron(); err != nil {
+		return err
+	}
+	if err := service.InitHysteria2(); err != nil {
+		return err
+	}
+
+	r := gin.Default()
+	router.Router(r)
+
+	// TLS внутри админки не поддерживается намеренно: панель слушает
+	// loopback и публикуется через SSH-туннель или reverse proxy, на котором
+	// TLS и заканчивается.
+	service.InitServer(fmt.Sprintf("%s:%d", bindHost, uiPort), r)
+	if err := service.StartServer(); err != nil && err != http.ErrServerClosed {
 		logrus.Errorf("start server err: %v", err)
 		return errors.New("start server err")
 	}
@@ -84,7 +104,6 @@ func initFile() error {
 		constant.LogDir,
 		constant.SqliteDBDir,
 		constant.BinDir,
-		constant.ExportPathDir,
 		filepath.Dir(constant.SqliteDBPath),
 	}
 	for _, item := range dirs {