fix(admin): убрать каналы утечки секретов и остатки H UI из runtime

Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export,
и файл там оставался навсегда. При includeSecrets=true это означало
расшифрованные секреты пиров — фактические учётные данные доступа — в
открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки
формируются в памяти, каталога export/ больше нет.

Generic export/import таблицы config удалён целиком. Он исключал только сырой
Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export
выгружала их открытым текстом, импорт позволял подменить. Для
PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже
существующих пиров. Production-сценария у этой пары не было.

Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира:
в базу попадало имя любой длины и с любыми символами, disabled с произвольным
числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в
середине оставляла список наполовину изменённым, а импорт мог перезаписать
bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret.
Партия проверяется целиком до первой записи, неизвестные поля отклоняются.

Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT,
H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт
аргументом, админка писала его в SQLite и тут же читала обратно, а UI
показывал поля disabled — второй источник истины, из которого ничего нельзя
было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR,
база переименована в hy2xs-admin.db, reference-схема — в schema.sql.

API namespace разделён по природе маршрутов: операторский API на /api,
machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth —
runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому
объявлен одной константой на компонент.

Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr:
будущее upstream-поле с другим именем уносило учётные данные и access_token
целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется
значением, а не именем ключа — как в TS-санитайзере оркестратора.

Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен:
NProgress приходил со своим #29d и был единственным элементом вне палитры.

apps/controller/peer.go

@@ -1,21 +1,21 @@
 package controller
 
 import (
+	"bytes"
 	"encoding/json"
 	"fmt"
 	"io"
-	"path/filepath"
 	"strconv"
 	"strings"
 	"time"
 
 	"github.com/gin-gonic/gin"
+	"github.com/sirupsen/logrus"
 	"hy2xs-admin/model/bo"
 	"hy2xs-admin/model/constant"
 	"hy2xs-admin/model/dto"
 	"hy2xs-admin/model/vo"
 	"hy2xs-admin/service"
-	"hy2xs-admin/util"
 )
 
 func resolveID(c *gin.Context) (int64, error) {
@@ -129,30 +129,55 @@ func GetPeer(c *gin.Context) {
 	vo.Success(peer, c)
 }
 
+// peerImportMaxBytes — предел размера загружаемого файла.
+const peerImportMaxBytes = 2 * 1024 * 1024
+
+// ImportPeer принимает выгрузку, сделанную ExportPeer.
+//
+// Импорт — полноценная дверь в таблицу пиров, поэтому его вход проверяется
+// так же строго, как обычное создание пира: разбор JSON ограничен по размеру,
+// неизвестные поля отклоняются, а содержимое записей валидируется в
+// service.ValidatePeerImportBatch до первой записи в базу.
 func ImportPeer(c *gin.Context) {
 	file, header, err := c.Request.FormFile("file")
 	if err != nil {
 		vo.Fail(constant.SysError, c)
 		return
 	}
-	if header.Size > 1024*1024*2 {
+	defer func() { _ = file.Close() }()
+
+	if header.Size > peerImportMaxBytes {
 		vo.Fail("the file is too big", c)
 		return
 	}
-	if !strings.HasSuffix(header.Filename, ".json") {
+	if !strings.HasSuffix(strings.ToLower(header.Filename), ".json") {
 		vo.Fail(constant.InvalidError, c)
 		return
 	}
-	content, err := io.ReadAll(file)
+
+	// Заявленный Size — это то, что сказал клиент; читаем с собственным
+	// пределом, чтобы расхождение не превращалось в чтение произвольного
+	// объёма в память.
+	content, err := io.ReadAll(io.LimitReader(file, peerImportMaxBytes+1))
 	if err != nil {
 		vo.Fail("json file read err", c)
 		return
 	}
+	if len(content) > peerImportMaxBytes {
+		vo.Fail("the file is too big", c)
+		return
+	}
+
 	var peerExports []bo.PeerExport
-	if err = json.Unmarshal(content, &peerExports); err != nil {
+	decoder := json.NewDecoder(bytes.NewReader(content))
+	// Опечатка в имени поля должна быть видимой ошибкой, а не молча
+	// импортированным значением по умолчанию.
+	decoder.DisallowUnknownFields()
+	if err = decoder.Decode(&peerExports); err != nil {
 		vo.Fail("content Unmarshal err", c)
 		return
 	}
+
 	if err = service.UpsertPeerExport(peerExports); err != nil {
 		vo.Fail(err.Error(), c)
 		return
@@ -160,6 +185,13 @@ func ImportPeer(c *gin.Context) {
 	vo.Success(nil, c)
 }
 
+// ExportPeer отдаёт выгрузку пиров прямо в ответ, не создавая файл на сервере.
+//
+// Раньше выгрузка шла через os.Create в /var/lib/hy2xs-admin/export и файл
+// оставался там навсегда. При includeSecrets=true это означало расшифрованные
+// секреты пиров — фактические учётные данные доступа — в открытом виде на
+// диске, накапливающиеся с каждым нажатием кнопки. Артефакт, который покидает
+// сервер, не должен существовать на сервере дольше самого запроса.
 func ExportPeer(c *gin.Context) {
 	includeSecrets := strings.EqualFold(strings.TrimSpace(c.Query("includeSecrets")), "true")
 	peerExports, err := service.ListExportPeer(includeSecrets)
@@ -167,20 +199,19 @@ func ExportPeer(c *gin.Context) {
 		vo.Fail(err.Error(), c)
 		return
 	}
+
+	payload, err := json.MarshalIndent(peerExports, "", "    ")
+	if err != nil {
+		logrus.Errorf("peer export marshal err: %v", err)
+		vo.Fail(constant.SysError, c)
+		return
+	}
+
 	fileName := fmt.Sprintf("PeerExport-%s.json", time.Now().Format("20060102150405"))
-	filePath := filepath.Join(constant.ExportPathDir, fileName)
-	if err = util.ExportFile(filePath, peerExports, 0); err != nil {
-		vo.Fail(err.Error(), c)
-		return
-	}
-	if !util.Exists(filePath) {
-		vo.Fail("file not exist", c)
-		return
-	}
 	c.Header("Content-Type", "application/octet-stream")
 	c.Header("Content-Transfer-Encoding", "binary")
 	c.Header("Content-Disposition", fmt.Sprintf("attachment; filename=%s", fileName))
-	c.File(filePath)
+	c.Data(200, "application/octet-stream", payload)
 }
 
 func ReleaseKickPeer(c *gin.Context) {