fix(admin): убрать каналы утечки секретов и остатки H UI из runtime

Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export,
и файл там оставался навсегда. При includeSecrets=true это означало
расшифрованные секреты пиров — фактические учётные данные доступа — в
открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки
формируются в памяти, каталога export/ больше нет.

Generic export/import таблицы config удалён целиком. Он исключал только сырой
Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export
выгружала их открытым текстом, импорт позволял подменить. Для
PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже
существующих пиров. Production-сценария у этой пары не было.

Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира:
в базу попадало имя любой длины и с любыми символами, disabled с произвольным
числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в
середине оставляла список наполовину изменённым, а импорт мог перезаписать
bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret.
Партия проверяется целиком до первой записи, неизвестные поля отклоняются.

Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT,
H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт
аргументом, админка писала его в SQLite и тут же читала обратно, а UI
показывал поля disabled — второй источник истины, из которого ничего нельзя
было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR,
база переименована в hy2xs-admin.db, reference-схема — в schema.sql.

API namespace разделён по природе маршрутов: операторский API на /api,
machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth —
runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому
объявлен одной константой на компонент.

Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr:
будущее upstream-поле с другим именем уносило учётные данные и access_token
целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется
значением, а не именем ключа — как в TS-санитайзере оркестратора.

Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен:
NProgress приходил со своим #29d и был единственным элементом вне палитры.

apps/model/constant/api.go

@@ -0,0 +1,27 @@
+package constant
+
+// Пространства имён HTTP API админки.
+//
+// Раньше всё жило под одним префиксом «hui» — наследие H UI, попавшее не
+// только во внутренние имена, но и в runtime-контракт: путь machine-auth
+// записывается в /etc/hysteria/config.yaml и в post-install.env, то есть
+// является частью протокола между Hysteria и админкой.
+//
+// Разделение на два пространства отражает разницу в природе маршрутов:
+//
+//	AdminAPIBase          — операторский API, за JWT и rate limiter;
+//	HysteriaMachineAuth   — не API интерфейса вовсе, а внутренний
+//	                        IPC-подобный endpoint между Hysteria и админкой,
+//	                        доступный только с loopback и по machine token.
+//
+// Значения обязаны совпадать с константами оркестратора
+// (orchestrator/src/config/profile.ts). Сверка выполняется на сборке шагом
+// verify_versions_contract.
+const (
+	// AdminAPIBase — префикс операторского и auth API панели.
+	AdminAPIBase = "/api"
+
+	// HysteriaMachineAuthPath — полный путь machine-auth endpoint'а,
+	// который Hysteria вызывает при подключении пира.
+	HysteriaMachineAuthPath = "/internal/hysteria/auth"
+)

apps/model/constant/config.go

@@ -1,10 +1,14 @@
 package constant
 
+// Ключи таблицы `config` — то, чем действительно владеет админка.
+//
+// Сетевых настроек самой панели (порт, web-контекст, пути к сертификатам)
+// здесь больше нет. Они достались от H UI, где панель конфигурировала себя
+// сама, и в архитектуре HY2XS были вторым источником истины: порт приходит из
+// HY2XS_UI_PORT через systemd, bind — из HY2XS_UI_BIND_HOST, TLS
+// терминируется на внешнем слое. Панель записывала в SQLite тот же порт,
+// который ей передали аргументом, и тут же читала его обратно.
 const (
-	HUIWebPort                  = "H_UI_WEB_PORT"
-	HUIWebContext               = "H_UI_WEB_CONTEXT"
-	HUICrtPath                  = "H_UI_CRT_PATH"
-	HUIKeyPath                  = "H_UI_KEY_PATH"
 	JwtSecret                   = "JWT_SECRET"
 	PeerSecretKey               = "PEER_SECRET_KEY"
 	PeerSecretEncryptionKey     = "PEER_SECRET_ENCRYPTION_KEY"

apps/model/constant/system.go

@@ -13,14 +13,23 @@ func getenv(name string, fallback string) string {
 	return value
 }
 
+// Пути читаются напрямую из canonical env HY2XS.
+//
+// Раньше здесь стояли HUI_DATA/HUI_LOG, а systemd-юнит перекладывал в них
+// значения из HY2XS_DATA_DIR/HY2XS_LOG_DIR. Этот мост от старого H UI не давал
+// ничего, кроме второго имени у той же величины, и делал юнит обязательным
+// участником контракта конфигурации.
 var (
-	DataRootDir   = getenv("HUI_DATA", "/var/lib/hy2xs-admin")
-	LogDir        = getenv("HUI_LOG", "/var/log/hy2xs")
-	SqliteDBDir   = DataRootDir
-	BinDir        = filepath.Join(DataRootDir, "bin")
-	ExportPathDir = filepath.Join(DataRootDir, "export")
+	DataRootDir = getenv("HY2XS_DATA_DIR", "/var/lib/hy2xs-admin")
+	LogDir      = getenv("HY2XS_LOG_DIR", "/var/log/hy2xs")
+	SqliteDBDir = DataRootDir
+	BinDir      = filepath.Join(DataRootDir, "bin")
 
-	SqliteDBPath = filepath.Join(DataRootDir, "h_ui.db")
+	// Каталога для выгрузок здесь нет намеренно: артефакты экспорта
+	// формируются в памяти и отдаются прямо в ответ. Персистентный
+	// export-каталог накапливал на диске JSON с секретами.
+
+	SqliteDBPath = filepath.Join(DataRootDir, "hy2xs-admin.db")
 
 	Hysteria2ConfigPath = "/etc/hysteria/config.yaml"
 	Hysteria2BinPath    = "/usr/local/bin/hysteria"