fix(admin): убрать каналы утечки секретов и остатки H UI из runtime
Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export, и файл там оставался навсегда. При includeSecrets=true это означало расшифрованные секреты пиров — фактические учётные данные доступа — в открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки формируются в памяти, каталога export/ больше нет. Generic export/import таблицы config удалён целиком. Он исключал только сырой Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY, PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export выгружала их открытым текстом, импорт позволял подменить. Для PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже существующих пиров. Production-сценария у этой пары не было. Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира: в базу попадало имя любой длины и с любыми символами, disabled с произвольным числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в середине оставляла список наполовину изменённым, а импорт мог перезаписать bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret. Партия проверяется целиком до первой записи, неизвестные поля отклоняются. Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT, H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт аргументом, админка писала его в SQLite и тут же читала обратно, а UI показывал поля disabled — второй источник истины, из которого ничего нельзя было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR, база переименована в hy2xs-admin.db, reference-схема — в schema.sql. API namespace разделён по природе маршрутов: операторский API на /api, machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth — runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому объявлен одной константой на компонент. Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr: будущее upstream-поле с другим именем уносило учётные данные и access_token целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется значением, а не именем ключа — как в TS-санитайзере оркестратора. Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен: NProgress приходил со своим #29d и был единственным элементом вне палитры.
This commit is contained in:
@@ -0,0 +1,129 @@
|
||||
package service
|
||||
|
||||
import (
|
||||
"errors"
|
||||
"fmt"
|
||||
"regexp"
|
||||
"strings"
|
||||
|
||||
"hy2xs-admin/model/bo"
|
||||
)
|
||||
|
||||
// Проверка импортируемой выгрузки пиров.
|
||||
//
|
||||
// Обычный путь создания пира проходит через dto.PeerSaveDto и его теги
|
||||
// валидатора: имя 6-32 символа из ограниченного набора, quota >= -1,
|
||||
// maxDevices >= 1, disabled строго 0/1 и так далее. Импорт JSON шёл мимо всего
|
||||
// этого и писал в базу что угодно — включая disabled=7 и имя с переводом
|
||||
// строки, которое потом попадало бы в клиентскую ссылку.
|
||||
//
|
||||
// Правила здесь намеренно повторяют PeerSaveDto: две двери в одну и ту же
|
||||
// таблицу не имеют права требовать разного.
|
||||
|
||||
// MaxPeerImportItems ограничивает размер одной операции импорта.
|
||||
// Верхняя граница нужна не для памяти (файл уже ограничен 2 МБ), а чтобы
|
||||
// одна ошибка в файле не превращалась в многоминутную операцию с AES на
|
||||
// каждой записи.
|
||||
const MaxPeerImportItems = 5000
|
||||
|
||||
// ReservedBootstrapPeerName — пир, который создаёт установка из
|
||||
// HY2XS_ADMIN_CON_PASS. Его секрет продублирован в
|
||||
// /etc/hy2xs/bootstrap-admin.secret, и подмена секрета импортом молча
|
||||
// рассинхронизировала бы файл на диске с базой.
|
||||
const ReservedBootstrapPeerName = "bootstrap-admin-peer"
|
||||
|
||||
// Тот же набор символов, что и у validateStr в слое контроллеров.
|
||||
var peerNamePattern = regexp.MustCompile(`^[a-zA-Z0-9!@#$%^&*()_+\-=]{6,32}$`)
|
||||
|
||||
// authId генерируется через util.RandomString и участвует в HTTP-обмене с
|
||||
// Hysteria, поэтому здесь набор ещё уже.
|
||||
var peerAuthIDPattern = regexp.MustCompile(`^[a-zA-Z0-9._\-]{1,64}$`)
|
||||
|
||||
func peerImportError(index int, reason string) error {
|
||||
return fmt.Errorf("peer import: запись #%d: %s", index+1, reason)
|
||||
}
|
||||
|
||||
// ValidatePeerImportBatch проверяет всю партию целиком и не меняет состояние.
|
||||
//
|
||||
// Импорт применяется двумя проходами: сначала проверка всех записей, затем
|
||||
// запись. Иначе файл, у которого невалидна десятая запись, оставлял бы первые
|
||||
// девять уже применёнными — оператор получал бы ошибку и наполовину изменённый
|
||||
// список пиров.
|
||||
func ValidatePeerImportBatch(items []bo.PeerExport) error {
|
||||
if len(items) == 0 {
|
||||
return errors.New("peer import: файл не содержит ни одной записи")
|
||||
}
|
||||
if len(items) > MaxPeerImportItems {
|
||||
return fmt.Errorf("peer import: слишком много записей: %d (максимум %d)", len(items), MaxPeerImportItems)
|
||||
}
|
||||
|
||||
seenNames := make(map[string]int, len(items))
|
||||
seenAuthIDs := make(map[string]int, len(items))
|
||||
|
||||
for i, item := range items {
|
||||
name := strings.TrimSpace(item.Name)
|
||||
if name == "" {
|
||||
return peerImportError(i, "пустое имя")
|
||||
}
|
||||
if !peerNamePattern.MatchString(name) {
|
||||
return peerImportError(i, fmt.Sprintf("недопустимое имя %q: 6-32 символа из [a-zA-Z0-9!@#$%%^&*()_+-=]", name))
|
||||
}
|
||||
if name == ReservedBootstrapPeerName {
|
||||
return peerImportError(i, fmt.Sprintf("имя %q зарезервировано установщиком и не может быть импортировано", name))
|
||||
}
|
||||
if prev, ok := seenNames[name]; ok {
|
||||
return peerImportError(i, fmt.Sprintf("имя %q дублирует запись #%d", name, prev+1))
|
||||
}
|
||||
seenNames[name] = i
|
||||
|
||||
authID := strings.TrimSpace(item.AuthId)
|
||||
if authID != "" {
|
||||
if !peerAuthIDPattern.MatchString(authID) {
|
||||
return peerImportError(i, fmt.Sprintf("недопустимый authId %q", authID))
|
||||
}
|
||||
if authID == ReservedBootstrapPeerName {
|
||||
return peerImportError(i, fmt.Sprintf("authId %q зарезервирован установщиком", authID))
|
||||
}
|
||||
if prev, ok := seenAuthIDs[authID]; ok {
|
||||
return peerImportError(i, fmt.Sprintf("authId %q дублирует запись #%d", authID, prev+1))
|
||||
}
|
||||
seenAuthIDs[authID] = i
|
||||
}
|
||||
|
||||
if secret := strings.TrimSpace(item.Secret); secret != "" {
|
||||
if len(secret) < 6 || len(secret) > 128 {
|
||||
return peerImportError(i, "длина secret должна быть 6-128 символов")
|
||||
}
|
||||
}
|
||||
|
||||
if len([]rune(item.Remark)) > 64 {
|
||||
return peerImportError(i, "remark длиннее 64 символов")
|
||||
}
|
||||
|
||||
if item.QuotaBytes < -1 {
|
||||
return peerImportError(i, fmt.Sprintf("quotaBytes должен быть >= -1, получено %d", item.QuotaBytes))
|
||||
}
|
||||
if item.ExpiresAt < 0 {
|
||||
return peerImportError(i, fmt.Sprintf("expiresAt должен быть >= 0, получено %d", item.ExpiresAt))
|
||||
}
|
||||
// Ноль означает «не задано»: UpsertPeerExport подставит значение по
|
||||
// умолчанию. Отрицательное значение — это уже ошибка в файле.
|
||||
if item.MaxDevices < 0 {
|
||||
return peerImportError(i, fmt.Sprintf("maxDevices должен быть >= 0, получено %d", item.MaxDevices))
|
||||
}
|
||||
if item.Disabled != 0 && item.Disabled != 1 {
|
||||
return peerImportError(i, fmt.Sprintf("disabled должен быть 0 или 1, получено %d", item.Disabled))
|
||||
}
|
||||
if item.BannedUntil < 0 {
|
||||
return peerImportError(i, fmt.Sprintf("bannedUntil должен быть >= 0, получено %d", item.BannedUntil))
|
||||
}
|
||||
if item.DownloadBytes < 0 || item.UploadBytes < 0 {
|
||||
return peerImportError(i, "счётчики трафика не могут быть отрицательными")
|
||||
}
|
||||
if item.LastConnectionAt < 0 {
|
||||
return peerImportError(i, fmt.Sprintf("lastConnectionAt должен быть >= 0, получено %d", item.LastConnectionAt))
|
||||
}
|
||||
}
|
||||
|
||||
return nil
|
||||
}
|
||||
Reference in New Issue
Block a user