fix(v1): разблокировать сборку, починить жизненный цикл cron и закрыть каналы утечки
Сборка не собиралась: два контракта приёмки роняли её на корректном коде.
verify_api_namespace_contract искал возвращение legacy-пространства имён
через grep по '/hui' и находил router_test.go, который ПЕРЕЧИСЛЯЕТ этот
префикс, чтобы доказать отсутствие маршрута, и сам versions.sh, где строка
стоит в тексте проверки. Падение приходило шестым шагом из четырнадцати, до
резолва Hysteria. За ним прятался второй такой же: проверка транзакционности
импорта пиров брала файл от начала applyPeerImportEntry и до конца, захватывая
объявленные ниже ExistPeerName и UpdatePeerLastConnectionAt.
Обе проверки теперь смотрят на код, а не на упоминания: добавлены помощники
code_without_comments и code_mentions_in, а отсутствие legacy-маршрута
доказывает тест на таблице маршрутов собранного роутера.
Планировщик стал собственностью процесса. InitCron вызывался из runServer и
на каждом вызове создавал новый cron.New(), не сохраняя ссылку; cron.Stop()
не вызывался нигде. Смена RESET_TRAFFIC_CRON выполняла StopServer(), точка
входа крутила for { runServer() } — и каждая правка добавляла целый
дублирующий набор джоб, а старое расписание сброса продолжало работать.
Фиксированные джобы регистрируются один раз, расписание переносится на месте
по EntryID, HTTP-сервер не трогается. Добавлено штатное завершение по SIGTERM.
Выражение проверяется до записи в базу тем же парсером (cron.ParseStandard),
которым его разбирает планировщик: раньше невалидная строка сохранялась, API
отвечал успехом, а сброс трафика молча исчезал.
updateConfigs стал атомарным: полная проверка партии, одна транзакция,
применение к рантайму. Прежний тест ставил запрещённый ключ первым и не
смотрел в базу — поймать частичное применение он был неспособен.
Удалены четыре ключа таблицы config без единого потребителя: HYSTERIA2_ENABLE,
HYSTERIA2_CONFIG (второй источник истины, читался первым), HYSTERIA2_TRAFFIC_TIME
и HYSTERIA2_CONFIG_REMARK. Имя профиля в share URI выводится из имени пира.
Безопасность:
- bootstrap-пароль администратора больше не генерируется и не пишется в журнал,
который отдаётся кнопкой выгрузки; отсутствие env — отказ старта;
- собственный журнал админки санитизируется наравне с чужим;
- golang-jwt/jwt v3 -> v5: GO-2025-3553 не имеет исправленной версии в v3 и
достижима с неаутентифицированного запроса; набор алгоритмов подписи
зафиксирован через WithValidMethods;
- удалён вход по несолёному SHA-224 из предыдущего поколения;
- убран modulo bias в util.RandomString — единственном генераторе секретов;
- пир установщика защищён во всех путях записи, а не только в импорте;
- удалена латентная паника в service.GetToken и недостижимая ветка GetAdminInfo,
проверявшая меньше, чем middleware.
Toolchain: Go 1.21.13 -> 1.26.7, Node 20.19.0 (EOL) -> 24.20.0. На прежнем
графе govulncheck находил 21 вызываемую уязвимость, 17 из них в stdlib,
попадающей в production-бинарь. Сейчас — ноль. Добавлен обязательный шаг
проверки зависимостей (govulncheck + pnpm audit) с записью результата в
metadata пакета.
This commit is contained in:
@@ -0,0 +1,108 @@
|
||||
package service
|
||||
|
||||
import (
|
||||
"strings"
|
||||
"testing"
|
||||
|
||||
"hy2xs-admin/dao"
|
||||
"hy2xs-admin/model/dto"
|
||||
)
|
||||
|
||||
func strPtr(v string) *string { return &v }
|
||||
|
||||
// Пир установщика защищён во всех путях записи, а не только в импорте.
|
||||
//
|
||||
// Раньше проверка ReservedBootstrapPeerName стояла исключительно в
|
||||
// applyPeerImportEntry: секрет bootstrap-admin-peer продублирован в
|
||||
// /etc/hy2xs/bootstrap-admin.secret, и смена его через обычную форму панели
|
||||
// молча рассинхронизировала бы файл с базой.
|
||||
func TestUpdatePeerRefusesToResecretBootstrapPeer(t *testing.T) {
|
||||
newTestDB(t)
|
||||
id := seedPeer(t, ReservedBootstrapPeerName, ReservedBootstrapPeerName)
|
||||
|
||||
before := snapshotPeers(t)[ReservedBootstrapPeerName]
|
||||
|
||||
err := UpdatePeer(id, dto.PeerUpdateDto{Secret: strPtr("attacker-chosen-secret")})
|
||||
if err == nil {
|
||||
t.Fatal("смена секрета пира установщика не отклонена")
|
||||
}
|
||||
if !strings.Contains(err.Error(), ReservedBootstrapPeerName) {
|
||||
t.Errorf("отказ не называет пира: %v", err)
|
||||
}
|
||||
|
||||
after := snapshotPeers(t)[ReservedBootstrapPeerName]
|
||||
if after.SecretDigest == nil || before.SecretDigest == nil || *after.SecretDigest != *before.SecretDigest {
|
||||
t.Fatal("секрет пира установщика изменился несмотря на отказ")
|
||||
}
|
||||
}
|
||||
|
||||
func TestUpdatePeerRefusesToRenameBootstrapPeer(t *testing.T) {
|
||||
newTestDB(t)
|
||||
id := seedPeer(t, ReservedBootstrapPeerName, ReservedBootstrapPeerName)
|
||||
|
||||
if err := UpdatePeer(id, dto.PeerUpdateDto{Name: strPtr("renamed-peer")}); err == nil {
|
||||
t.Fatal("переименование пира установщика не отклонено")
|
||||
}
|
||||
|
||||
if _, ok := snapshotPeers(t)[ReservedBootstrapPeerName]; !ok {
|
||||
t.Fatal("пир установщика переименован несмотря на отказ")
|
||||
}
|
||||
}
|
||||
|
||||
// Зарезервированное имя нельзя занять чужому пиру. UNIQUE(name) закрывает
|
||||
// этот путь только пока bootstrap-пир существует, а его разрешено удалять.
|
||||
func TestUpdatePeerRefusesToTakeReservedName(t *testing.T) {
|
||||
newTestDB(t)
|
||||
id := seedPeer(t, "ordinary-peer", "ordinary-auth-id")
|
||||
|
||||
if err := UpdatePeer(id, dto.PeerUpdateDto{Name: strPtr(ReservedBootstrapPeerName)}); err == nil {
|
||||
t.Fatal("переименование обычного пира в зарезервированное имя не отклонено")
|
||||
}
|
||||
|
||||
peers := snapshotPeers(t)
|
||||
if _, ok := peers["ordinary-peer"]; !ok {
|
||||
t.Fatal("обычный пир переименован несмотря на отказ")
|
||||
}
|
||||
}
|
||||
|
||||
func TestCreatePeerRefusesReservedName(t *testing.T) {
|
||||
newTestDB(t)
|
||||
|
||||
name := ReservedBootstrapPeerName
|
||||
quota := int64(-1)
|
||||
if _, err := CreatePeer(dto.PeerSaveDto{Name: &name, QuotaBytes: "a}); err == nil {
|
||||
t.Fatal("создание пира с зарезервированным именем не отклонено")
|
||||
}
|
||||
}
|
||||
|
||||
// Изменения, не затрагивающие идентичность и секрет, обязаны проходить: иначе
|
||||
// оператор не смог бы ни отключить bootstrap-пира, ни ограничить ему квоту.
|
||||
func TestUpdatePeerAllowsNonIdentityChangesOnBootstrapPeer(t *testing.T) {
|
||||
newTestDB(t)
|
||||
id := seedPeer(t, ReservedBootstrapPeerName, ReservedBootstrapPeerName)
|
||||
|
||||
disabled := int64(1)
|
||||
if err := UpdatePeer(id, dto.PeerUpdateDto{Disabled: &disabled}); err != nil {
|
||||
t.Fatalf("отключение пира установщика отклонено: %v", err)
|
||||
}
|
||||
|
||||
peer := snapshotPeers(t)[ReservedBootstrapPeerName]
|
||||
if peer.Disabled == nil || *peer.Disabled != 1 {
|
||||
t.Fatal("отключение не применилось")
|
||||
}
|
||||
}
|
||||
|
||||
// Удаление разрешено намеренно: bootstrap-пир после установки — действующий
|
||||
// доступ, секрет которого лежит ещё и в файле на диске, и оператор обязан
|
||||
// иметь возможность его отозвать. Расхождения база/файл удаление не создаёт.
|
||||
func TestDeletePeerAllowsRemovingBootstrapPeer(t *testing.T) {
|
||||
newTestDB(t)
|
||||
id := seedPeer(t, ReservedBootstrapPeerName, ReservedBootstrapPeerName)
|
||||
|
||||
if err := DeletePeer(id); err != nil {
|
||||
t.Fatalf("удаление пира установщика отклонено: %v", err)
|
||||
}
|
||||
if _, err := dao.GetPeer("name = ?", ReservedBootstrapPeerName); err == nil {
|
||||
t.Fatal("пир установщика остался в базе после удаления")
|
||||
}
|
||||
}
|
||||
Reference in New Issue
Block a user