fix(v1): разблокировать сборку, починить жизненный цикл cron и закрыть каналы утечки

Сборка не собиралась: два контракта приёмки роняли её на корректном коде.

verify_api_namespace_contract искал возвращение legacy-пространства имён
через grep по '/hui' и находил router_test.go, который ПЕРЕЧИСЛЯЕТ этот
префикс, чтобы доказать отсутствие маршрута, и сам versions.sh, где строка
стоит в тексте проверки. Падение приходило шестым шагом из четырнадцати, до
резолва Hysteria. За ним прятался второй такой же: проверка транзакционности
импорта пиров брала файл от начала applyPeerImportEntry и до конца, захватывая
объявленные ниже ExistPeerName и UpdatePeerLastConnectionAt.

Обе проверки теперь смотрят на код, а не на упоминания: добавлены помощники
code_without_comments и code_mentions_in, а отсутствие legacy-маршрута
доказывает тест на таблице маршрутов собранного роутера.

Планировщик стал собственностью процесса. InitCron вызывался из runServer и
на каждом вызове создавал новый cron.New(), не сохраняя ссылку; cron.Stop()
не вызывался нигде. Смена RESET_TRAFFIC_CRON выполняла StopServer(), точка
входа крутила for { runServer() } — и каждая правка добавляла целый
дублирующий набор джоб, а старое расписание сброса продолжало работать.
Фиксированные джобы регистрируются один раз, расписание переносится на месте
по EntryID, HTTP-сервер не трогается. Добавлено штатное завершение по SIGTERM.

Выражение проверяется до записи в базу тем же парсером (cron.ParseStandard),
которым его разбирает планировщик: раньше невалидная строка сохранялась, API
отвечал успехом, а сброс трафика молча исчезал.

updateConfigs стал атомарным: полная проверка партии, одна транзакция,
применение к рантайму. Прежний тест ставил запрещённый ключ первым и не
смотрел в базу — поймать частичное применение он был неспособен.

Удалены четыре ключа таблицы config без единого потребителя: HYSTERIA2_ENABLE,
HYSTERIA2_CONFIG (второй источник истины, читался первым), HYSTERIA2_TRAFFIC_TIME
и HYSTERIA2_CONFIG_REMARK. Имя профиля в share URI выводится из имени пира.

Безопасность:
- bootstrap-пароль администратора больше не генерируется и не пишется в журнал,
  который отдаётся кнопкой выгрузки; отсутствие env — отказ старта;
- собственный журнал админки санитизируется наравне с чужим;
- golang-jwt/jwt v3 -> v5: GO-2025-3553 не имеет исправленной версии в v3 и
  достижима с неаутентифицированного запроса; набор алгоритмов подписи
  зафиксирован через WithValidMethods;
- удалён вход по несолёному SHA-224 из предыдущего поколения;
- убран modulo bias в util.RandomString — единственном генераторе секретов;
- пир установщика защищён во всех путях записи, а не только в импорте;
- удалена латентная паника в service.GetToken и недостижимая ветка GetAdminInfo,
  проверявшая меньше, чем middleware.

Toolchain: Go 1.21.13 -> 1.26.7, Node 20.19.0 (EOL) -> 24.20.0. На прежнем
графе govulncheck находил 21 вызываемую уязвимость, 17 из них в stdlib,
попадающей в production-бинарь. Сейчас — ноль. Добавлен обязательный шаг
проверки зависимостей (govulncheck + pnpm audit) с записью результата в
metadata пакета.

apps/util/encrypt_test.go

@@ -1,7 +1,100 @@
 package util
 
-import "testing"
+import (
+	"crypto/sha256"
+	"encoding/hex"
+	"strings"
+	"testing"
+)
 
-func TestSHA224String(t *testing.T) {
-	println(SHA224String("sysadmin"))
+// Здесь был TestSHA224String, который печатал хеш в stdout и ничего не
+// проверял. Вместе с самой функцией он удалён: формат хранения паролей
+// предыдущего поколения в v1 недостижим, а тест, не содержащий утверждений,
+// создавал видимость покрытия.
+
+func TestHashPasswordProducesBcrypt(t *testing.T) {
+	hash, err := HashPassword("correct horse battery staple")
+	if err != nil {
+		t.Fatalf("HashPassword: %v", err)
+	}
+	if !IsBcryptHash(hash) {
+		t.Fatalf("HashPassword вернул не bcrypt: %q", hash)
+	}
+}
+
+// Соль обязана делать два хеша одного пароля различными: именно этого не
+// давал прежний несолёный SHA-224.
+func TestHashPasswordIsSalted(t *testing.T) {
+	first, err := HashPassword("one password for both")
+	if err != nil {
+		t.Fatalf("HashPassword: %v", err)
+	}
+	second, err := HashPassword("one password for both")
+	if err != nil {
+		t.Fatalf("HashPassword: %v", err)
+	}
+	if first == second {
+		t.Fatal("два хеша одного пароля совпали: соль не применяется")
+	}
+	if !VerifyPassword("one password for both", first) || !VerifyPassword("one password for both", second) {
+		t.Fatal("солёные хеши не проходят проверку")
+	}
+}
+
+func TestHashPasswordRejectsShortPassword(t *testing.T) {
+	if _, err := HashPassword("12345"); err == nil {
+		t.Fatal("слишком короткий пароль принят")
+	}
+	if _, err := HashPassword("      "); err == nil {
+		t.Fatal("пароль из пробелов принят")
+	}
+}
+
+func TestVerifyPasswordAcceptsOnlyCorrectPassword(t *testing.T) {
+	hash, err := HashPassword("s3cret-passphrase")
+	if err != nil {
+		t.Fatalf("HashPassword: %v", err)
+	}
+	if !VerifyPassword("s3cret-passphrase", hash) {
+		t.Error("верный пароль отклонён")
+	}
+	if VerifyPassword("s3cret-passphras", hash) {
+		t.Error("неверный пароль принят")
+	}
+	if VerifyPassword("", hash) {
+		t.Error("пустой пароль принят")
+	}
+}
+
+// Главная регрессия: несолёный SHA-224 из предыдущего поколения больше не
+// является допустимым форматом хранения. Раньше VerifyPassword сравнивал с ним
+// напрямую и возвращал признак legacy, то есть вход по такому хешу удавался.
+func TestVerifyPasswordRejectsLegacySha224Hash(t *testing.T) {
+	password := "sysadmin"
+
+	sum := sha256.Sum224([]byte(password))
+	legacyHash := hex.EncodeToString(sum[:])
+
+	if VerifyPassword(password, legacyHash) {
+		t.Fatal("вход по несолёному SHA-224 всё ещё возможен")
+	}
+	if IsBcryptHash(legacyHash) {
+		t.Fatal("SHA-224 опознан как bcrypt")
+	}
+}
+
+// Любая строка, не являющаяся bcrypt-хешем, — повреждённое или подменённое
+// значение в базе, а не «другой формат».
+func TestVerifyPasswordRejectsNonBcryptStorage(t *testing.T) {
+	for _, stored := range []string{
+		"",
+		"plaintext-password",
+		"$1$abcdefgh$0123456789abcdef",
+		"$argon2id$v=19$m=65536,t=3,p=4$c29tZXNhbHQ$hash",
+		strings.Repeat("a", 60),
+	} {
+		if VerifyPassword("plaintext-password", stored) {
+			t.Errorf("принят пароль против не-bcrypt значения %q", stored)
+		}
+	}
 }