fix(v1): разблокировать сборку, починить жизненный цикл cron и закрыть каналы утечки

Сборка не собиралась: два контракта приёмки роняли её на корректном коде.

verify_api_namespace_contract искал возвращение legacy-пространства имён
через grep по '/hui' и находил router_test.go, который ПЕРЕЧИСЛЯЕТ этот
префикс, чтобы доказать отсутствие маршрута, и сам versions.sh, где строка
стоит в тексте проверки. Падение приходило шестым шагом из четырнадцати, до
резолва Hysteria. За ним прятался второй такой же: проверка транзакционности
импорта пиров брала файл от начала applyPeerImportEntry и до конца, захватывая
объявленные ниже ExistPeerName и UpdatePeerLastConnectionAt.

Обе проверки теперь смотрят на код, а не на упоминания: добавлены помощники
code_without_comments и code_mentions_in, а отсутствие legacy-маршрута
доказывает тест на таблице маршрутов собранного роутера.

Планировщик стал собственностью процесса. InitCron вызывался из runServer и
на каждом вызове создавал новый cron.New(), не сохраняя ссылку; cron.Stop()
не вызывался нигде. Смена RESET_TRAFFIC_CRON выполняла StopServer(), точка
входа крутила for { runServer() } — и каждая правка добавляла целый
дублирующий набор джоб, а старое расписание сброса продолжало работать.
Фиксированные джобы регистрируются один раз, расписание переносится на месте
по EntryID, HTTP-сервер не трогается. Добавлено штатное завершение по SIGTERM.

Выражение проверяется до записи в базу тем же парсером (cron.ParseStandard),
которым его разбирает планировщик: раньше невалидная строка сохранялась, API
отвечал успехом, а сброс трафика молча исчезал.

updateConfigs стал атомарным: полная проверка партии, одна транзакция,
применение к рантайму. Прежний тест ставил запрещённый ключ первым и не
смотрел в базу — поймать частичное применение он был неспособен.

Удалены четыре ключа таблицы config без единого потребителя: HYSTERIA2_ENABLE,
HYSTERIA2_CONFIG (второй источник истины, читался первым), HYSTERIA2_TRAFFIC_TIME
и HYSTERIA2_CONFIG_REMARK. Имя профиля в share URI выводится из имени пира.

Безопасность:
- bootstrap-пароль администратора больше не генерируется и не пишется в журнал,
  который отдаётся кнопкой выгрузки; отсутствие env — отказ старта;
- собственный журнал админки санитизируется наравне с чужим;
- golang-jwt/jwt v3 -> v5: GO-2025-3553 не имеет исправленной версии в v3 и
  достижима с неаутентифицированного запроса; набор алгоритмов подписи
  зафиксирован через WithValidMethods;
- удалён вход по несолёному SHA-224 из предыдущего поколения;
- убран modulo bias в util.RandomString — единственном генераторе секретов;
- пир установщика защищён во всех путях записи, а не только в импорте;
- удалена латентная паника в service.GetToken и недостижимая ветка GetAdminInfo,
  проверявшая меньше, чем middleware.

Toolchain: Go 1.21.13 -> 1.26.7, Node 20.19.0 (EOL) -> 24.20.0. На прежнем
графе govulncheck находил 21 вызываемую уязвимость, 17 из них в stdlib,
попадающей в production-бинарь. Сейчас — ноль. Добавлен обязательный шаг
проверки зависимостей (govulncheck + pnpm audit) с записью результата в
metadata пакета.

docs/11-testing-and-acceptance.md

@@ -293,7 +293,81 @@ wildcard-маршрутом фронтенда или дублирующая р
 - отказ наступает **до** обращения к базе (тест работает без SQLite — сам факт,
   что обработчик не падает, это и доказывает);
 - ключи оркестратора отклоняются с указанием владельца, а не общим «нет такого
-  ключа»: оператор должен быть отправлен к `hy2xs-orchestrator reconfigure`.
+  ключа»: оператор должен быть отправлен к `hy2xs-orchestrator reconfigure`;
+- удалённые ключи (`HYSTERIA2_ENABLE`, `HYSTERIA2_CONFIG`,
+  `HYSTERIA2_TRAFFIC_TIME`, `HYSTERIA2_CONFIG_REMARK`) отклоняются как
+  неизвестные — проверка идёт по строковым литералам, потому что соответствующих
+  констант в коде уже нет и появиться они не должны.
+
+Атомарность партии проверяется на **настоящей** SQLite: без базы утверждение
+«партия не применилась частично» бессмысленно, поскольку предметом утверждения
+является именно состояние базы.
+
+- разрешённый ключ первым, запрещённый вторым → запрос отклонён, значение
+  первого ключа в базе **не изменилось**;
+- невалидное cron-выражение → отказ, значение в базе не изменилось;
+- один ключ дважды в партии → отказ (какое из двух значений считать намерением
+  оператора, определить нельзя);
+- корректная партия → значение сохранено, расписание применено к планировщику,
+  число его записей не выросло.
+
+Порядок в первом тесте принципиален. Предыдущая версия ставила запрещённый ключ
+**первым** и до второго элемента не доходила, поэтому проходила и на реализации,
+которая проверяла и записывала настройки в одном цикле.
+
+## A9b. Планировщик (unit)
+
+`apps/service/cron_scheduler_test.go` — планировщик как собственность процесса:
+
+- четыре последовательные смены расписания **не увеличивают** число записей
+  планировщика (главная регрессия: раньше каждая смена добавляла целый
+  дублирующий набор джоб, а старое расписание продолжало работать);
+- пустое выражение снимает джобу сброса, непустое возвращает её — без
+  перезапуска процесса;
+- невалидное выражение не меняет планировщик и не снимает действующую джобу;
+- набор валидных и невалидных выражений проверяется тем же парсером, что и
+  runtime: то, что `cron` умеет, обязано приниматься, остальное — отклоняться;
+- невалидное значение в базе **не роняет старт**: на панели висит
+  `/internal/hysteria/auth`, и отказ старта из-за строки расписания положил бы
+  подключения пользователей. Фиксированные джобы поднимаются, сброс отключён,
+  в журнале ERROR, и настройка чинится через API без перезапуска;
+- второй `InitCron` поверх работающего отклоняется;
+- `StopCron` идемпотентен и оставляет планировщик пустым.
+
+## A9c. Токены и пароли (unit)
+
+`apps/service/jwt_test.go`:
+
+- round-trip: claims, включая `token_version`, переживают выписку и разбор;
+- токен, подписанный **другим** HMAC-алгоритмом тем же ключом, отклоняется
+  (прежний `keyfunc` не смотрел на `token.Method` вовсе);
+- токен без `exp` отклоняется, истёкший отклоняется отдельным сообщением;
+- токен с чужим `issuer` отклоняется даже при совпадении ключа;
+- пустой `JWT_SECRET` — отказ и на выписку, и на разбор, а не подпись ключом
+  нулевой длины.
+
+`apps/util/encrypt_test.go`:
+
+- `HashPassword` выдаёт bcrypt и солит: два хеша одного пароля различаются;
+- вход по несолёному SHA-224 (формат предыдущего поколения) **невозможен**;
+- любая не-bcrypt строка в поле хеша отклоняется.
+
+`apps/util/rand_test.go` — отсутствие modulo bias: на выборке 200 000 символов
+частоты первых восьми символов алфавита не отличаются от остальных более чем на
+5%. Прежняя реализация давала здесь отношение 1.25.
+
+## A9d. Пир установщика (unit)
+
+`apps/service/peer_bootstrap_guard_test.go` — защита действует во всех путях
+записи, а не только в импорте:
+
+- смена секрета и переименование `bootstrap-admin-peer` отклоняются, состояние
+  в базе не меняется;
+- переименование обычного пира в зарезервированное имя отклоняется;
+- создание пира с зарезервированным именем отклоняется;
+- отключение и изменение квоты **разрешены**;
+- удаление **разрешено**: это осознанное действие оператора, и расхождения
+  между базой и `bootstrap-admin.secret` оно не создаёт.
 
 ## A10. Импорт пиров (unit)
 
@@ -349,6 +423,43 @@ metadata пакета и версией, которую сообщает соб
 `hysteria-linux-amd64-avx`, форма `sha256:<hex>`, верхний регистр,
 противоречивые записи, отсутствие нужной строки.
 
+## A11. Проверка зависимостей на уязвимости (build)
+
+`tools/build/lib/security.sh` — обязательный шаг между тестами админки и записью
+metadata. Подробности в [docs/02](02-build-layer-and-package.md); здесь важно
+поведение при отказе:
+
+| Код `govulncheck` | Трактовка |
+| --- | --- |
+| `0` | чисто |
+| `3` | найдены **вызываемые** уязвимости → сборка падает |
+| иное | отказ самого инструмента → сборка падает отдельным сообщением |
+
+Последняя строка существенна: ненулевой код неизвестной природы нельзя
+трактовать как «уязвимостей нет». По той же причине недоступность реестра npm
+для `pnpm audit` — это отказ проверки, а не её отрицательный результат.
+
+## A12. Приёмка проверяет код, а не упоминания
+
+Два контракта приёмки на снимке до этого патча **гарантированно роняли сборку на
+корректном коде**, и оба — по одной причине: они искали подстроку там, где
+подстрока обязана присутствовать.
+
+| Проверка | Что ловила на самом деле |
+| --- | --- |
+| `verify_api_namespace_contract` | `grep -rlF '/hui'` возвращал `apps/router/router_test.go` (регрессионный тест, который ПЕРЕЧИСЛЯЕТ legacy-префикс, чтобы доказать его отсутствие) и сам `versions.sh`, где эта строка стоит в тексте проверки |
+| «peer import не выходит за транзакцию» | `source.slice(start)` брал файл от начала `applyPeerImportEntry` **и до конца**, захватывая `ExistPeerName` и `UpdatePeerLastConnectionAt` — обычные операции вне импорта, которым глобальное соединение положено |
+
+Первая падала на шаге versions contract — шестым из четырнадцати, до резолва
+Hysteria. Вторая не была замечена только потому, что сборка до неё не доходила.
+
+Отсюда правило и помощники `code_without_comments` / `code_mentions_in` в
+`acceptance.sh`: проверка смотрит на код, а комментарий, объясняющий, почему
+чего-то больше нет, обязан называть это по имени и не должен ломать сборку.
+Отсутствие legacy-маршрута доказывает не `grep` по исходникам, а
+`TestRouterHasNoLegacyNamespace` на таблице маршрутов собранного роутера —
+и существование этого теста само проверяется контрактом.
+
 ## B. Target install tests
 
 ### На чистом Debian 13 проверяем
@@ -384,9 +495,13 @@ metadata пакета и версией, которую сообщает соб
 17. `nft -c -f /etc/nftables.conf` проходит после apply
 18. пароль admin и `con_pass` не перезаписываются при рестарте `hy2xs-admin`
 19. остановка/рестарт UI не останавливает `hysteria-server`
-20. traffic accounting/kick ориентируются на systemd status, а не на SQLite `HYSTERIA2_ENABLE`
+20. traffic accounting/kick ориентируются на systemd status; ключа `HYSTERIA2_ENABLE` в базе больше нет
 21. `/etc/hysteria/config.yaml` имеет `0640 hysteria:hy2xs-admin`
 22. `hy2xs-admin` может читать `/etc/hysteria/config.yaml`, но не может писать
+23. смена расписания сброса трафика применяется **без** перезапуска `hy2xs-admin`, и число джоб планировщика не растёт
+24. невалидное cron-выражение отклоняется API, а значение в базе не меняется
+25. `systemctl restart hy2xs-admin` завершает сервис штатно: планировщик остановлен до закрытия SQLite, в журнале нет `database is closed`
+26. `govulncheck ./...` на графе релиза не находит вызываемых уязвимостей
 
 ## C1. Семантический smoke конфига