fix(v1): разблокировать сборку, починить жизненный цикл cron и закрыть каналы утечки
Сборка не собиралась: два контракта приёмки роняли её на корректном коде.
verify_api_namespace_contract искал возвращение legacy-пространства имён
через grep по '/hui' и находил router_test.go, который ПЕРЕЧИСЛЯЕТ этот
префикс, чтобы доказать отсутствие маршрута, и сам versions.sh, где строка
стоит в тексте проверки. Падение приходило шестым шагом из четырнадцати, до
резолва Hysteria. За ним прятался второй такой же: проверка транзакционности
импорта пиров брала файл от начала applyPeerImportEntry и до конца, захватывая
объявленные ниже ExistPeerName и UpdatePeerLastConnectionAt.
Обе проверки теперь смотрят на код, а не на упоминания: добавлены помощники
code_without_comments и code_mentions_in, а отсутствие legacy-маршрута
доказывает тест на таблице маршрутов собранного роутера.
Планировщик стал собственностью процесса. InitCron вызывался из runServer и
на каждом вызове создавал новый cron.New(), не сохраняя ссылку; cron.Stop()
не вызывался нигде. Смена RESET_TRAFFIC_CRON выполняла StopServer(), точка
входа крутила for { runServer() } — и каждая правка добавляла целый
дублирующий набор джоб, а старое расписание сброса продолжало работать.
Фиксированные джобы регистрируются один раз, расписание переносится на месте
по EntryID, HTTP-сервер не трогается. Добавлено штатное завершение по SIGTERM.
Выражение проверяется до записи в базу тем же парсером (cron.ParseStandard),
которым его разбирает планировщик: раньше невалидная строка сохранялась, API
отвечал успехом, а сброс трафика молча исчезал.
updateConfigs стал атомарным: полная проверка партии, одна транзакция,
применение к рантайму. Прежний тест ставил запрещённый ключ первым и не
смотрел в базу — поймать частичное применение он был неспособен.
Удалены четыре ключа таблицы config без единого потребителя: HYSTERIA2_ENABLE,
HYSTERIA2_CONFIG (второй источник истины, читался первым), HYSTERIA2_TRAFFIC_TIME
и HYSTERIA2_CONFIG_REMARK. Имя профиля в share URI выводится из имени пира.
Безопасность:
- bootstrap-пароль администратора больше не генерируется и не пишется в журнал,
который отдаётся кнопкой выгрузки; отсутствие env — отказ старта;
- собственный журнал админки санитизируется наравне с чужим;
- golang-jwt/jwt v3 -> v5: GO-2025-3553 не имеет исправленной версии в v3 и
достижима с неаутентифицированного запроса; набор алгоритмов подписи
зафиксирован через WithValidMethods;
- удалён вход по несолёному SHA-224 из предыдущего поколения;
- убран modulo bias в util.RandomString — единственном генераторе секретов;
- пир установщика защищён во всех путях записи, а не только в импорте;
- удалена латентная паника в service.GetToken и недостижимая ветка GetAdminInfo,
проверявшая меньше, чем middleware.
Toolchain: Go 1.21.13 -> 1.26.7, Node 20.19.0 (EOL) -> 24.20.0. На прежнем
графе govulncheck находил 21 вызываемую уязвимость, 17 из них в stdlib,
попадающей в production-бинарь. Сейчас — ноль. Добавлен обязательный шаг
проверки зависимостей (govulncheck + pnpm audit) с записью результата в
metadata пакета.
This commit is contained in:
+39
-4
@@ -40,21 +40,56 @@ HY2XS_TARGET_ARCH=amd64
|
||||
|
||||
# ------------------------------------------------------------ toolchain ---
|
||||
|
||||
GO_VERSION=1.21.13
|
||||
GO_LINUX_AMD64_SHA256=502fc16d5910562461e6a6631fb6377de2322aad7304bf2bcd23500ba9dab4a7
|
||||
# Go входит в production-артефакт, а не только в сборку: им компилируется
|
||||
# hy2xs-admin, и его stdlib целиком попадает в бинарь. Поэтому версия здесь
|
||||
# выбирается по политике поддержки Go (major поддерживается, пока не вышли две
|
||||
# более новые), а не по удобству.
|
||||
#
|
||||
# Было 1.21.13 — линия вне поддержки. На ней `govulncheck ./...` находил 21
|
||||
# ВЫЗЫВАЕМУЮ уязвимость, из них 17 в stdlib. На 1.26.7 — ноль.
|
||||
GO_VERSION=1.26.7
|
||||
GO_LINUX_AMD64_SHA256=ffb5f8de10c62550dfddab66b36b57030721e0a44a3218e9e1181d7b59f121ca
|
||||
|
||||
# Bun выбирает артефакт по наличию AVX2, поэтому одной контрольной суммы
|
||||
# архитектурно недостаточно: обе должны быть зафиксированы заранее.
|
||||
#
|
||||
# 1.3.13 оставлена сознательно, хотя 1.4 уже вышел. Оркестратор собирается
|
||||
# через `bun build --compile`, то есть Bun runtime физически входит в
|
||||
# исполняемый файл, а 1.4 — крупное внутреннее обновление рантайма. Такой
|
||||
# переход стоит отдельного контролируемого прохода по всей матрице
|
||||
# `bun test → tsc → compile → Debian acceptance`, а не строки в общем патче.
|
||||
BUN_VERSION=1.3.13
|
||||
BUN_LINUX_X64_SHA256=79c0771fa8b92c33aae41e15a0e0d307ea99d0e2f00317c71c6c53237a78e25a
|
||||
BUN_LINUX_X64_BASELINE_SHA256=9d8a24292a7068090205daac0a5a223f5f69736f5287e37bf88d3b4031edc750
|
||||
|
||||
NODE_VERSION=20.19.0
|
||||
NODE_LINUX_X64_SHA256=b4e336584d62abefad31baecff7af167268be9bb7dd11f1297112e6eed3ca0d5
|
||||
# Node живёт только на build-хосте (сборка frontend-ассетов) и в runtime-артефакт
|
||||
# не попадает. Но 20.x достигла EOL, то есть перестала получать в том числе
|
||||
# security-обновления, а собирает она код, который уезжает в production.
|
||||
# 24.20.0 — текущая LTS-линия.
|
||||
NODE_VERSION=24.20.0
|
||||
NODE_LINUX_X64_SHA256=2f2c0da162318f0de47665410c7c8c2ed3d36c8f3105de4bbc61176c70a7cbf2
|
||||
|
||||
# pnpm ставится через corepack, отдельного архива с контрольной суммой нет.
|
||||
#
|
||||
# Линия 9 оставлена вместе с apps/frontend/pnpm-lock.yaml: переход на 10 меняет
|
||||
# формат lock-файла, то есть затрагивает воспроизводимость сборки frontend, и
|
||||
# относится к обновлению его зависимостей, а не toolchain.
|
||||
PNPM_VERSION=9.15.9
|
||||
|
||||
# ------------------------------------------------ проверка зависимостей ---
|
||||
|
||||
# Версия govulncheck пиньтся здесь, а не берётся @latest: инструмент, которым
|
||||
# проверяется релиз, сам обязан быть частью контракта сборки. Иначе один и тот
|
||||
# же коммит проверяется разными анализаторами в разные дни.
|
||||
#
|
||||
# База уязвимостей при этом ЖИВАЯ и подтягивается на каждом запуске — это и
|
||||
# нужно: пин версии инструмента не должен превращаться в пин знаний о мире.
|
||||
GOVULNCHECK_VERSION=v1.7.0
|
||||
|
||||
# Порог pnpm audit для production-зависимостей frontend.
|
||||
# Значения: low | moderate | high | critical.
|
||||
PNPM_AUDIT_LEVEL=high
|
||||
|
||||
# ------------------------------------------------ политика выбора Hysteria ---
|
||||
|
||||
# stable — резолвить последний стабильный upstream-релиз на build-машине;
|
||||
|
||||
Reference in New Issue
Block a user