fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

apps/controller/config.go

@@ -187,13 +187,34 @@ func ListConfig(c *gin.Context) {
 	vo.Success(configVos, c)
 }
 
+// GetHysteria2Config отдаёт панели конфигурацию в терминах production-профиля.
+//
+// Что было: `vo.Success(service.GetHysteria2Config(), c)` — внутренняя модель
+// серверного конфига сериализовалась в браузер целиком. У этого было два
+// следствия.
+//
+// Первое — секреты. `auth` и `trafficStats.secret` закрыты `json:"-"`, но
+// пароль обфускации, токены ACME DNS (`acme.dns.config`), учётные данные
+// outbound-прокси и masquerade уезжали в открытом виде. Скачиваемая выгрузка
+// того же конфига их вырезает, и читающий экран не имеет права быть щедрее.
+// Привилегий это не повышало — маршрут под admin JWT, — но и нужды в этих
+// значениях у read-only экрана нет.
+//
+// Второе — смысл ответа. Модель отдавала «все известные HY2XS поля», а панель
+// накладывала их на полный объект дефолтов, поэтому экран показывал не файл, а
+// файл, дополненный выдумкой: отсутствующий `trafficStats` превращался в
+// `:9999`. Ровно тот дрейф, который экран обязан показывать, он и скрывал.
+//
+// Теперь ответ описывает профиль явно, отличает «не задано» от значения и
+// отдельно перечисляет секции вне профиля. Полный документ доступен
+// санитизированной выгрузкой ниже.
 func GetHysteria2Config(c *gin.Context) {
-	config, err := service.GetHysteria2Config()
+	profile, err := service.BuildHysteria2Profile()
 	if err != nil {
 		vo.Fail(err.Error(), c)
 		return
 	}
-	vo.Success(config, c)
+	vo.Success(profile, c)
 }
 
 // ExportHysteria2Config отдаёт оператору фактический серверный конфиг.