fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

apps/util/exec_probe_test.go

@@ -0,0 +1,68 @@
+package util
+
+import (
+	"strings"
+	"testing"
+)
+
+// ExecProbe отличает «команда ответила ненулевым кодом» от «команду не удалось
+// запустить».
+//
+// Проверка нужна потому, что на этом различии стоит диагностика службы:
+// `systemctl is-active` отвечает словом состояния в stdout И кодом возврата 3,
+// а Exec выбрасывает вывод при любом ненулевом коде. Пока другого примитива не
+// было, «служба неактивна» и «спросить не получилось» приходили в панель одним
+// и тем же значением.
+//
+// Продуктовая среда — Linux, поэтому проверка требует рабочего bash. Там, где
+// его нет (машина разработчика под Windows), она пропускается: подменять здесь
+// запуск процесса нечем — именно поведение запуска и проверяется.
+func requireShell(t *testing.T) {
+	t.Helper()
+
+	if _, err := Exec("true"); err != nil {
+		t.Skip("bash недоступен в этой среде: проверка запуска процесса пропущена")
+	}
+}
+
+func TestExecProbeReturnsOutputWithNonZeroExitCode(t *testing.T) {
+	requireShell(t)
+
+	output, code, err := ExecProbe("echo inactive; exit 3")
+	if err != nil {
+		t.Fatalf("ненулевой код возврата признан отказом запуска: %v", err)
+	}
+	if code != 3 {
+		t.Fatalf("код возврата %d, ожидался 3", code)
+	}
+	if strings.TrimSpace(output) != "inactive" {
+		t.Fatalf("вывод потерян: %q", output)
+	}
+}
+
+func TestExecProbeReturnsZeroExitCode(t *testing.T) {
+	requireShell(t)
+
+	output, code, err := ExecProbe("echo active")
+	if err != nil {
+		t.Fatalf("успешная команда признана отказом: %v", err)
+	}
+	if code != 0 {
+		t.Fatalf("код возврата %d, ожидался 0", code)
+	}
+	if strings.TrimSpace(output) != "active" {
+		t.Fatalf("вывод потерян: %q", output)
+	}
+}
+
+// Отсутствующий интерпретатор — это уже отказ запуска, а не ответ команды.
+func TestExecProbeReportsLaunchFailure(t *testing.T) {
+	requireShell(t)
+
+	_, _, err := ExecProbe("hy2xs-no-such-command-ever")
+	// bash отвечает кодом 127: команда не найдена — это ОТВЕТ оболочки, а не
+	// отказ запуска, поэтому ошибки здесь быть не должно.
+	if err != nil {
+		t.Fatalf("ответ оболочки 127 признан отказом запуска: %v", err)
+	}
+}

apps/util/linux.go

@@ -37,6 +37,42 @@ func Exec(cmd string) (string, error) {
 	return string(output), nil
 }
 
+// ExecProbe запускает команду, для которой НЕНУЛЕВОЙ КОД ВОЗВРАТА — это ответ,
+// а не отказ.
+//
+// Зачем это отдельно от Exec. Exec выбрасывает вывод, как только код возврата
+// не нулевой, и схлопывает два разных события в одну ошибку:
+//
+//	systemctl is-active -> "inactive", код 3   — служба неактивна;
+//	systemctl запустить не удалось              — состояние неизвестно.
+//
+// Для команд-действий (`systemctl restart`) такое поведение верно: там любой
+// ненулевой код означает неудачу. Но `is-active` — это ВОПРОС, и ответ на него
+// приезжает именно в stdout вместе с кодом 3. Пока в продукте не было способа
+// его прочитать, дашборд не мог отличить «Hysteria остановлена» от «спросить не
+// получилось» и показывал оба состояния как «остановлена».
+//
+// Возвращаемая ошибка означает ровно одно: процесс не удалось запустить или
+// дождаться. Ненулевой код возврата ошибкой здесь не является и приезжает
+// вызывающему числом.
+func ExecProbe(cmd string) (string, int, error) {
+	command := exec.Command("bash", "-c", cmd)
+	command.Env = os.Environ()
+
+	output, err := command.CombinedOutput()
+	if err == nil {
+		return string(output), 0, nil
+	}
+
+	var exitErr *exec.ExitError
+	if errors.As(err, &exitErr) {
+		return string(output), exitErr.ExitCode(), nil
+	}
+
+	logrus.Errorf("probe command failed cmd: %s err: %v", cmd, err)
+	return "", -1, fmt.Errorf("probe command failed cmd: %s", cmd)
+}
+
 func Systemctl(action string, unit string) error {
 	_, err := Exec(fmt.Sprintf("systemctl %s %s", action, unit))
 	return err

apps/util/string.go

@@ -1,36 +0,0 @@
-package util
-
-import "strings"
-
-func CompareVersion(version1, version2 string) int {
-	v1 := strings.Split(version1, ".")
-	v2 := strings.Split(version2, ".")
-
-	// Compare major version numbers
-	if v1[0] > v2[0] {
-		return 1
-	} else if v1[0] < v2[0] {
-		return -1
-	}
-
-	// If the major version numbers are the same, compare the minor version numbers
-	if len(v1) > 1 && len(v2) > 1 {
-		if v1[1] > v2[1] {
-			return 1
-		} else if v1[1] < v2[1] {
-			return -1
-		}
-	}
-
-	// If the major and minor versions are the same, compare the revision numbers
-	if len(v1) > 2 && len(v2) > 2 {
-		if v1[2] > v2[2] {
-			return 1
-		} else if v1[2] < v2[2] {
-			return -1
-		}
-	}
-
-	// The version number is exactly the same
-	return 0
-}