2 Commits

Author	SHA1	Message	Date
founder	6d1686b2be	fix(admin): свести access-control к одному правилу и одному пути отзыва ... Второй разбор того же слоя, уже по состоянию после 162759c. Тема: границы между частями access-control. Прошлый проход починил одну операцию отзыва доступа и оставил остальные; правило доступа при этом продолжало существовать в двух экземплярах. Проведены три границы: состояние пира -> решение о доступе, сохранённое изменение -> живая сессия, планировщик -> принадлежащая ему работа. Правило доступа. Оно было записано двумя разными SQL-условиями: одним в выборке Hysteria2Auth, другим в выборке cron. Второе не является отрицанием первого, и расхождение приходилось ровно на границы — quota=0, usage=quota, now=expiresAt, now=bannedUntil: авторизация отказывала, cron сессию не рвал. Условие cron требовало СТРОГОГО превышения квоты, а счётчики растут порциями по ответу Traffic Stats API, поэтому точное равенство — обычный исход очередного сбора. Пир с исчерпанной квотой не пускался заново, но его живая сессия не разрывалась никогда. Политика вынесена в peerAccessDenied; авторизация ищет пира только по secret_digest, cron применяет ту же функцию. quota=-1 — единственный безлимит, quota=0 — ноль байтов, bannedUntil=now — блокировка уже закончилась. Строка без решающего поля трактуется как повреждённая и ведёт к отказу. Операции, оставлявшие живую сессию. DeletePeer состоял из одного dao.DeletePeer: строка исчезала вместе с auth_id, то есть вместе с единственным, чем эту сессию можно было завершить, — состояние становилось невосстановимым. Разрыв при изменении выполнялся только при disabled=1, поэтому мимо проходили смена секрета, урезание квоты ниже израсходованного, перенос срока в прошлое и снижение maxDevices. Импорт переписывает auth_id, секрет, квоту, срок и disabled целиком и не трогал сессий вовсе. Все операции идут теперь через один reconcileLiveSessions, а он — через disconnectAuthIDs, единственный вход к /kick: он принимает готовые идентификаторы, дедуплицирует их, разбивает на части и не обращается к базе. Импорт собирает старые auth_id ВНУТРИ транзакции (после commit их в базе уже нет) и рвёт ПОСЛЕ commit (до него клиент успел бы переподключиться к ещё не изменённому пиру). Правило асимметрично намеренно: ограничение применяется немедленно, послабление — нет. Цикл учёта. CronHandleAccount запускала горутину, которая запускала ещё две, — для планировщика джоба заканчивалась почти мгновенно, поэтому StopCron не ждал настоящей работы: releaseResource закрывал SQLite, а горутины продолжали в неё писать. Параллельность обеих половин означала ещё и то, что enforcement читал счётчики до записи снятой дельты. Джоба стала синхронной, под одним мьютексом на весь цикл, порядок строгий. Закрыты три nil-разыменования — trafficSecretConfig, item.AuthId и item.Id, — каждое из которых роняло процесс целиком вместе с обработчиком machine-auth. Гейт Hysteria2IsRunning убран: util.Exec не отличает «служба неактивна» от «спросить не удалось», и сломанный systemctl при живой Hysteria молча отключал и учёт, и enforcement. Потеря дельты при отказе SQLite больше не молчит: чтение /traffic?clear=1 деструктивно, и каждая потеря считается. Checkpoint accounting в 1.0.0 намеренно не вводится — квота здесь операционный предел доступа, а не учёт с финансово значимым каждым байтом. Лимит устройств. Между чтением /online и ответом allow место ничем не удерживалось: при online=max-1 два одновременных запроса получали разрешение оба. Мьютекс вокруг /online этого не чинит — ответив allow, админка не создаёт подключение, и следующий запрос продолжает видеть прежнее число. Появился process-local учёт выданных, но ещё не проявившихся разрешений: решение по сумме «подключено плюс зарезервировано», рост online снимает соответствующее их число, протухшие снимаются по внутреннему TTL. Сеть опрашивается вне блокировки. Гейты. Проверка «авторизация не возвращает успех из ветки ошибки» была записана регуляркой err != nil \{[\s\S]*?return \*peer\.Id, а ленивый [\s\S]*? свободно пересекает границы блоков: она даёт совпадение на коде из HEAD, то есть гейт нельзя было удовлетворить, не сломав продукт. Тело ветки теперь выделяется по балансу фигурных скобок, и логика проверена в обе стороны. go test -race стал обязательным шагом сборки: состояние трекера разрешений и мьютекс цикла учёта принадлежат процессу, и их корректность не наблюдаема ни в go test, ни в go vet; пропуск при недоступном компиляторе не предусмотрен. Панель. importPeerApi не объявлял skipErrorToast, а handleImport не имел ни try, ни catch: после появления частичного результата отказ уходил бы необработанным отклонением промиса, список не обновлялся бы при уже изменённой базе, а общий перехватчик показал бы предупреждение красной ошибкой. Формулировка peer_disconnect_failed во всех трёх местах сделана operation-neutral: через этот код отчитываются восемь операций, а для удалённого пира прежняя фраза «новые подключения пира запрещены» просто бессмысленна.	2026-09-01 20:46:21 +05:00
founder	672d455467	fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора ... Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.	2026-08-28 05:27:10 +05:00