5 Commits

Author	SHA1	Message	Date
founder	b315001288	fix(admin): различать достижимость Traffic Stats API и соответствие профилю ... Признак на странице конфигурации отвечал только на вопрос «достучится ли админка», поэтому 0.0.0.0 показывался как норма — хотя внутренний control plane при нём опубликован на всех интерфейсах, а оркестратор такой конфигурации не создаёт. Состояний теперь четыре: канон профиля, wildcard, не-канонический loopback и недостижимый адрес. Backend не тронут: он по-прежнему отвечает только на вопрос достижимости — превращать лишнюю публикацию в отказ обслуживания значило бы отключить всех пиров. Исправлено ложное утверждение в его комментарии: пустой хост `:36712` в Go означает все интерфейсы, а не loopback. Удалены мёртвые фразы common.wait/enableSuccess/disableSuccess — остатки операций запуска, остановки и смены версии Hysteria, которых у панели нет.	2026-09-03 03:39:42 +05:00
founder	cb20d8d28f	fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному ... Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним, поэтому сессия, установленная по отозванным учётным данным, была неотличима от законной, и цикл учёта не имел признака, по которому её следовало завершить. У состояния есть путь без единой неудачи — Hysteria регистрирует соединение в Traffic Stats API только после возврата backend-auth, поэтому успешный /kick может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт по старому, пережившая сессия становится orphan. Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4, админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала лимит устройств, учёт трафика и принудительное отключение разом. Адрес зафиксирован, а расхождение файла с ним админка называет. Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним значением, а доступность Traffic Stats API выводилась из него же. Журнал Hysteria разбирается в фактическом формате upstream (time — дробное число), страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в браузер, санитайзер выгрузки следует по YAML-якорям. Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md	2026-09-02 23:24:01 +05:00
founder	6d1686b2be	fix(admin): свести access-control к одному правилу и одному пути отзыва ... Второй разбор того же слоя, уже по состоянию после 162759c. Тема: границы между частями access-control. Прошлый проход починил одну операцию отзыва доступа и оставил остальные; правило доступа при этом продолжало существовать в двух экземплярах. Проведены три границы: состояние пира -> решение о доступе, сохранённое изменение -> живая сессия, планировщик -> принадлежащая ему работа. Правило доступа. Оно было записано двумя разными SQL-условиями: одним в выборке Hysteria2Auth, другим в выборке cron. Второе не является отрицанием первого, и расхождение приходилось ровно на границы — quota=0, usage=quota, now=expiresAt, now=bannedUntil: авторизация отказывала, cron сессию не рвал. Условие cron требовало СТРОГОГО превышения квоты, а счётчики растут порциями по ответу Traffic Stats API, поэтому точное равенство — обычный исход очередного сбора. Пир с исчерпанной квотой не пускался заново, но его живая сессия не разрывалась никогда. Политика вынесена в peerAccessDenied; авторизация ищет пира только по secret_digest, cron применяет ту же функцию. quota=-1 — единственный безлимит, quota=0 — ноль байтов, bannedUntil=now — блокировка уже закончилась. Строка без решающего поля трактуется как повреждённая и ведёт к отказу. Операции, оставлявшие живую сессию. DeletePeer состоял из одного dao.DeletePeer: строка исчезала вместе с auth_id, то есть вместе с единственным, чем эту сессию можно было завершить, — состояние становилось невосстановимым. Разрыв при изменении выполнялся только при disabled=1, поэтому мимо проходили смена секрета, урезание квоты ниже израсходованного, перенос срока в прошлое и снижение maxDevices. Импорт переписывает auth_id, секрет, квоту, срок и disabled целиком и не трогал сессий вовсе. Все операции идут теперь через один reconcileLiveSessions, а он — через disconnectAuthIDs, единственный вход к /kick: он принимает готовые идентификаторы, дедуплицирует их, разбивает на части и не обращается к базе. Импорт собирает старые auth_id ВНУТРИ транзакции (после commit их в базе уже нет) и рвёт ПОСЛЕ commit (до него клиент успел бы переподключиться к ещё не изменённому пиру). Правило асимметрично намеренно: ограничение применяется немедленно, послабление — нет. Цикл учёта. CronHandleAccount запускала горутину, которая запускала ещё две, — для планировщика джоба заканчивалась почти мгновенно, поэтому StopCron не ждал настоящей работы: releaseResource закрывал SQLite, а горутины продолжали в неё писать. Параллельность обеих половин означала ещё и то, что enforcement читал счётчики до записи снятой дельты. Джоба стала синхронной, под одним мьютексом на весь цикл, порядок строгий. Закрыты три nil-разыменования — trafficSecretConfig, item.AuthId и item.Id, — каждое из которых роняло процесс целиком вместе с обработчиком machine-auth. Гейт Hysteria2IsRunning убран: util.Exec не отличает «служба неактивна» от «спросить не удалось», и сломанный systemctl при живой Hysteria молча отключал и учёт, и enforcement. Потеря дельты при отказе SQLite больше не молчит: чтение /traffic?clear=1 деструктивно, и каждая потеря считается. Checkpoint accounting в 1.0.0 намеренно не вводится — квота здесь операционный предел доступа, а не учёт с финансово значимым каждым байтом. Лимит устройств. Между чтением /online и ответом allow место ничем не удерживалось: при online=max-1 два одновременных запроса получали разрешение оба. Мьютекс вокруг /online этого не чинит — ответив allow, админка не создаёт подключение, и следующий запрос продолжает видеть прежнее число. Появился process-local учёт выданных, но ещё не проявившихся разрешений: решение по сумме «подключено плюс зарезервировано», рост online снимает соответствующее их число, протухшие снимаются по внутреннему TTL. Сеть опрашивается вне блокировки. Гейты. Проверка «авторизация не возвращает успех из ветки ошибки» была записана регуляркой err != nil \{[\s\S]*?return \*peer\.Id, а ленивый [\s\S]*? свободно пересекает границы блоков: она даёт совпадение на коде из HEAD, то есть гейт нельзя было удовлетворить, не сломав продукт. Тело ветки теперь выделяется по балансу фигурных скобок, и логика проверена в обе стороны. go test -race стал обязательным шагом сборки: состояние трекера разрешений и мьютекс цикла учёта принадлежат процессу, и их корректность не наблюдаема ни в go test, ни в go vet; пропуск при недоступном компиляторе не предусмотрен. Панель. importPeerApi не объявлял skipErrorToast, а handleImport не имел ни try, ни catch: после появления частичного результата отказ уходил бы необработанным отклонением промиса, список не обновлялся бы при уже изменённой базе, а общий перехватчик показал бы предупреждение красной ошибкой. Формулировка peer_disconnect_failed во всех трёх местах сделана operation-neutral: через этот код отчитываются восемь операций, а для удалённого пира прежняя фраза «новые подключения пира запрещены» просто бессмысленна.	2026-09-01 20:46:21 +05:00
founder	162759c599	fix(admin): достроить вторые половины отзыва доступа, лимита и журнала ... Разбор кода на c0a43ae со сверкой с официальной документацией Hysteria 2. Общая тема: операции, у которых была только одна из двух необходимых половин. Отзыв доступа. Запись disabled=1 видит лишь выборка в Hysteria2Auth, то есть закрывает БУДУЩИЕ обращения к HTTP-auth; установленная QUIC-сессия живёт своей жизнью и сама не разрывается. После «Отключить» пир пользовался доступом сколько угодно долго, а панель показывала его отключённым. Появился DisconnectPeers — только официальный Traffic Stats /kick, без записи в базу; прежний Hysteria2Kick вместе с разрывом проставлял banned_until и потому для отключения не годился. Порядок «запись, затем разрыв» обратному не подлежит и доказан снимком базы в момент прихода /kick. Неудача разрыва не откатывает disabled и сообщается кодом peer_disconnect_failed: обычная ошибка означала бы для оператора вывод, прямо противоположный истине. KickPeer переведён на тот же примитив — он писал banned_until дважды и мог ответить чистым отказом уже в применённом состоянии. Ограничение устройств. Отказ /online обрабатывался возвратом успеха авторизации, то есть недоступность 127.0.0.1 превращала объявленный лимит в безлимит. Вторая половина дыры была тише: Hysteria2Online отдавал пустую карту БЕЗ ошибки, когда systemd отвечал «служба неактивна», — а этот ответ не отличается от «спросить systemctl не удалось». Пути разделены: терпимый для отображения, строгий для решения о доступе. Hysteria2IsRunning убран с путей принятия решений совсем. Журнал. entry.Info() вызывался без аргумента, и logrus писал "msg":"" для каждого запроса — пустой столбец на экране был точным отражением файла. Ветка «файла ещё нет» отвечала голым массивом вместо {records,total}, поэтому на свежей установке страница системных логов не работала вовсе. Битая строка вызывала vo.Fail И continue: клиент получал два JSON-документа подряд. Панель. Общий LogViewer и utils/download.ts (копий скачивания было четыре, две ставили запрос вне try и глушили причину); меню на command с быстрым включением/отключением; popper-style у подсказки; kick с подтверждением и названным сроком; отмена подтверждений перестала быть ошибкой. Отдельно: skipErrorToast гасил и транспортный отказ, при том что страницы писали «перехватчик уже показал» и молчали, — обрыв связи не показывал ничего. Закреплено go-тестами против настоящего HTTP, контрактными тестами панели и двумя гейтами приёмки. Ручная часть — в docs/acceptance/2026-09-01-v1.0.0-rc2-preflight-findings.md.	2026-09-01 17:17:17 +05:00
founder	c0a43ae915	fix(admin): закрыть обещания панели, которые продукт не выполнял ... Девятый проход, по итогам приёмки v1.0.0-rc1 на живом Debian 13. Общая тема: интерфейс обещал оператору то, что продукт умел, но до чего не доходило управление. Секрет пира. Подпись под полем предлагала оставить его пустым, сервер умел его сгенерировать, и генерация была недостижима: в go-playground/validator тег omitempty НЕ пропускает правило, если поле объявлено указателем и указатель не nil — hasValue считает указатель на пустую строку «значением». Правило min=6 применялось к пустой строке и отказывало. Ловушка закрыта общим шагом нормализации DTO, а не тегом на одном поле: та же ловушка ломала фильтр списка пиров, где очищенный крестиком el-input отправляет `?name=`. Граница проходит по каждому полю отдельно — у remark пустая строка означает «убрать пометку», у disabled ноль означает «включён». Отказы. Любая ошибка любого поля превращалась в слово `invalid`, а слой vo определял код ответа СРАВНЕНИЕМ текста сообщения — тот же антипаттерн, который запрещён панели, только на сервере. Ответ несёт errors[{code, field, message, params}]; панель выбирает фразу по коду и подставляет причины под поля. Сессия. Ветка «войдите заново» была недостижима дважды: сервер отвечает HTTP 200 на любой отказ, поэтому обработчик ошибок axios не вызывался, а условие в нём проверяло code === "A0230" и поле msg, которых в этом API никогда не было. Истёкший токен вдобавок уезжал с кодом системной ошибки. Иконки. Контракт currentColor был объявлен в двух местах и не действовал: восемь ассетов несли литеральный fill="#000000" на <path>, а атрибут представления перебивает унаследованное CSS-свойство. Под это попадали все семь иконок бокового меню на фоне #181818. Имя пира. Два правила на одном поле противоречили друг другу (min=1 против 6-32), а копия набора символов в слое контроллеров несла неэкранированный дефис и впускала `, - . / : ; <` — через панель проходило имя peer/name, которое импорт того же пира отклонял. Набор символов ЛОГИНА сознательно не сужен и закреплён тестом: он приходит из HY2XS_ADMIN_USER и оркестратором не ограничивается. Добавлены подпись «Разработано во Flamy» с адресом, принадлежащим приложению, и контрактные тесты панели как обязательный шаг сборки. Их исполняет Bun, а не vitest: jsdom не вычисляет currentColor и визуальной корректности не доказал бы, зато vitest привёл бы в граф pnpm audit сотню транзитивных зависимостей. docs/ разложена по слоям, 11-testing-and-acceptance.md (117 КБ) разбит на пять частей, добавлен docs/acceptance/ с отчётом о прогоне rc1 и перечнем дефектов. Обход документации в приёмке стал рекурсивным: плоский docs/*.md после разнесения по каталогам совпадал бы ровно с одним файлом.	2026-09-01 07:27:15 +05:00