Files
HY2XS_flamy/orchestrator/test/clean-host.test.ts
T
founder 672d455467 fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не
воспроизводились ни на одном dry-run и проявились бы только на живом сервере.

Установка

* preflight внутри install вызывался дважды и оба раза проверял clean-host.
  Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json,
  записанный после первого preflight, и опознавался как маркер посторонней
  установки: КАЖДАЯ чистая установка падала сразу после apt-get с
  fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста —
  условие входа в операцию, возможности платформы проверяются уже внутри
  PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания.

* PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs,
  ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом
  запускал оркестратор с его собственным preflight. Отказ того preflight
  объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже
  созданном каталоге оркестратора. Отследить владение мутацией невозможно,
  пока мутируют двое: install.sh больше не изменяет ничего, раскладку
  выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали
  в owned_paths. Как следствие удалено деление clean-host на фазы.

* diagnosticsCollect стояла перед rollback обычным await в install и в
  reconfigure. На заполненном диске она падает сама и отменяла откат целиком.
  Диагностика — best effort, откат — обязателен.

* reconfigure/repair выбирали записываемую фазу отказа регулярным выражением
  по тексту ошибки. Переведено на ownership-флаги.

Секреты

* Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria
  обращается к /internal/hysteria/auth?access_token=<секрет> при каждом
  подключении пира, поэтому действующий machine token оседал открытым текстом
  в hy2xs-admin.log, который отдаётся через ExportLog и попадает в
  diagnostics-бандл. Логируется путь; значения query не пишутся, имена —
  пишутся. Канала было два: gin.Default() печатает path?query в stdout,
  оттуда в journald и в тот же бандл, — панель переведена на gin.New() +
  Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь
  проходят санитайз. Сравнение токена — constant time.

* Config API позволял прочитать и подменить ключи приложения: getConfig и
  listConfig принимали произвольный ключ, а проверка записи была denylist'ом
  из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал
  master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут
  getConfig удалён целиком — потребителей у него не было ни одного.

Пиры

* Импорт применялся по одной записи вне транзакции, вопреки собственному
  контракту. Валидация не знает, что уже лежит в базе: cross-conflict по
  UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной
  транзакцией, криптоматериал считается до её открытия.

* Файл импорта мог содержать хвостовой JSON-документ, который молча не
  применялся. После разбора проверяется io.EOF.

* Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и
  подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и
  прежние клиентские ссылки после переноса переставали работать.

Сборка

* Два stale-грепа в приёмке роняли build.sh в самом конце, внутри
  verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй
  совпадал с router_test.go, который перечисляет удалённые маршруты, потому
  что проверяет их отсутствие: добавление регрессионного теста ломало сборку.

* verify_archive требовал наличия мутирующей строки в install.sh. Инвариант
  перевёрнут: их не должно быть ни одной.

Очистка

* Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы
  listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком
  сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из
  обычных доков, в docs/14 он остаётся — там это имена объектов для удаления.

* Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry:
  203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ
  резолвера отделён от отсутствия A-записи.

Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов,
приёмка прогнана против дерева.
2026-08-28 05:27:10 +05:00

163 lines
6.4 KiB
TypeScript
Raw Blame History

This file contains ambiguous Unicode characters
This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.
import { describe, expect, test } from "bun:test";
import {
assertCleanHost,
detectLegacyMarkers,
legacyMarkersFor,
renderLegacyFailure,
type HostProbe
} from "../src/steps/cleanHost";
import {
ORCHESTRATOR_INSTALL_DIR,
ORCHESTRATOR_SYMLINK_PATH,
RUNTIME_PACKAGE_DIR
} from "../src/config/profile";
import { baselineConfig } from "./fixtures";
/**
* Проба, которая считает «существующими» ровно переданный набор целей.
* Это позволяет проверить контракт чистого хоста без файловой системы.
*/
function probeWith(present: readonly string[]): HostProbe {
const set = new Set(present);
return {
async fileExists(path) {
return set.has(path);
},
async dirExists(path) {
return set.has(path);
},
async unitExists(unit) {
return set.has(unit);
}
};
}
const config = baselineConfig();
describe("clean-host контракт", () => {
test("чистый хост проходит", async () => {
await expect(assertCleanHost(config, probeWith([]))).resolves.toBeUndefined();
});
test("каждый маркер по отдельности останавливает установку", async () => {
const markers = legacyMarkersFor(config);
expect(markers.length).toBeGreaterThan(10);
for (const marker of markers) {
const probe = probeWith([marker.target]);
await expect(assertCleanHost(config, probe)).rejects.toThrow(
/предыдущая или посторонняя установка/
);
}
});
test("список покрывает состояние, юниты, бинарник и наследие 0.x", () => {
const targets = legacyMarkersFor(config).map((marker) => marker.target);
for (const expected of [
"/etc/hysteria/post-install.env",
"/etc/hy2xs/hy2xs.env",
"/var/lib/hy2xs/install-state.json",
"/etc/hy2xs/bootstrap-admin.secret",
"/usr/local/lib/hy2xs/package",
"/usr/local/lib/hy2xs",
"/usr/local/bin/hy2xs-orchestrator",
"/etc/hysteria/config.yaml",
"/usr/local/bin/hysteria",
"/var/lib/hysteria",
"/etc/nftables.d/hy2xs.nft",
"hy2xs-admin.service",
"hysteria-server.service",
"h-ui.service",
"/usr/local/h-ui",
config.installDir,
config.dataDir,
config.logDir
]) {
expect(targets).toContain(expected);
}
});
/**
* purge-v0.sh и clean-host обязаны описывать одну и ту же границу.
*
* Регрессия: purge удалял /var/lib/hysteria, /var/log/hy2xs,
* /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator, а clean-host их
* не проверял. Сервер, где остался только старый ACME-state Hysteria,
* проходил проверку и получал свежую установку поверх чужого runtime.
*/
test("всё, что удаляет purge-v0.sh, проверяется clean-host контрактом", () => {
const purgedPaths = [
"/etc/hy2xs",
"/etc/hysteria",
"/var/lib/hy2xs",
"/var/lib/hy2xs-admin",
"/var/lib/hysteria",
"/var/log/hy2xs",
"/opt/hy2xs-admin",
"/usr/local/lib/hy2xs",
"/usr/local/h-ui",
"/usr/local/bin/hy2xs-orchestrator",
"/usr/local/bin/hysteria",
"/etc/nftables.d/hy2xs.nft"
];
const targets = legacyMarkersFor(config).map((marker) => marker.target);
for (const purged of purgedPaths) {
const covered = targets.some((target) => target === purged || target.startsWith(`${purged}/`));
expect(covered, `purge удаляет ${purged}, но clean-host его не проверяет`).toBe(true);
}
});
/**
* Регрессия архитектуры установки.
*
* Пока PHASE 1 начиналась в install.sh, у списка маркеров была вторая,
* «мягкая» версия: пути, которые shell успевал создать между фазами,
* исключались из проверки. Это была не оптимизация, а компенсация того, что
* мутировали двое.
*
* Теперь bootstrap выполняет сам оркестратор — уже ПОСЛЕ clean-host, — и
* послаблений быть не должно: любой из этих путей на входе означает чужую
* установку, при любом вызове.
*/
test("bootstrap-пути остаются маркерами без всяких исключений", async () => {
for (const target of [ORCHESTRATOR_INSTALL_DIR, RUNTIME_PACKAGE_DIR, ORCHESTRATOR_SYMLINK_PATH]) {
await expect(assertCleanHost(config, probeWith([target]))).rejects.toThrow(
/предыдущая или посторонняя установка/
);
}
});
test("маркеры bootstrap-путей берутся из профиля, а не из копий строк", () => {
const targets = legacyMarkersFor(config).map((marker) => marker.target);
expect(targets).toContain(ORCHESTRATOR_INSTALL_DIR);
expect(targets).toContain(RUNTIME_PACKAGE_DIR);
expect(targets).toContain(ORCHESTRATOR_SYMLINK_PATH);
});
test("пути из конфигурации попадают в список, а не только дефолтные", () => {
const custom = baselineConfig({
HY2XS_INSTALL_DIR: "/srv/hy2xs-app",
HY2XS_DATA_DIR: "/srv/hy2xs-data"
});
const targets = legacyMarkersFor(custom).map((marker) => marker.target);
expect(targets).toContain("/srv/hy2xs-app");
expect(targets).toContain("/srv/hy2xs-data");
});
test("сообщение перечисляет все найденные маркеры и говорит, что хост не изменён", async () => {
const found = await detectLegacyMarkers(
legacyMarkersFor(config),
probeWith(["/etc/hy2xs/hy2xs.env", "hy2xs-admin.service"])
);
expect(found).toHaveLength(2);
const message = renderLegacyFailure(found);
expect(message).toContain("/etc/hy2xs/hy2xs.env");
expect(message).toContain("hy2xs-admin.service");
expect(message).toContain("Ни один файл на сервере не изменён");
expect(message).toContain("docs/14-legacy-cleanup.md");
});
});