founder
672d455467
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
102 lines
4.3 KiB
Bash
Executable File
102 lines
4.3 KiB
Bash
Executable File
#!/usr/bin/env sh
|
|
set -eu
|
|
|
|
# Установка HY2XS состоит из двух строго разделённых фаз.
|
|
#
|
|
# PHASE 0 — READ ONLY (этот файл, целиком)
|
|
# проверка прав, целостности пакета и чистоты хоста.
|
|
# Ни один persistent path не изменяется.
|
|
#
|
|
# PHASE 1 — MUTATION (оркестратор, `hy2xs-orchestrator install`)
|
|
# раскладка самого оркестратора, runtime-пакета и вся установка.
|
|
#
|
|
# Инвариант: у мутации ровно ОДИН владелец.
|
|
#
|
|
# Раньше PHASE 1 начиналась здесь: install.sh сам создавал /usr/local/lib/hy2xs,
|
|
# ставил туда бинарник, вешал symlink и копировал runtime-пакет, и только потом
|
|
# запускал оркестратор. Между этими двумя действиями оркестратор выполнял
|
|
# собственный preflight. Если он отказывал — сменился DNS, занялся порт,
|
|
# истёк таймаут резолвера, — у оркестратора ни один ownership-флаг не был
|
|
# взведён, отказ классифицировался как `fatal_pre_apply`, и пользователь читал
|
|
# «на сервере ничего не изменено». Хост при этом уже нёс каталог оркестратора,
|
|
# symlink и runtime-пакет, а следующий запуск упирался в них как в маркеры
|
|
# чужой установки.
|
|
#
|
|
# Отследить владение мутацией нельзя, пока мутируют двое. Поэтому здесь не
|
|
# осталось ни одной изменяющей команды: shell только проверяет и передаёт
|
|
# управление через exec. Сборка проверяет это структурно (tools/build/lib/verify.sh).
|
|
|
|
PACKAGE_DIR="$(CDPATH= cd -- "$(dirname -- "$0")" && pwd)"
|
|
ORCHESTRATOR="$PACKAGE_DIR/orchestrator/hy2xs-orchestrator"
|
|
|
|
log() {
|
|
printf '[hy2xs-install] %s\n' "$*"
|
|
}
|
|
|
|
fail() {
|
|
printf '[hy2xs-install] ERROR: %s\n' "$*" >&2
|
|
exit 1
|
|
}
|
|
|
|
# ---------------------------------------------------------------- PHASE 0 ---
|
|
|
|
log "PHASE 0: read-only checks (no persistent path is modified)"
|
|
|
|
if [ "$(id -u)" != "0" ]; then
|
|
fail "HY2XS install must run as root."
|
|
fi
|
|
|
|
if [ ! -x "$ORCHESTRATOR" ]; then
|
|
fail "Missing executable orchestrator artifact: $ORCHESTRATOR"
|
|
fi
|
|
|
|
if [ ! -f "$PACKAGE_DIR/metadata/checksums.txt" ]; then
|
|
fail "Missing package checksums: $PACKAGE_DIR/metadata/checksums.txt"
|
|
fi
|
|
|
|
log "verifying package checksums"
|
|
(
|
|
cd "$PACKAGE_DIR"
|
|
sha256sum -c metadata/checksums.txt
|
|
)
|
|
|
|
# PHASE 0 принимает только источник конфигурации: флаги, влияющие на мутацию
|
|
# (--skip-*), к read-only проверке отношения не имеют.
|
|
PREFLIGHT_CONFIG=""
|
|
scan_config_argument() {
|
|
while [ "$#" -gt 0 ]; do
|
|
case "$1" in
|
|
--config)
|
|
[ "$#" -ge 2 ] || fail "Missing value for --config"
|
|
PREFLIGHT_CONFIG="$2"
|
|
shift 2
|
|
;;
|
|
*)
|
|
shift
|
|
;;
|
|
esac
|
|
done
|
|
}
|
|
scan_config_argument "$@"
|
|
|
|
log "running clean-host preflight from the unpacked package"
|
|
if [ -n "$PREFLIGHT_CONFIG" ]; then
|
|
"$ORCHESTRATOR" preflight-install --package-dir "$PACKAGE_DIR" --config "$PREFLIGHT_CONFIG" \
|
|
|| fail "clean-host preflight failed; the server was left untouched"
|
|
else
|
|
"$ORCHESTRATOR" preflight-install --package-dir "$PACKAGE_DIR" \
|
|
|| fail "clean-host preflight failed; the server was left untouched"
|
|
fi
|
|
|
|
log "PHASE 0 passed"
|
|
|
|
# ---------------------------------------------------------------- PHASE 1 ---
|
|
#
|
|
# Всё, что ниже, выполняет оркестратор: он ставит себя в /usr/local/lib/hy2xs,
|
|
# раскладывает runtime-пакет и продолжает установку — уже под собственным
|
|
# учётом владения и с собственным rollback.
|
|
|
|
log "package directory: $PACKAGE_DIR"
|
|
log "handing the mutating phase over to the orchestrator"
|
|
exec "$ORCHESTRATOR" install --package-dir "$PACKAGE_DIR" "$@"
|