founder
086b5d6624
verify_versions_contract получил сверку API namespace. Путь machine-auth
записывается в /etc/hysteria/config.yaml и в post-install.env, то есть по нему
Hysteria обращается к админке. Пока строка была продублирована в шаблонах,
smoke, тестах, приёмке и e2e, расхождение обнаруживалось только на живом
сервере. Теперь Go-константы, API_BASE фронтенда и оба шаблона сверяются
против значений, скомпилированных в оркестратор.
Приёмка проверяет, что:
- fatal_pre_apply недостижим после записи install-state;
- каждый ownership-флаг взводится раньше своего шага;
- у read-only фазы нет универсального раннера, через который можно
проскользнуть;
- инвариант публичного endpoint живёт в preflight и не обращается к внешним
сервисам определения IP;
- purge-v0.sh и clean-host описывают одну границу;
- секреты не попадают в персистентный файл экспорта;
- импорт пиров валидируется так же строго, как их создание;
- удалённые exportConfig/importConfig не вернулись.
Захардкоженная схема =2 в приёмке заменена на значение из versions.env: при
переходе на schema 3 пришлось бы помнить ещё и про эту строку.
Документация: контракт раннеров и ownership в 08, инвариант публичного
endpoint в 08/09/12/13 и README, сетевая идентичность панели и удалённые
export/import в 04, сценарии D1 (отказ сразу после PHASE 0) и D2 (устаревший
DNS после смены IPv4) в 11, версии package.json как не-версия продукта в 02.
287 lines
12 KiB
Bash
287 lines
12 KiB
Bash
#!/usr/bin/env bash
|
||
set -euo pipefail
|
||
|
||
# Загрузка и проверка контракта versions.env.
|
||
#
|
||
# versions.env отвечает на один вопрос: «какую версию продукта, на какой
|
||
# платформе и каким toolchain мы воспроизводимо собираем». Всё остальное
|
||
# (прикладные зависимости, конкретная версия Hysteria) живёт в собственных
|
||
# lock-механизмах.
|
||
#
|
||
# Подход — проверка, а не генерация. Генерируемые исходники ломают чистый
|
||
# чекаут: `bun test`, `tsc` и `go test` должны работать до запуска сборки.
|
||
# Поэтому profile.ts / package.json / hy2xs.env остаются обычными файлами,
|
||
# а verify_versions_contract роняет сборку при рассинхроне.
|
||
|
||
VERSIONS_ENV_FILE="${VERSIONS_ENV_FILE:-$ROOT_DIR/versions.env}"
|
||
|
||
REQUIRED_CONTRACT_VARS=(
|
||
HY2XS_VERSION
|
||
HY2XS_RELEASE_LINE
|
||
HY2XS_CONFIG_SCHEMA_VERSION
|
||
HY2XS_BUILD_OS
|
||
HY2XS_BUILD_OS_VERSION
|
||
HY2XS_BUILD_ARCH
|
||
HY2XS_TARGET_OS
|
||
HY2XS_TARGET_OS_VERSION
|
||
HY2XS_TARGET_ARCH
|
||
GO_VERSION
|
||
GO_LINUX_AMD64_SHA256
|
||
BUN_VERSION
|
||
BUN_LINUX_X64_SHA256
|
||
BUN_LINUX_X64_BASELINE_SHA256
|
||
NODE_VERSION
|
||
NODE_LINUX_X64_SHA256
|
||
PNPM_VERSION
|
||
HYSTERIA_CHANNEL
|
||
)
|
||
|
||
validate_sha256_value() {
|
||
local name="$1"
|
||
local value="$2"
|
||
printf '%s' "$value" | grep -Eq '^[a-f0-9]{64}$' \
|
||
|| fail "versions.env: $name must be a 64-char lowercase hex SHA256, got: $value"
|
||
}
|
||
|
||
load_versions_contract() {
|
||
[ -f "$VERSIONS_ENV_FILE" ] || fail "missing versions contract: $VERSIONS_ENV_FILE"
|
||
|
||
# HYSTERIA_CHANNEL допускает override из окружения: офлайн-сборка из
|
||
# закоммиченного lock не должна требовать правки versions.env.
|
||
local preset_channel="${HYSTERIA_CHANNEL:-}"
|
||
|
||
# shellcheck disable=SC1090
|
||
. "$VERSIONS_ENV_FILE"
|
||
|
||
if [ -n "$preset_channel" ]; then
|
||
HYSTERIA_CHANNEL="$preset_channel"
|
||
fi
|
||
|
||
local var value
|
||
for var in "${REQUIRED_CONTRACT_VARS[@]}"; do
|
||
value="${!var:-}"
|
||
[ -n "$value" ] || fail "versions.env: missing required $var"
|
||
done
|
||
|
||
validate_sha256_value GO_LINUX_AMD64_SHA256 "$GO_LINUX_AMD64_SHA256"
|
||
validate_sha256_value BUN_LINUX_X64_SHA256 "$BUN_LINUX_X64_SHA256"
|
||
validate_sha256_value BUN_LINUX_X64_BASELINE_SHA256 "$BUN_LINUX_X64_BASELINE_SHA256"
|
||
validate_sha256_value NODE_LINUX_X64_SHA256 "$NODE_LINUX_X64_SHA256"
|
||
|
||
printf '%s' "$HY2XS_VERSION" | grep -Eq '^[0-9]+\.[0-9]+\.[0-9]+$' \
|
||
|| fail "versions.env: HY2XS_VERSION must be X.Y.Z, got: $HY2XS_VERSION"
|
||
printf '%s' "$HY2XS_RELEASE_LINE" | grep -Eq '^[0-9]+$' \
|
||
|| fail "versions.env: HY2XS_RELEASE_LINE must be an integer, got: $HY2XS_RELEASE_LINE"
|
||
printf '%s' "$HY2XS_CONFIG_SCHEMA_VERSION" | grep -Eq '^[0-9]+$' \
|
||
|| fail "versions.env: HY2XS_CONFIG_SCHEMA_VERSION must be an integer"
|
||
|
||
# HY2XS_TARGET_OS — это дистрибутив (debian), а GOOS/`target_os` в metadata
|
||
# оперируют ядром. Производная величина, а не второй источник истины.
|
||
case "$HY2XS_TARGET_OS" in
|
||
debian) HY2XS_TARGET_GOOS=linux ;;
|
||
*) fail "versions.env: unsupported HY2XS_TARGET_OS: $HY2XS_TARGET_OS" ;;
|
||
esac
|
||
export HY2XS_TARGET_GOOS
|
||
|
||
# Мост к deps.sh: там больше нет собственных значений по умолчанию.
|
||
GO_REQUIRED="$GO_VERSION"
|
||
BUN_REQUIRED="$BUN_VERSION"
|
||
NODE_REQUIRED="$NODE_VERSION"
|
||
PNPM_REQUIRED="$PNPM_VERSION"
|
||
GO_ARCHIVE_SHA256="$GO_LINUX_AMD64_SHA256"
|
||
NODE_ARCHIVE_SHA256="$NODE_LINUX_X64_SHA256"
|
||
|
||
export HY2XS_VERSION HY2XS_RELEASE_LINE HY2XS_CONFIG_SCHEMA_VERSION
|
||
export HY2XS_BUILD_OS HY2XS_BUILD_OS_VERSION HY2XS_BUILD_ARCH
|
||
export HY2XS_TARGET_OS HY2XS_TARGET_OS_VERSION HY2XS_TARGET_ARCH
|
||
export GO_VERSION GO_LINUX_AMD64_SHA256
|
||
export BUN_VERSION BUN_LINUX_X64_SHA256 BUN_LINUX_X64_BASELINE_SHA256
|
||
export NODE_VERSION NODE_LINUX_X64_SHA256 PNPM_VERSION HYSTERIA_CHANNEL
|
||
export GO_REQUIRED BUN_REQUIRED NODE_REQUIRED PNPM_REQUIRED
|
||
export GO_ARCHIVE_SHA256 NODE_ARCHIVE_SHA256
|
||
}
|
||
|
||
# Ожидаемая контрольная сумма Bun зависит от выбранного артефакта: на CPU без
|
||
# AVX2 скачивается bun-linux-x64-baseline, и одного digest'а не хватает.
|
||
expected_bun_sha256() {
|
||
case "${BUN_ARTIFACT:-}" in
|
||
bun-linux-x64)
|
||
printf '%s' "$BUN_LINUX_X64_SHA256"
|
||
;;
|
||
bun-linux-x64-baseline)
|
||
printf '%s' "$BUN_LINUX_X64_BASELINE_SHA256"
|
||
;;
|
||
*)
|
||
fail "expected_bun_sha256: unknown BUN_ARTIFACT: ${BUN_ARTIFACT:-<unset>}"
|
||
;;
|
||
esac
|
||
}
|
||
|
||
read_json_string_field() {
|
||
local file="$1"
|
||
local field="$2"
|
||
grep -Eo "\"${field}\"[[:space:]]*:[[:space:]]*\"[^\"]*\"" "$file" \
|
||
| head -n1 \
|
||
| sed -E "s/.*:[[:space:]]*\"([^\"]*)\"/\1/"
|
||
}
|
||
|
||
read_env_field() {
|
||
local file="$1"
|
||
local key="$2"
|
||
grep -E "^${key}=" "$file" | head -n1 | cut -d= -f2-
|
||
}
|
||
|
||
expect_equal() {
|
||
local label="$1"
|
||
local actual="$2"
|
||
local expected="$3"
|
||
[ "$actual" = "$expected" ] \
|
||
|| fail "versions contract mismatch: $label is '$actual', versions.env declares '$expected'"
|
||
}
|
||
|
||
# Сравнение идёт с константами, СКОМПИЛИРОВАННЫМИ в оркестратор, а не с
|
||
# текстом исходников: grep по файлу не доказывает, что в бинарь попало то же.
|
||
verify_orchestrator_contract() {
|
||
local output
|
||
output="$(cd orchestrator && "$BUN_BIN" run tools/print-contract.ts)" \
|
||
|| fail "versions contract: orchestrator contract dump failed"
|
||
|
||
local line key value
|
||
while IFS= read -r line; do
|
||
[ -n "$line" ] || continue
|
||
key="${line%%=*}"
|
||
value="${line#*=}"
|
||
case "$key" in
|
||
HY2XS_CONFIG_SCHEMA_VERSION)
|
||
expect_equal "orchestrator HY2XS_CONFIG_SCHEMA_VERSION" "$value" "$HY2XS_CONFIG_SCHEMA_VERSION"
|
||
;;
|
||
HY2XS_RELEASE_LINE)
|
||
expect_equal "orchestrator HY2XS_RELEASE_LINE" "$value" "$HY2XS_RELEASE_LINE"
|
||
;;
|
||
HY2XS_TARGET_OS_VERSION)
|
||
expect_equal "orchestrator target OS version" "$value" "$HY2XS_TARGET_OS_VERSION"
|
||
;;
|
||
HY2XS_TARGET_ARCH)
|
||
expect_equal "orchestrator target arch" "$value" "$HY2XS_TARGET_ARCH"
|
||
;;
|
||
HY2XS_ADMIN_API_BASE)
|
||
HY2XS_ADMIN_API_BASE="$value"
|
||
;;
|
||
HY2XS_HYSTERIA_MACHINE_AUTH_PATH)
|
||
HY2XS_HYSTERIA_MACHINE_AUTH_PATH="$value"
|
||
;;
|
||
*)
|
||
fail "versions contract: unexpected orchestrator contract line: $line"
|
||
;;
|
||
esac
|
||
done <<<"$output"
|
||
|
||
[ -n "${HY2XS_ADMIN_API_BASE:-}" ] \
|
||
|| fail "versions contract: orchestrator did not report HY2XS_ADMIN_API_BASE"
|
||
[ -n "${HY2XS_HYSTERIA_MACHINE_AUTH_PATH:-}" ] \
|
||
|| fail "versions contract: orchestrator did not report HY2XS_HYSTERIA_MACHINE_AUTH_PATH"
|
||
export HY2XS_ADMIN_API_BASE HY2XS_HYSTERIA_MACHINE_AUTH_PATH
|
||
}
|
||
|
||
# API namespace — это runtime-контракт между тремя компонентами.
|
||
#
|
||
# Путь machine-auth уезжает в /etc/hysteria/config.yaml и в post-install.env,
|
||
# то есть по нему Hysteria обращается к админке. Пока строка была размазана по
|
||
# шаблонам, smoke, тестам и e2e, любое расхождение обнаруживалось только на
|
||
# живом сервере. Здесь она сверяется во всех местах сразу — против константы,
|
||
# скомпилированной в оркестратор.
|
||
verify_api_namespace_contract() {
|
||
local go_auth_path go_api_base
|
||
|
||
go_auth_path="$(grep -Eo 'HysteriaMachineAuthPath[[:space:]]*=[[:space:]]*"[^"]*"' apps/model/constant/api.go \
|
||
| head -n1 | sed -E 's/.*"([^"]*)"/\1/')"
|
||
go_api_base="$(grep -Eo 'AdminAPIBase[[:space:]]*=[[:space:]]*"[^"]*"' apps/model/constant/api.go \
|
||
| head -n1 | sed -E 's/.*"([^"]*)"/\1/')"
|
||
|
||
expect_equal "apps constant.HysteriaMachineAuthPath" "$go_auth_path" "$HY2XS_HYSTERIA_MACHINE_AUTH_PATH"
|
||
expect_equal "apps constant.AdminAPIBase" "$go_api_base" "$HY2XS_ADMIN_API_BASE"
|
||
|
||
local frontend_base
|
||
frontend_base="$(grep -Eo 'const API_BASE = "[^"]*"' apps/frontend/src/utils/request.ts \
|
||
| head -n1 | sed -E 's/.*"([^"]*)"/\1/')"
|
||
expect_equal "frontend API_BASE" "$frontend_base" "$HY2XS_ADMIN_API_BASE"
|
||
|
||
grep -qF "${HY2XS_HYSTERIA_MACHINE_AUTH_PATH}?access_token={{HYSTERIA_API_SECRET}}" \
|
||
package/templates/hysteria/config.yaml.tpl \
|
||
|| fail "versions contract: hysteria template does not use ${HY2XS_HYSTERIA_MACHINE_AUTH_PATH}"
|
||
grep -qF "${HY2XS_HYSTERIA_MACHINE_AUTH_PATH}?access_token={{HYSTERIA_API_SECRET}}" \
|
||
package/templates/env/post-install.env.tpl \
|
||
|| fail "versions contract: post-install env template does not use ${HY2XS_HYSTERIA_MACHINE_AUTH_PATH}"
|
||
|
||
# Старое пространство имён не имеет права вернуться ни в один компонент.
|
||
# Историческое имя допустимо только в docs/14-legacy-cleanup.md и в
|
||
# legacy-маркерах clean-host: там это имя чужого артефакта, а не наше.
|
||
local legacy_hits
|
||
legacy_hits="$(grep -rlF '/hui' \
|
||
apps/model apps/router apps/controller apps/service apps/frontend/src \
|
||
orchestrator/src orchestrator/test package/templates tools/test 2>/dev/null || true)"
|
||
[ -z "$legacy_hits" ] \
|
||
|| fail "versions contract: legacy /hui namespace came back in: $legacy_hits"
|
||
}
|
||
|
||
verify_go_toolchain_contract() {
|
||
local declared_go_line contract_minor go_minor
|
||
declared_go_line="$(grep -E '^go[[:space:]]+[0-9]' apps/go.mod | head -n1 | awk '{print $2}')"
|
||
[ -n "$declared_go_line" ] || fail "versions contract: apps/go.mod has no 'go' directive"
|
||
|
||
contract_minor="$(printf '%s' "$GO_VERSION" | cut -d. -f2)"
|
||
go_minor="$(printf '%s' "$declared_go_line" | cut -d. -f2)"
|
||
|
||
[ "$(printf '%s' "$GO_VERSION" | cut -d. -f1)" = "$(printf '%s' "$declared_go_line" | cut -d. -f1)" ] \
|
||
|| fail "versions contract: apps/go.mod major version $declared_go_line is incompatible with GO_VERSION $GO_VERSION"
|
||
[ "$go_minor" -le "$contract_minor" ] \
|
||
|| fail "versions contract: apps/go.mod requires go $declared_go_line, but GO_VERSION is $GO_VERSION"
|
||
}
|
||
|
||
verify_versions_contract() {
|
||
log_step "Verifying versions contract (versions.env)"
|
||
|
||
expect_equal "PACKAGE_VERSION" "${PACKAGE_VERSION:-}" "$HY2XS_VERSION"
|
||
|
||
expect_equal \
|
||
"orchestrator/package.json packageManager" \
|
||
"$(read_json_string_field orchestrator/package.json packageManager)" \
|
||
"bun@$BUN_VERSION"
|
||
|
||
expect_equal \
|
||
"apps/frontend/package.json packageManager" \
|
||
"$(read_json_string_field apps/frontend/package.json packageManager)" \
|
||
"pnpm@$PNPM_VERSION"
|
||
|
||
expect_equal \
|
||
"package/config/hy2xs.env HY2XS_CONFIG_SCHEMA_VERSION" \
|
||
"$(read_env_field package/config/hy2xs.env HY2XS_CONFIG_SCHEMA_VERSION)" \
|
||
"$HY2XS_CONFIG_SCHEMA_VERSION"
|
||
|
||
verify_orchestrator_contract
|
||
verify_api_namespace_contract
|
||
verify_go_toolchain_contract
|
||
|
||
expect_equal "build host OS" "$HY2XS_BUILD_OS" "debian"
|
||
expect_equal "build host arch" "$HY2XS_BUILD_ARCH" "amd64"
|
||
expect_equal "target OS" "$HY2XS_TARGET_OS" "debian"
|
||
expect_equal "target arch" "$HY2XS_TARGET_ARCH" "amd64"
|
||
|
||
log_info "versions contract is consistent: HY2XS $HY2XS_VERSION (release line $HY2XS_RELEASE_LINE, config schema $HY2XS_CONFIG_SCHEMA_VERSION)"
|
||
}
|
||
|
||
# Проверяется уже собранный бинарь: это единственное доказательство, что
|
||
# ldflags действительно доехали до артефакта.
|
||
verify_admin_version_contract() {
|
||
local binary="$1"
|
||
local reported expected
|
||
|
||
[ -x "$binary" ] || fail "versions contract: admin binary not found: $binary"
|
||
|
||
expected="v$HY2XS_VERSION"
|
||
reported="$("$binary" version 2>/dev/null | grep -Eo 'v[0-9]+\.[0-9]+\.[0-9]+' | head -n1 || true)"
|
||
|
||
[ -n "$reported" ] || fail "versions contract: admin binary did not report a version"
|
||
expect_equal "hy2xs-admin reported version" "$reported" "$expected"
|
||
}
|