672d455467
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
134 lines
3.2 KiB
Go
134 lines
3.2 KiB
Go
package service
|
|
|
|
import (
|
|
"bufio"
|
|
"encoding/json"
|
|
"fmt"
|
|
"hy2xs-admin/model/vo"
|
|
"hy2xs-admin/util"
|
|
"strconv"
|
|
"strings"
|
|
"time"
|
|
)
|
|
|
|
type journalctlLogLine struct {
|
|
Message string `json:"MESSAGE"`
|
|
Priority string `json:"PRIORITY"`
|
|
RealtimeTimestamp string `json:"__REALTIME_TIMESTAMP"`
|
|
}
|
|
|
|
func normalizeJournalLineLimit(value int, fallback int, max int) int {
|
|
if value <= 0 {
|
|
return fallback
|
|
}
|
|
if value > max {
|
|
return max
|
|
}
|
|
return value
|
|
}
|
|
|
|
func ReadHysteriaJournalLogs(numLine int) ([]vo.LogHysteria2Vo, int, error) {
|
|
lines := normalizeJournalLineLimit(numLine, 100, 300)
|
|
|
|
output, err := util.Exec(fmt.Sprintf("journalctl --no-pager -u hysteria-server.service -n %d -o json", lines))
|
|
if err != nil {
|
|
return nil, 0, err
|
|
}
|
|
|
|
result := make([]vo.LogHysteria2Vo, 0, lines)
|
|
scanner := bufio.NewScanner(strings.NewReader(output))
|
|
for scanner.Scan() {
|
|
line := strings.TrimSpace(scanner.Text())
|
|
if line == "" {
|
|
continue
|
|
}
|
|
|
|
item := journalctlLogLine{}
|
|
if err = json.Unmarshal([]byte(line), &item); err != nil {
|
|
continue
|
|
}
|
|
|
|
result = append(result, parseHysteriaJournalRecord(item))
|
|
}
|
|
|
|
if scanErr := scanner.Err(); scanErr != nil {
|
|
return nil, 0, scanErr
|
|
}
|
|
|
|
return result, len(result), nil
|
|
}
|
|
|
|
// ExportHysteriaJournalLogs отдаёт журнал Hysteria оператору.
|
|
//
|
|
// Файл покидает сервер, поэтому проходит тот же санитайз, что и остальные
|
|
// выгружаемые артефакты: HY2_AUTH_URL несёт access_token, и upstream волен
|
|
// упомянуть его в сообщении об ошибке обращения к auth-backend.
|
|
func ExportHysteriaJournalLogs(numLine int) (string, error) {
|
|
lines := normalizeJournalLineLimit(numLine, 5000, 10000)
|
|
|
|
output, err := util.Exec(fmt.Sprintf("journalctl --no-pager -u hysteria-server.service -n %d -o short-iso", lines))
|
|
if err != nil {
|
|
return "", err
|
|
}
|
|
return SanitizeLogText(output), nil
|
|
}
|
|
|
|
func parseHysteriaJournalRecord(item journalctlLogLine) vo.LogHysteria2Vo {
|
|
fallbackTime := convertJournalTimestamp(item.RealtimeTimestamp)
|
|
fallbackLevel := mapJournalPriorityToLevel(item.Priority)
|
|
|
|
if strings.TrimSpace(item.Message) == "" {
|
|
return vo.LogHysteria2Vo{
|
|
Level: fallbackLevel,
|
|
Msg: "",
|
|
Time: fallbackTime,
|
|
}
|
|
}
|
|
|
|
parsed := vo.LogHysteria2Vo{}
|
|
if err := json.Unmarshal([]byte(item.Message), &parsed); err == nil {
|
|
if parsed.Level == "" {
|
|
parsed.Level = fallbackLevel
|
|
}
|
|
if parsed.Time == "" {
|
|
parsed.Time = fallbackTime
|
|
}
|
|
if parsed.Msg == "" {
|
|
parsed.Msg = item.Message
|
|
}
|
|
parsed.Msg = SanitizeLogText(parsed.Msg)
|
|
return parsed
|
|
}
|
|
|
|
return vo.LogHysteria2Vo{
|
|
Level: fallbackLevel,
|
|
Msg: SanitizeLogText(item.Message),
|
|
Time: fallbackTime,
|
|
}
|
|
}
|
|
|
|
func convertJournalTimestamp(raw string) string {
|
|
if raw == "" {
|
|
return ""
|
|
}
|
|
|
|
us, err := strconv.ParseInt(raw, 10, 64)
|
|
if err != nil {
|
|
return ""
|
|
}
|
|
|
|
t := time.UnixMicro(us)
|
|
return t.Format("2006-01-02 15:04:05")
|
|
}
|
|
|
|
func mapJournalPriorityToLevel(priority string) string {
|
|
switch strings.TrimSpace(priority) {
|
|
case "0", "1", "2", "3":
|
|
return "error"
|
|
case "4":
|
|
return "warn"
|
|
default:
|
|
return "info"
|
|
}
|
|
}
|