672d455467
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
163 lines
6.4 KiB
TypeScript
163 lines
6.4 KiB
TypeScript
import { describe, expect, test } from "bun:test";
|
||
import {
|
||
assertCleanHost,
|
||
detectLegacyMarkers,
|
||
legacyMarkersFor,
|
||
renderLegacyFailure,
|
||
type HostProbe
|
||
} from "../src/steps/cleanHost";
|
||
import {
|
||
ORCHESTRATOR_INSTALL_DIR,
|
||
ORCHESTRATOR_SYMLINK_PATH,
|
||
RUNTIME_PACKAGE_DIR
|
||
} from "../src/config/profile";
|
||
import { baselineConfig } from "./fixtures";
|
||
|
||
/**
|
||
* Проба, которая считает «существующими» ровно переданный набор целей.
|
||
* Это позволяет проверить контракт чистого хоста без файловой системы.
|
||
*/
|
||
function probeWith(present: readonly string[]): HostProbe {
|
||
const set = new Set(present);
|
||
return {
|
||
async fileExists(path) {
|
||
return set.has(path);
|
||
},
|
||
async dirExists(path) {
|
||
return set.has(path);
|
||
},
|
||
async unitExists(unit) {
|
||
return set.has(unit);
|
||
}
|
||
};
|
||
}
|
||
|
||
const config = baselineConfig();
|
||
|
||
describe("clean-host контракт", () => {
|
||
test("чистый хост проходит", async () => {
|
||
await expect(assertCleanHost(config, probeWith([]))).resolves.toBeUndefined();
|
||
});
|
||
|
||
test("каждый маркер по отдельности останавливает установку", async () => {
|
||
const markers = legacyMarkersFor(config);
|
||
expect(markers.length).toBeGreaterThan(10);
|
||
|
||
for (const marker of markers) {
|
||
const probe = probeWith([marker.target]);
|
||
await expect(assertCleanHost(config, probe)).rejects.toThrow(
|
||
/предыдущая или посторонняя установка/
|
||
);
|
||
}
|
||
});
|
||
|
||
test("список покрывает состояние, юниты, бинарник и наследие 0.x", () => {
|
||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||
|
||
for (const expected of [
|
||
"/etc/hysteria/post-install.env",
|
||
"/etc/hy2xs/hy2xs.env",
|
||
"/var/lib/hy2xs/install-state.json",
|
||
"/etc/hy2xs/bootstrap-admin.secret",
|
||
"/usr/local/lib/hy2xs/package",
|
||
"/usr/local/lib/hy2xs",
|
||
"/usr/local/bin/hy2xs-orchestrator",
|
||
"/etc/hysteria/config.yaml",
|
||
"/usr/local/bin/hysteria",
|
||
"/var/lib/hysteria",
|
||
"/etc/nftables.d/hy2xs.nft",
|
||
"hy2xs-admin.service",
|
||
"hysteria-server.service",
|
||
"h-ui.service",
|
||
"/usr/local/h-ui",
|
||
config.installDir,
|
||
config.dataDir,
|
||
config.logDir
|
||
]) {
|
||
expect(targets).toContain(expected);
|
||
}
|
||
});
|
||
|
||
/**
|
||
* purge-v0.sh и clean-host обязаны описывать одну и ту же границу.
|
||
*
|
||
* Регрессия: purge удалял /var/lib/hysteria, /var/log/hy2xs,
|
||
* /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator, а clean-host их
|
||
* не проверял. Сервер, где остался только старый ACME-state Hysteria,
|
||
* проходил проверку и получал свежую установку поверх чужого runtime.
|
||
*/
|
||
test("всё, что удаляет purge-v0.sh, проверяется clean-host контрактом", () => {
|
||
const purgedPaths = [
|
||
"/etc/hy2xs",
|
||
"/etc/hysteria",
|
||
"/var/lib/hy2xs",
|
||
"/var/lib/hy2xs-admin",
|
||
"/var/lib/hysteria",
|
||
"/var/log/hy2xs",
|
||
"/opt/hy2xs-admin",
|
||
"/usr/local/lib/hy2xs",
|
||
"/usr/local/h-ui",
|
||
"/usr/local/bin/hy2xs-orchestrator",
|
||
"/usr/local/bin/hysteria",
|
||
"/etc/nftables.d/hy2xs.nft"
|
||
];
|
||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||
|
||
for (const purged of purgedPaths) {
|
||
const covered = targets.some((target) => target === purged || target.startsWith(`${purged}/`));
|
||
expect(covered, `purge удаляет ${purged}, но clean-host его не проверяет`).toBe(true);
|
||
}
|
||
});
|
||
|
||
/**
|
||
* Регрессия архитектуры установки.
|
||
*
|
||
* Пока PHASE 1 начиналась в install.sh, у списка маркеров была вторая,
|
||
* «мягкая» версия: пути, которые shell успевал создать между фазами,
|
||
* исключались из проверки. Это была не оптимизация, а компенсация того, что
|
||
* мутировали двое.
|
||
*
|
||
* Теперь bootstrap выполняет сам оркестратор — уже ПОСЛЕ clean-host, — и
|
||
* послаблений быть не должно: любой из этих путей на входе означает чужую
|
||
* установку, при любом вызове.
|
||
*/
|
||
test("bootstrap-пути остаются маркерами без всяких исключений", async () => {
|
||
for (const target of [ORCHESTRATOR_INSTALL_DIR, RUNTIME_PACKAGE_DIR, ORCHESTRATOR_SYMLINK_PATH]) {
|
||
await expect(assertCleanHost(config, probeWith([target]))).rejects.toThrow(
|
||
/предыдущая или посторонняя установка/
|
||
);
|
||
}
|
||
});
|
||
|
||
test("маркеры bootstrap-путей берутся из профиля, а не из копий строк", () => {
|
||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||
expect(targets).toContain(ORCHESTRATOR_INSTALL_DIR);
|
||
expect(targets).toContain(RUNTIME_PACKAGE_DIR);
|
||
expect(targets).toContain(ORCHESTRATOR_SYMLINK_PATH);
|
||
});
|
||
|
||
test("пути из конфигурации попадают в список, а не только дефолтные", () => {
|
||
const custom = baselineConfig({
|
||
HY2XS_INSTALL_DIR: "/srv/hy2xs-app",
|
||
HY2XS_DATA_DIR: "/srv/hy2xs-data"
|
||
});
|
||
const targets = legacyMarkersFor(custom).map((marker) => marker.target);
|
||
expect(targets).toContain("/srv/hy2xs-app");
|
||
expect(targets).toContain("/srv/hy2xs-data");
|
||
});
|
||
|
||
test("сообщение перечисляет все найденные маркеры и говорит, что хост не изменён", async () => {
|
||
const found = await detectLegacyMarkers(
|
||
legacyMarkersFor(config),
|
||
probeWith(["/etc/hy2xs/hy2xs.env", "hy2xs-admin.service"])
|
||
);
|
||
expect(found).toHaveLength(2);
|
||
|
||
const message = renderLegacyFailure(found);
|
||
expect(message).toContain("/etc/hy2xs/hy2xs.env");
|
||
expect(message).toContain("hy2xs-admin.service");
|
||
expect(message).toContain("Ни один файл на сервере не изменён");
|
||
expect(message).toContain("docs/14-legacy-cleanup.md");
|
||
});
|
||
});
|