founder
6d1686b2be
Второй разбор того же слоя, уже по состоянию после 162759c. Тема: границы между
частями access-control. Прошлый проход починил одну операцию отзыва доступа и
оставил остальные; правило доступа при этом продолжало существовать в двух
экземплярах. Проведены три границы: состояние пира -> решение о доступе,
сохранённое изменение -> живая сессия, планировщик -> принадлежащая ему работа.
Правило доступа. Оно было записано двумя разными SQL-условиями: одним в выборке
Hysteria2Auth, другим в выборке cron. Второе не является отрицанием первого, и
расхождение приходилось ровно на границы — quota=0, usage=quota, now=expiresAt,
now=bannedUntil: авторизация отказывала, cron сессию не рвал. Условие cron
требовало СТРОГОГО превышения квоты, а счётчики растут порциями по ответу
Traffic Stats API, поэтому точное равенство — обычный исход очередного сбора.
Пир с исчерпанной квотой не пускался заново, но его живая сессия не разрывалась
никогда. Политика вынесена в peerAccessDenied; авторизация ищет пира только по
secret_digest, cron применяет ту же функцию. quota=-1 — единственный безлимит,
quota=0 — ноль байтов, bannedUntil=now — блокировка уже закончилась. Строка без
решающего поля трактуется как повреждённая и ведёт к отказу.
Операции, оставлявшие живую сессию. DeletePeer состоял из одного dao.DeletePeer:
строка исчезала вместе с auth_id, то есть вместе с единственным, чем эту сессию
можно было завершить, — состояние становилось невосстановимым. Разрыв при
изменении выполнялся только при disabled=1, поэтому мимо проходили смена
секрета, урезание квоты ниже израсходованного, перенос срока в прошлое и
снижение maxDevices. Импорт переписывает auth_id, секрет, квоту, срок и disabled
целиком и не трогал сессий вовсе. Все операции идут теперь через один
reconcileLiveSessions, а он — через disconnectAuthIDs, единственный вход к /kick:
он принимает готовые идентификаторы, дедуплицирует их, разбивает на части и не
обращается к базе. Импорт собирает старые auth_id ВНУТРИ транзакции (после
commit их в базе уже нет) и рвёт ПОСЛЕ commit (до него клиент успел бы
переподключиться к ещё не изменённому пиру). Правило асимметрично намеренно:
ограничение применяется немедленно, послабление — нет.
Цикл учёта. CronHandleAccount запускала горутину, которая запускала ещё две, —
для планировщика джоба заканчивалась почти мгновенно, поэтому StopCron не ждал
настоящей работы: releaseResource закрывал SQLite, а горутины продолжали в неё
писать. Параллельность обеих половин означала ещё и то, что enforcement читал
счётчики до записи снятой дельты. Джоба стала синхронной, под одним мьютексом на
весь цикл, порядок строгий. Закрыты три nil-разыменования — trafficSecretConfig,
item.AuthId и item.Id, — каждое из которых роняло процесс целиком вместе с
обработчиком machine-auth. Гейт Hysteria2IsRunning убран: util.Exec не отличает
«служба неактивна» от «спросить не удалось», и сломанный systemctl при живой
Hysteria молча отключал и учёт, и enforcement. Потеря дельты при отказе SQLite
больше не молчит: чтение /traffic?clear=1 деструктивно, и каждая потеря
считается. Checkpoint accounting в 1.0.0 намеренно не вводится — квота здесь
операционный предел доступа, а не учёт с финансово значимым каждым байтом.
Лимит устройств. Между чтением /online и ответом allow место ничем не
удерживалось: при online=max-1 два одновременных запроса получали разрешение
оба. Мьютекс вокруг /online этого не чинит — ответив allow, админка не создаёт
подключение, и следующий запрос продолжает видеть прежнее число. Появился
process-local учёт выданных, но ещё не проявившихся разрешений: решение по сумме
«подключено плюс зарезервировано», рост online снимает соответствующее их число,
протухшие снимаются по внутреннему TTL. Сеть опрашивается вне блокировки.
Гейты. Проверка «авторизация не возвращает успех из ветки ошибки» была записана
регуляркой err != nil \{[\s\S]*?return \*peer\.Id, а ленивый [\s\S]*? свободно
пересекает границы блоков: она даёт совпадение на коде из HEAD, то есть гейт
нельзя было удовлетворить, не сломав продукт. Тело ветки теперь выделяется по
балансу фигурных скобок, и логика проверена в обе стороны. go test -race стал
обязательным шагом сборки: состояние трекера разрешений и мьютекс цикла учёта
принадлежат процессу, и их корректность не наблюдаема ни в go test, ни в go vet;
пропуск при недоступном компиляторе не предусмотрен.
Панель. importPeerApi не объявлял skipErrorToast, а handleImport не имел ни try,
ни catch: после появления частичного результата отказ уходил бы необработанным
отклонением промиса, список не обновлялся бы при уже изменённой базе, а общий
перехватчик показал бы предупреждение красной ошибкой. Формулировка
peer_disconnect_failed во всех трёх местах сделана operation-neutral: через этот
код отчитываются восемь операций, а для удалённого пира прежняя фраза «новые
подключения пира запрещены» просто бессмысленна.
64 lines
3.8 KiB
Go
64 lines
3.8 KiB
Go
package service
|
|
|
|
import (
|
|
"errors"
|
|
|
|
"hy2xs-admin/util"
|
|
)
|
|
|
|
// Жизненный цикл Hysteria принадлежит systemd и install-оркестратору.
|
|
// Панель умеет только наблюдать состояние: функций Start/Stop/Restart и
|
|
// смены версии здесь нет намеренно, а не «временно отключены».
|
|
|
|
// InitHysteria2 проверяет единственное, что панели действительно нужно от
|
|
// Hysteria на старте: наличие бинарника, версию которого показывает дашборд и
|
|
// у которого спрашивает состояние Hysteria2IsRunning.
|
|
//
|
|
// Чтения HYSTERIA2_ENABLE здесь больше нет. Ключ был последним следом модели,
|
|
// в которой панель сама запускала и останавливала Hysteria: clean install
|
|
// создавал его со значением "0", записать "1" было некому, а вся ветка
|
|
// сводилась к строке в журнале. Настройка, которая ничем не управляет, но
|
|
// выглядит выключателем, хуже отсутствующей.
|
|
func InitHysteria2() error {
|
|
if !util.Exists(util.GetHysteria2BinPath()) {
|
|
return errors.New("systemd-managed hysteria binary not found")
|
|
}
|
|
return nil
|
|
}
|
|
|
|
// Hysteria2IsRunning — ответ systemd о состоянии службы, и НЕ БОЛЬШЕ ТОГО.
|
|
//
|
|
// Точность этого ответа ограничена сверху устройством util.Exec: он схлопывает
|
|
// «systemctl вернул 3, служба неактивна» и «запустить systemctl не удалось» в
|
|
// одну ошибку. Различить их здесь нельзя, поэтому false означает «служба
|
|
// неактивна ИЛИ спросить не получилось».
|
|
//
|
|
// Отсюда правило, которое стоило продукту трёх дыр: на этом значении нельзя
|
|
// строить решения о доступе и о применении операции. Ему место в отображении
|
|
// (дашборд, признак online в списке), где ошибочное «выключено» стоит одной
|
|
// неверной плашки. Решения о доступе принимаются по фактическому ответу
|
|
// Traffic Stats API — см. hysteria2Online и disconnectAuthIDs.
|
|
//
|
|
// Третья дыра была самой дорогой и жила в cron: гейт `if !Hysteria2IsRunning()
|
|
// { return }` стоял перед всем циклом учёта, поэтому сломанный systemctl при
|
|
// живой Hysteria молча отключал и сбор трафика, и принудительное отключение —
|
|
// без единой строки в журнале.
|
|
func Hysteria2IsRunning() bool {
|
|
return hysteria2IsRunning()
|
|
}
|
|
|
|
// hysteria2IsRunning — та же проверка в виде значения.
|
|
//
|
|
// Переменная нужна тестам: без неё каждая проверка, зависящая от состояния
|
|
// службы, доказуема только на живом systemd, то есть не доказуема в сборке
|
|
// вовсе. Продуктовый путь от этого не меняется — значение по умолчанию и есть
|
|
// прежняя реализация.
|
|
var hysteria2IsRunning = func() bool {
|
|
_, err := util.Exec("systemctl is-active --quiet hysteria-server")
|
|
return err == nil
|
|
}
|
|
|
|
func ReleaseHysteria2() error {
|
|
return nil
|
|
}
|