b52fac1394
Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export, и файл там оставался навсегда. При includeSecrets=true это означало расшифрованные секреты пиров — фактические учётные данные доступа — в открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки формируются в памяти, каталога export/ больше нет. Generic export/import таблицы config удалён целиком. Он исключал только сырой Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY, PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export выгружала их открытым текстом, импорт позволял подменить. Для PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже существующих пиров. Production-сценария у этой пары не было. Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира: в базу попадало имя любой длины и с любыми символами, disabled с произвольным числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в середине оставляла список наполовину изменённым, а импорт мог перезаписать bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret. Партия проверяется целиком до первой записи, неизвестные поля отклоняются. Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT, H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт аргументом, админка писала его в SQLite и тут же читала обратно, а UI показывал поля disabled — второй источник истины, из которого ничего нельзя было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR, база переименована в hy2xs-admin.db, reference-схема — в schema.sql. API namespace разделён по природе маршрутов: операторский API на /api, machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth — runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому объявлен одной константой на компонент. Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr: будущее upstream-поле с другим именем уносило учётные данные и access_token целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется значением, а не именем ключа — как в TS-санитайзере оркестратора. Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен: NProgress приходил со своим #29d и был единственным элементом вне палитры.
119 lines
3.0 KiB
Go
119 lines
3.0 KiB
Go
package cmd
|
|
|
|
import (
|
|
"errors"
|
|
"fmt"
|
|
"github.com/gin-gonic/gin"
|
|
"github.com/sirupsen/logrus"
|
|
"hy2xs-admin/dao"
|
|
"hy2xs-admin/middleware"
|
|
"hy2xs-admin/model/constant"
|
|
"hy2xs-admin/router"
|
|
"hy2xs-admin/service"
|
|
"hy2xs-admin/util"
|
|
"net"
|
|
"net/http"
|
|
"os"
|
|
"path/filepath"
|
|
"strconv"
|
|
"strings"
|
|
)
|
|
|
|
func resolveUiBindHost() (string, error) {
|
|
host := os.Getenv("HY2XS_UI_BIND_HOST")
|
|
if host == "" {
|
|
host = "127.0.0.1"
|
|
}
|
|
ip := net.ParseIP(host)
|
|
if ip == nil || ip.To4() == nil {
|
|
return "", errors.New("HY2XS_UI_BIND_HOST must be IPv4")
|
|
}
|
|
return host, nil
|
|
}
|
|
|
|
// resolveUiPort проверяет порт, полученный из контракта запуска.
|
|
//
|
|
// Источник истины — HY2XS_UI_PORT, который оркестратор подставляет в ExecStart
|
|
// как `-p`. Раньше это значение по дороге записывалось в SQLite и читалось
|
|
// оттуда обратно: круг, в котором база не добавляла ни одного факта, но делала
|
|
// вид, что порт принадлежит ей.
|
|
func resolveUiPort(port string) (int, error) {
|
|
trimmed := strings.TrimSpace(port)
|
|
if trimmed == "" {
|
|
return 0, errors.New("UI port is required: pass -p <port>")
|
|
}
|
|
value, err := strconv.Atoi(trimmed)
|
|
if err != nil || value < 1 || value > 65535 {
|
|
return 0, fmt.Errorf("port: %s is invalid", port)
|
|
}
|
|
return value, nil
|
|
}
|
|
|
|
func runServer(port string) error {
|
|
defer releaseResource()
|
|
|
|
middleware.InitLog()
|
|
|
|
uiPort, err := resolveUiPort(port)
|
|
if err != nil {
|
|
return err
|
|
}
|
|
bindHost, err := resolveUiBindHost()
|
|
if err != nil {
|
|
return err
|
|
}
|
|
|
|
if err := initFile(); err != nil {
|
|
return err
|
|
}
|
|
if err := dao.InitSql(); err != nil {
|
|
return err
|
|
}
|
|
if err := middleware.InitCron(); err != nil {
|
|
return err
|
|
}
|
|
if err := service.InitHysteria2(); err != nil {
|
|
return err
|
|
}
|
|
|
|
r := gin.Default()
|
|
router.Router(r)
|
|
|
|
// TLS внутри админки не поддерживается намеренно: панель слушает
|
|
// loopback и публикуется через SSH-туннель или reverse proxy, на котором
|
|
// TLS и заканчивается.
|
|
service.InitServer(fmt.Sprintf("%s:%d", bindHost, uiPort), r)
|
|
if err := service.StartServer(); err != nil && err != http.ErrServerClosed {
|
|
logrus.Errorf("start server err: %v", err)
|
|
return errors.New("start server err")
|
|
}
|
|
return nil
|
|
}
|
|
|
|
func releaseResource() {
|
|
if err := dao.CloseSqliteDB(); err != nil {
|
|
logrus.Errorf(err.Error())
|
|
}
|
|
if err := service.ReleaseHysteria2(); err != nil {
|
|
logrus.Errorf(err.Error())
|
|
}
|
|
}
|
|
|
|
func initFile() error {
|
|
var dirs = []string{
|
|
constant.LogDir,
|
|
constant.SqliteDBDir,
|
|
constant.BinDir,
|
|
filepath.Dir(constant.SqliteDBPath),
|
|
}
|
|
for _, item := range dirs {
|
|
if !util.Exists(item) {
|
|
if err := os.MkdirAll(item, 0o750); err != nil {
|
|
logrus.Errorf("%s create err: %v", item, err)
|
|
return errors.New(fmt.Sprintf("%s create err", item))
|
|
}
|
|
}
|
|
}
|
|
return nil
|
|
}
|