founder
672d455467
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
92 lines
3.2 KiB
Go
92 lines
3.2 KiB
Go
package middleware
|
||
|
||
import (
|
||
"sort"
|
||
"strings"
|
||
"time"
|
||
|
||
"github.com/gin-gonic/gin"
|
||
"github.com/sirupsen/logrus"
|
||
"gopkg.in/natefinch/lumberjack.v2"
|
||
"hy2xs-admin/model/constant"
|
||
)
|
||
|
||
func InitLog() {
|
||
logrus.SetOutput(&lumberjack.Logger{
|
||
Filename: constant.SystemLogPath,
|
||
MaxSize: 1,
|
||
MaxBackups: 2,
|
||
MaxAge: 30,
|
||
Compress: true,
|
||
LocalTime: true,
|
||
})
|
||
logrus.SetFormatter(&logrus.JSONFormatter{TimestampFormat: "2006-01-02 15:04:05"})
|
||
logrus.SetLevel(logrus.InfoLevel)
|
||
}
|
||
|
||
// requestQueryKeys возвращает ИМЕНА query-параметров запроса, без значений.
|
||
//
|
||
// Для диагностики важно, был ли параметр передан, а не что в нём лежало.
|
||
// Список сортируется, чтобы одинаковые запросы давали одинаковую строку в
|
||
// логе и её можно было группировать.
|
||
func requestQueryKeys(c *gin.Context) string {
|
||
query := c.Request.URL.Query()
|
||
if len(query) == 0 {
|
||
return ""
|
||
}
|
||
keys := make([]string, 0, len(query))
|
||
for key := range query {
|
||
keys = append(keys, key)
|
||
}
|
||
sort.Strings(keys)
|
||
return strings.Join(keys, ",")
|
||
}
|
||
|
||
// LogHandler пишет журнал HTTP-запросов админки.
|
||
//
|
||
// В лог попадает ПУТЬ, а не RequestURI.
|
||
//
|
||
// Разница здесь не косметическая. RequestURI включает query string, а Hysteria
|
||
// обращается к машинному endpoint'у как
|
||
// /internal/hysteria/auth?access_token=<machine token> — то есть при каждом
|
||
// подключении пира. Пока логировался RequestURI, действующий machine token
|
||
// оседал открытым текстом в /var/log/hy2xs/hy2xs-admin.log, а этот файл
|
||
// отдаётся оператору через ExportLog и попадает в diagnostics-бандл.
|
||
// Получался постоянный канал утечки секрета в обычной штатной работе, мимо
|
||
// всей структурной редакции, сделанной для конфигов и env.
|
||
//
|
||
// Значения query-параметров не логируются вовсе: список того, «что можно», при
|
||
// таком подходе пришлось бы поддерживать вручную и он неизбежно разошёлся бы с
|
||
// набором маршрутов. Имена параметров сохранены — их для диагностики хватает.
|
||
func LogHandler() gin.HandlerFunc {
|
||
return func(c *gin.Context) {
|
||
startTime := time.Now()
|
||
|
||
c.Next()
|
||
|
||
statusCode := c.Writer.Status()
|
||
latencyTime := time.Since(startTime)
|
||
|
||
fields := logrus.Fields{
|
||
"statusCode": statusCode,
|
||
"latencyTime": latencyTime.Milliseconds(),
|
||
"clientIP": c.ClientIP(),
|
||
"reqMethod": c.Request.Method,
|
||
"reqPath": c.Request.URL.Path,
|
||
}
|
||
if keys := requestQueryKeys(c); keys != "" {
|
||
fields["reqQueryKeys"] = keys
|
||
}
|
||
|
||
entry := logrus.WithFields(fields)
|
||
|
||
if statusCode >= 500 {
|
||
entry.Error()
|
||
} else if statusCode >= 400 {
|
||
entry.Warn()
|
||
} else {
|
||
entry.Info()
|
||
}
|
||
}
|
||
}
|