管理员重置命令限制验收

日期：2026-09-19。

需求与任务状态

[✓] 仅显式 systemctl start smail-admin 进入重置流程，systemctl stop smail-admin 终止流程。
[✓] restart、reload 及相关变体不能开启新的重置交互。
[✓] 交互绑定启动终端，取消后无系统共享密码请求残留。
[✓] 保留邮箱、动态码、安全码验证及受保护本机 IPC，不调整账户密码或生产数据库。
[✓] Windows 定向测试、Linux 测试、服务器实际命令验证和部署完成。

原因与修改

systemd 会将 restart 的启动阶段转换成 start Job，因此只检查 list-jobs 无法识别原始动作。Restart=no 只禁止自动重启，不限制管理员手工重启。reload 本身已被拒绝，但 systemctl 创建的密码代理会显示已有的系统共享输入请求。

管理程序现在要求唯一、本机 root、前台终端的显式 systemctl start smail-admin 进程，同时校验可执行文件、参数、进程启动时间及终端设备，继续保留 systemd 上下文及本机 IPC 校验。非交互启动、多服务、通配符、并发启动及重启命令均不授权。

输入直接绑定启动终端，验证内容可见，新密码不回显。保留终端行编辑、信号和换行设置，避免停止过程中与 shell 的终端恢复竞争。监测原启动进程退出或 PID 复用，取消输入并关闭连接。服务使用 KillMode=mixed，主进程先处理取消，再由 systemd 兜底清理。

实机验证

环境：部署服务器的 systemd 259，使用两个独立 SSH 终端；只进入菜单或输入无效选项，没有发送邮件或执行真实改密。

场景	实际结果
`start`	显示安全验证方式列表，仅启动终端可见
`stop`	流程终止，`inactive`、`Result=success`，终端模式正常
Ctrl+C	systemctl 退出，管理程序随后结束，无遗留输入请求
未运行时 `restart`	拒绝启动，退出码 1，无验证菜单
正在输入时 `restart`	systemd 先终止现有流程；新启动被拒绝，不重新显示菜单
`reload`	systemd 报不支持；另一终端现有输入不被接管，原流程可继续
`reload-or-restart`	拒绝启动，退出码 1，无验证菜单
未运行时 `try-restart`、`try-reload-or-restart`	systemd 返回成功但不执行动作，管理进程 PID 为 0
无效选项及结果提示	显示失败原因，按回车结束
系统密码请求目录	验证期间及结束后均无本次重置产生的 `ask.*`

自动化验证

本机：go test ./services/adminreset ./cmd/smail-admin 通过。
Linux：交叉编译后的 adminreset 完整测试在服务器隔离目录运行通过。
覆盖显式命令、危险参数变体、进程启动时间/PID 重用、root 身份、真实伪终端输入、密码无回显、输入取消和终端恢复。
go vet ./services/adminreset ./cmd/smail-admin、git diff --check 通过。
unit 校验通过；systemd 对现有其他服务的 CPUAccounting 弃用提示与本次修改无关。

systemd 行为边界

systemd 没有独立禁止手工 restart、同时允许 start/stop 的 unit 指令。因此不能删除 systemctl 自身的命令，也不能阻止它先执行重启的停止阶段。本次保证这些命令无法启动或重新进入重置流程。只读的 status、show 和日志查询继续可用。

原始命令检查约束正常部署操作，不构成对主机 root 的隔离；安全凭据验证和受保护本机 IPC 必须独立保留。验证二进制保存在 /run/smail-command-validation-20260919/，部署前备份保存在 /var/backups/smail-admin-command-20260919/。

3.7 KiB Raw Blame History Unescape Escape