fix: 修复独立审计发现的两个高风险缺陷（H1 凭证写入竞态 / H2 管理接口默认开放）

[C3H3-AI]

Description / 变更描述

修复独立审计（AUDIT-2026-09-15.md）发现的两个高风险缺陷。
审计不依赖 TECHNICAL-DOC.md 的既有结论，每条均经代码定位或可复现实验验证。

---

🔴 H1 跨进程并发写凭证，会永久丢失 refreshToken

位置：src/internal/auth/auth.go:204（及 pool.go 的 state 文件）

原实现用固定临时文件名：

tmp := a.FilePath + ".tmp"

Auth.mu 只保护进程内，而实际是多进程架构：

进程	触发路径	位置
serverd	请求前预刷新	handler.go:472
serverd	定时保活	scheduler.go:374/414
ctl（独立进程）	面板点「刷新令牌」	ctl/main.go:317

两进程各有独立的内存副本与锁，进程间无互斥，且写同一个 tmp 文件。

实测（并发 800 次写入）：旧实现失败 292 次。

更严重的是逻辑丢失 —— 上游 refresh 会轮换 refreshToken（旧的即失效）：

落盘的 refreshToken: RT-1
→ 真正的 RT-2 已丢失
→ RT-1 已被上游轮换失效 → 下次刷新失败 → 需重新登录

（已确定性复现）

文件本身不会损坏（rename 是原子的），丢的是「较新的那个值」。

修复：新增 internal/atomicfile 包

• 临时文件改用 os.CreateTemp 生成唯一名 → 消除写交错与 rename 竞争
• 写入前对目标路径加跨进程 flock（unix；非 unix 退化为无锁，仅保证可交叉编译）
• 写入后 fsync 文件与目录

auth.go 与 pool.go（state 文件同理）一并改用。

---

🔴 H2 面板默认无登录，管理接口对整个内网开放

链路：

config.yaml 默认 webui_user/pass 为空
  → load_options() 中 "" 不是 None，会【覆盖】掉 DEFAULT_OPTIONS 的 admin/admin
  → _webui_enabled() == False
  → _mgmt_authorized() 回退到 _is_local()
  → _is_local() 对 172.30.* / 172.16.* / 192.168.* / 10.* 一律放行
  → 而 config.yaml 有 ports: 7870/tcp: 7870（映射到宿主机）

后果：局域网内任意设备访问 http://<HA>:7870/api/* 即可无认证
调用管理接口（账号列表、刷新令牌、修改配置）。

根因：ingress 转发（172.30.x）与 LAN 直连（192.168.x）的
源 IP 都是内网，仅凭 IP 段无法区分。

修复：拆分判断维度

• _is_loopback() 仅回环
• _is_private() 内网段（保留，注释说明其不可用于鉴权）
• _is_ingress() 按 /api/hassio_ingress/ 路径前缀识别（与既有 login_ui.py:1081 的同款判断一致）
• _mgmt_authorized() 未启用登录时只信任 ingress 与本机回环

同时移除已无调用点的 _is_local()，避免误用。

---

其他

• .gitignore 增加 __pycache__/ 与 *.pyc，并移除已误入库的 .pyc
• 新增 AUDIT-2026-09-15.md（完整审计报告）

---

验证

go build ./...   PASS
go vet ./...     PASS
go test ./...    PASS（含 atomicfile 4 个新单测）

scripts/test_mgmt_auth.py   11/11 通过

H1 对照实验（同一测试，旧实现 vs 新实现）：

实现	并发 800 次写入失败数
旧（固定 tmp 名）	292
新（atomicfile）	0

H2 真值表：11 个用例覆盖 ingress / 回环 / LAN / 公网 /
已登录 / 启用登录各组合，全通过。关键差异：

来源	旧	新
LAN 直连 192.168.x / 10.x	True（开放）	False（拒绝）
ingress 转发	True	True（保留）
本机回环	True	True（保留）

⚠️ 本 PR 改动了 login_ui.py（89KB、此前零测试）。
已加 scripts/test_mgmt_auth.py 覆盖本次改动的鉴权逻辑，
但面板其余部分仍无测试覆盖。

Type of change / 变更类型

• bugfix: Bug fix / 问题修复
• new feature: New feature / 新功能
• refactor: Code refactoring and optimization / 重构与优化
• breaking: Breaking change / 破坏性变更
• docs: Documentation / 文档更新

Testing / 测试

• HA Version / HA版本: 2024.1.0+
• Add-on Version / 加载项版本: 1.1.0b13
• Test Result / 测试结果: 见上方验证章节；H1 有对照实验，
  H2 有真值表，Go 侧 build/vet/test 全绿

Checklist / 自检清单

• Code follows project standards / 代码符合项目规范
• No debug code or unrelated files / 无调试代码或无关文件