Secret URL path for the panel

The panel port is open to the internet, and its login page and JS bundle
gave it away to any scanner in one GET. The installer now generates a
random UI_PREFIX: from outside the panel answers only under
http://IP:PORT/<prefix>/ and gives Go's plain "404 page not found" to
everything else. Loopback needs no prefix (CLI, local Prometheus, nginx on
the same host); while a move code is out, POST /migrate/v1/import is let
through without it, since the code carries no path.

A reinstall with kept data keeps the prefix; UI_PREFIX=off or a custom value
can be set before running the installer. A moved panel brings its prefix in
UI_PREFIX_MOVED, so old bookmarks and API clients keep working through the
relay. awg-ctrl status and credentials show the full panel address.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013bNGYiDst62wH3ZGTRPFLJ

internal/migrate/migrate.go

@@ -22,6 +22,7 @@ import (
 	"net/url"
 	"os"
 	"path/filepath"
+	"regexp"
 	"strconv"
 	"strings"
 	"time"
@@ -243,6 +244,11 @@ type Plan struct {
 	Env                       [][2]string
 }
 
+var reUIPrefix = regexp.MustCompile(`^[A-Za-z0-9_-]{8,64}$`)
+
+// ValidUIPrefix — годится ли строка в секретный префикс панели (UI_PREFIX).
+func ValidUIPrefix(s string) bool { return reUIPrefix.MatchString(s) }
+
 // NewPlan — env(k) → текущий порт этой панели (0 — не задан), host — её публичный адрес.
 func NewPlan(b *Bundle, env func(k string) int, uiPort int, host string) (*Plan, error) {
 	p := &Plan{SubPort: b.Num("sub_port"), NodePort: b.Num("node_port"), UIPort: uiPort, Host: host}
@@ -270,6 +276,11 @@ func NewPlan(b *Bundle, env func(k string) int, uiPort int, host string) (*Plan,
 	p.Env = append(p.Env, [2]string{"SUB_TLS", tlsOn})
 	// С этого момента панель считает, кто из клиентов и нод узнал её новый адрес.
 	p.Env = append(p.Env, [2]string{"MOVED_IN_AT", strconv.FormatInt(time.Now().Unix(), 10)})
+	// Секретный путь старой панели: по нему ходят её закладки и внешний API через ретранслятор.
+	// Свой префикс новая панель не меняет (иначе потеряла бы открытую вкладку) — принимает оба.
+	if px := b.Str("ui_prefix"); ValidUIPrefix(px) {
+		p.Env = append(p.Env, [2]string{"UI_PREFIX_MOVED", px})
+	}
 	// Заголовку PROXY от ретранслятора верим только с адреса старого сервера.
 	if ip := b.Str("server_ip"); ip != "" {
 		p.Env = append(p.Env, [2]string{"RELAY_FROM", ip})