fix: restore backward compatibility with v3.0.12 configs and fix the released version string

[isaquepinheiro]

O Vinicius reportou dois problemas depois do v3.0.13. Fomos atrás, reproduzimos os dois na mão e a correção está aqui, com teste de regressão.

Nenhum dos dois vem do #263 — o git diff daquele PR não encosta em pkg/env/, utils/crypto/, internal/version/ nem .goreleaser.yaml. Os dois estavam dormentes no main e apareceram junto porque o v3.0.13 foi o primeiro release tagueado em muito tempo.

---

1. boss install / boss update morrem com Failed to decrypt PassPhrase

❌ Failed to decrypt PassPhrase: error on check block size: cipher text block size is too short

Atinge qualquer usuário que já tenha rodado boss login -s numa versão <= v3.0.12. E é destrutivo: a credencial some do arquivo, então toda execução seguinte falha igual — não adianta rodar de novo.

A cadeia

1. Até o v3.0.12 a auth era gravada como x/y/z. O 77196ee trocou para user/pass/keypass e criou a migração 7 para converter.
2. No startup, initializeDelphiVersion() roda antes de migration() (setup/setup.go:43 vs :46) e chama SaveConfiguration() quando delphi_path está vazio. Esse save serializa a struct nova — e apaga o z do arquivo.
3. A migração 7 (setup/migrations.go:52) relê o arquivo do disco. O z já não está lá, então ela não converte nada e o keypass fica vazio.
4. GetPassPhrase() chama Decrypt(key, ""). Base64 de "" são 0 bytes, menor que aes.BlockSize → o erro acima.
5. O 31e581d trocou msg.Err por msg.Die nesses getters, então o que era log virou exit 1.

Vale registrar que nenhum dos dois commits sozinho quebra o usuário. Com o 77196ee sozinho, o boss logava o erro e seguia (foi o que medimos rodando o v3.0.12). Com o 31e581d sozinho, o keypass nunca ficaria vazio. A combinação é que fecha o caminho. A ordem initializeDelphiVersion() antes de migration() é de 2019 e ficou correta por seis anos — só virou armadilha quando o formato mudou.

Como reproduzimos

Com o ormbr e o release oficial v3.0.13 no Windows:

Cenário	Resultado
v3.0.12 install	✅ exit 0
v3.0.13, sem auth configurada	✅ exit 0
v3.0.13, com auth SSH criada pelo v3.0.12 (config_version: 6 + z, sem delphi_path)	❌ erro acima, exit 1
v3.0.13, 2ª e 3ª execução	❌ mesmo erro — z já foi apagado

A correção

• Auth passa a carregar os campos legados x/y/z, então salvar uma config ainda não migrada faz round-trip em vez de destruí-los.
• Os getters tratam valor vazio como "não setado" e retornam cedo. Chave SSH sem passphrase legitimamente não guarda nada em keypass.
• A migração 7 lê os valores legados da config em memória em vez do arquivo, avisa em vez de morrer quando não consegue decriptar, e salva o que converteu.

Depois do patch, no mesmo ambiente:

Cenário	Resultado
Estado já corrompido (keypass vazio, z perdido)	✅ exit 0
Config v3.0.12 legítima (v6 + z, sem delphi_path)	✅ z → keypass migrado, exit 0
Passphrase real não-vazia	✅ convertida corretamente

2. boss -v reportando v0.0.1 com o commit em branco

Boss CLI Version: v0.0.1
Go Version: go1.26.0
Git Commit:

Confirmado baixando o asset oficial do v3.0.13 — não é a máquina de quem reportou.

Os ldflags do .goreleaser.yaml estão sem o -X, então o linker nunca recebe os valores e o binário fica com os defaults de internal/version. O Makefile:32 faz certo; só o GoReleaser, que é quem gera o release, não.

Ficou 17 meses invisível porque o v3.0.13 é o primeiro release construído pelo GoReleaser — dá para ver pelo nome dos assets:

Release	Assets	Origem
v3.0.12	boss-windows-amd64.zip	Makefile/gox — -X correto
v3.0.13	boss_Windows_x86_64.zip	GoReleaser — -X ausente

Também trocamos para version.version em vez de version.metadata: o metadata é concatenado ao version, então a linha anterior produziria v0.0.1+3.0.13 mesmo com o -X no lugar.

Depois do patch:

Boss CLI Version: v3.0.14
Go Version: go1.26.0
Git Commit: ae9d6123a2845972e2370d80da7b9dbec5d9f1b2

---

Testes

go test ./... verde nos 29 pacotes. Três testes novos em pkg/env/legacy_auth_test.go:

• TestAuthGettersTreatEmptyValuesAsUnset — o caso que derrubava o processo
• TestAuthRoundTripsEncryptedValues — garante que o early-return não quebrou o caminho normal
• TestLegacyAuthFieldsSurviveLoadAndSave — carrega uma config no formato v3.0.12, salva, e verifica que x/y/z continuam no arquivo

Uma observação sobre processo

A suíte nunca exercita um ~/.boss legado, então os dois commits passaram no CI e no review sem sinal nenhum. O terceiro teste acima cobre exatamente esse buraco. Se fizer sentido, dá para ampliar num teste de upgrade de ponta a ponta.

Um achado que deixamos de fora

Com auth SSH configurada para github.com, o boss falha todos os pulls com invalid auth method e mesmo assim imprime ✅ Installation completed successfully! com exit 0. O v3.0.12 pelo menos tentava SSH de verdade. Afeta quem usa repositórios privados. Não mexemos aqui para manter o escopo — abrimos issue separada se preferirem.

🤖 Generated with Claude Code

[codecov-commenter]

⚠️ Please install the to ensure uploads and comments are reliably processed by Codecov.

Codecov Report

❌ Patch coverage is 17.14286% with 29 lines in your changes missing coverage. Please review.
⚠️ Please upload report for BASE (main@46d3a43). Learn more about missing BASE report.

Files with missing lines	Patch %	Lines
setup/migrations.go	0.00%	24 Missing ⚠️
pkg/env/configuration.go	54.54%	5 Missing ⚠️
❗ Your organization needs to install the Codecov GitHub app to enable full functionality.

Additional details and impacted files

@@           Coverage Diff           @@
##             main     #268   +/-   ##
=======================================
  Coverage        ?   28.28%           
=======================================
  Files           ?       90           
  Lines           ?     5675           
  Branches        ?        0           
=======================================
  Hits            ?     1605           
  Misses          ?     3933           
  Partials        ?      137           

Flag	Coverage Δ
unittests	28.28% <17.14%> (?)

Flags with carried forward coverage won't be shown. Click here to find out more.

☔ View full report in Codecov by Harness.
📢 Have feedback on the report? Share it here.

🚀 New features to boost your workflow:

• ❄️ Test Analytics: Detect flaky tests, report on failures, and find test suite problems.