2026-10-13 18:13:49 -05:00
# api
Backend NestJS (ESM) del ERP base. Proxy hacia SAP Business One Service Layer.
```bash
cp .env.example .env
npm run start:dev # http://localhost:3000/api/health
npm test # unitarios
npm run test:e2e # e2e
npm run lint
```
Configuración: `src/config/env.schema.ts` valida el `.env` al arrancar (zod); si algo es inválido, el proceso no inicia.
Nota: instalar dependencias con npm 11 (`npx npm@11 install` ); npm 10 falla al resolver peers con TypeScript 6.
2026-10-13 18:38:11 -05:00
## Autenticación
Login web contra `EmployeesInfo` (`U_WEB_USER` / `U_WEB_PASS` ); el backend usa la sesión SAP compartida.
Guard global: todo `/api/*` exige `Authorization: Bearer <token>` salvo rutas `@Public()` .
| Endpoint | Descripción |
|---|---|
| `POST /api/auth/login` `{username, password}` | Devuelve `{token, user, company}` |
| `GET /api/auth/me` | Usuario de la sesión |
| `POST /api/auth/logout` | Cierra la sesión (204) |
- Una sesión por usuario (un nuevo login invalida el token anterior); timeout deslizante `SESSION_TIMEOUT_MINUTES` (30).
- Tras 5 fallos por usuario (o 20 por IP) en 15 min responde 429.
- Sesiones en memoria: ejecutar un solo proceso.
```bash
curl -s -H 'Content-Type: application/json' -d '{"username":"USUARIO","password":"CLAVE"}' localhost:3000/api/auth/login
```
2026-10-13 18:47:51 -05:00
## Permisos de menú
Se guardan en SQLite (`SQLITE_PATH` , por defecto `./data/app.sqlite` , fuera del repo). Un usuario web (`U_WEB_USER` ) tiene una lista de patrones de ruta:
| Patrón | Permite |
|---|---|
| `*` | Todo (administrador) |
| `/ventas/*` | `/ventas` y todo lo que cuelga de `/ventas/` (no `/ventas-x` ) |
| `/ventas/ordenes` | Solo esa ruta |
| Endpoint | Quién | Descripción |
|---|---|---|
| `GET /api/user/menu` | Cualquier sesión | `{allowedPaths}` del usuario actual |
| `GET /api/permissions` , `GET /api/permissions/:webUser` | Administrador | Consulta |
| `PUT /api/permissions/:webUser` `{paths}` | Administrador | Reemplaza los permisos |
| `DELETE /api/permissions/:webUser` | Administrador | Elimina los permisos |
- `ADMIN_WEB_USERS=george,ana` garantiza `*` a esos usuarios en cada arranque (nunca se queda el sistema sin acceso).
- El sistema no deja quitar el acceso total al último administrador (409).
- El esquema se sincroniza automáticamente (`synchronize` ); pasar a migraciones cuando se estabilice por cliente.
- Si `better-sqlite3` falla al instalar en una máquina nueva: `npm rebuild better-sqlite3` .
