- Login contra POST /api/auth/login; SessionStore en localStorage con el
timeout deslizante que informa el servidor (sessionTimeoutMinutes).
- Interceptor: Bearer en /api, renueva actividad y, ante 401, cierra la
sesión y vuelve al login recordando la ruta (solo rutas internas).
- Guards: sesión, invitado y permiso por pantalla (data.path). Corrige que
inject() no puede usarse tras un await en permissionGuard.
- Layout con barra superior (empresa, usuario, tema, salir) y menú lateral
filtrado por GET /api/user/menu; plegable y con botón en pantallas angostas.
- Menú único en libs/sap-types (MENU, filterMenu); el backend verifica por
test que las rutas de permiso de sus recursos existan en él.
- Una ruta por pantalla del menú; las no construidas muestran "no disponible".
- Verificado en Chrome headless contra el backend y SAP reales: redirección
sin sesión, menú de 20 pantallas, navegación, plegado, tema oscuro y
persistencia, vista móvil, salir, token inválido y credenciales malas.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
- apps/web: Angular 22 standalone, zoneless, OnPush, vitest; proxy /api
hacia el backend; presupuesto de bundle (aviso 260 kB, error 400 kB).
- libs/sap-types: tipos de auth/permisos/Service Layer y el evaluador de
patrones de menú, compartidos por api y web (se compila en postinstall).
El backend deja de tener su propia copia del evaluador.
- Temas por variables CSS: claro por defecto con la paleta del mockup de
Oferta de ventas, oscuro incluido; ThemeService + selector, con el tema
guardado aplicado antes del primer pintado. Agregar un tema = 1 css +
1 import + 1 entrada.
- Criterios de interfaz ligera en CLAUDE.md y README.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
El frontend envía parámetros OData y cuerpo; el backend valida y ejecuta.
- GET lista/por clave, POST y PATCH sobre /api/sl/:recurso, solo para
recursos registrados (ventas, compras, inventario y maestros estándar);
EmployeesInfo no se registra nunca (contiene U_WEB_PASS).
- Permisos de menú por recurso (lectura/escritura); catálogos de consulta
abiertos a cualquier sesión. Evaluador de patrones compartible
(/inventario/* ya no habilita /inventario-x).
- Parámetros OData validados con lista cerrada, $top máx. 500, $expand solo
si el recurso lo declara, claves validadas y escapadas por tipo, cabeceras
B1S-* con lista blanca. $inlinecount y B1S-PageSize automáticos.
- configureApp() compartido entre main.ts y e2e (prefijo y límite de 5 mb).
- Verificado contra SAP real: los 27 recursos existen; listado con total,
filtro, paginación y claves. InventoryRequests no existe en el SL: se
registra InventoryTransferRequests.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
(usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
- POST /api/auth/login (U_WEB_USER/U_WEB_PASS de EmployeesInfo), logout y me.
- Token opaco (32 bytes) en Authorization: Bearer; una sesión por usuario,
timeout deslizante configurable (SESSION_TIMEOUT_MINUTES, 30 por defecto).
- AuthGuard global con @Public(); /health/sap ahora exige sesión.
- Usuario inexistente y contraseña errónea devuelven el mismo mensaje;
comparación en tiempo constante; filtro OData escapado; se rechazan
U_WEB_USER duplicados.
- LoginAttemptsService: 429 tras 5 fallos por usuario o 20 por IP (15 min).
- Tests unitarios y e2e con SAP simulado.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
- SapSessionService: una sesión para todos; un solo login aunque lleguen
peticiones concurrentes o 401 simultáneos (loginInFlight); logout al apagar.
- SapClientService: proxy con reintento único ante 401, errores SAP
traducidos (SapHttpException) y fallos de red/TLS mapeados a 502/504.
Un login rechazado se informa como 502, nunca 401 (el frontend lo toma
como sesión web expirada).
- Confianza TLS: SAPB1_SL_CA_FILE opcional (autofirmado de SAP o CA de
firewall) sumado a las CA del sistema; VERIFY_SSL=true por defecto y no
se puede apagar en producción.
- SAPB1_SL_MAX_CONCURRENCY (default 1): medido en SAP10, más de ~2
peticiones en paralelo retrasan ~7 s cada una extra; en serie ~60 ms.
- GET /api/health/sap, tests unitarios (MockAgent) y e2e opcional contra
SAP real (SAP_LIVE=1). apps/api/certs documentado; *.pem/*.cer ignorados.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
Nest 12 (ESM, vitest, oxlint). El .env se valida con zod al arrancar;
prefijo global /api, CORS configurable y GET /api/health.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
