feat(F-143): completed feature

spec/acceptance.md

@@ -1,26 +1,40 @@
-# F-138 — Criterios de aceptación
+# F-143 — Acceptance
 
-## AC1 — Sembrado inmediato de precio
-Tras crear una variante, `GET /pricing/variants/:variantId` devuelve **200** (no 404) con una fila default: `netUnitAmountCents = 0`, `vatRate = 'general'`, `currency = 'EUR'`.
-- **Unit:** `CreateProductVariant.execute` llama a `PricingService.seedVariantPrice(variant.id)` tras `variants.create`.
-- **Itest (skip sin DB):** POST `/products/:id/variants` → GET `/pricing/variants/:variantId` = 200.
+### AC1 — contrato de filtros
+- `GET /reporting/filters/schema` (admin) → 200 → `{ filterSchema, comparison, dataAvailability, permissions }`.
+- `comparison.modes` incluye `none`, `previous_equal`, `previous_calendar`.
+- `comparison.rangeBounds === 'inclusive_start_exclusive_end'`.
+- `dataAvailability` refleja el baseline F-142 (grossSales/discounts/tax/unitsSold/orders/customers `available`; netSales/margin/paymentMethod/refunds/shipping `unavailable`).
+- `filterSchema.filters` incluye `storeId` (repeatable, uuid), `compare`, `channel`, `groupBy`, `page`, `pageSize`.
 
-## AC2 — Idempotente (re-sembbrado no-op)
-Si la fila de precio ya existe, re-sembrar no lanza ni duplica: `ON CONFLICT (variant_id) DO NOTHING`.
-- **Unit:** segunda llamada a `seedVariantPrice` no arroja; `seedCalls` contiene el id una sola vez (o ambas, sin error).
+### AC2 — RBAC (backend-authority)
+- `customer` (role customer) → 403 en `/reporting/filters/schema` y `/reporting/filters/validate`.
+- `admin` y `editor` → 200 en `/reporting/filters/schema` (tienen `REPORTING_VIEW`).
+- `admin`/`editor`/`pos_manager`/`pos_cashier` → 200 en `/reporting/filters/validate` (tienen `REPORTING_SALES`).
+- `customer` NO aparece en `REPORTING_ROLE_PERMISSIONS` con permisos.
 
-## AC3 — Best-effort (no rompe la creación)
-Si `seedVariantPrice` lanza, `CreateProductVariant.execute` **sigue devolviendo la variante creada** (no propaga el error).
-- **Unit:** con `FakePricingService.seedShouldThrow = true`, `execute` devuelve el `ProductVariant` sin lanzar.
+### AC3 — parseo + rango `[from,to)`
+- `GET /reporting/filters/validate?from=2026-08-01T00:00:00Z&to=2026-08-31T23:59:59Z&compare=previous_equal` → 200 → `filters.range.from/to` normalizados; `comparison.range.from` < `filters.range.from` < `filters.range.to`; `comparison.range.to` === `filters.range.from`.
+- `pageSize` y `page` vienen por defecto (1 y 50) cuando no se pasan.
 
-## AC4 — Los 3 call sites crean la variante con precio
-Los 3 puntos que crean variantes dejan fila de precio:
-1. `POST /products` (autovariante `SKU-MV-{id}`).
-2. `GET /products/:id/variants` (lazy, admin).
-3. `POST /products/:id/variants`.
-- Todos comparten la misma instancia `createVariant` (inyecta `pricing`) → todos sembran.
+### AC4 — validación
+- `from > to` → 400 (`VALIDATION_ERROR` / 400).
+- `?storeId=<single uuid>` parsea a array de 1 elemento; `?storeId=a&storeId=b` a array de 2.
+- UUID inválido → 400.
 
-## Gates
-- **reviewer:** arquitectura limpia (pricing owning su tabla; inyección de servicio público; build-app ordering safe).
-- **security:** SQL con parámetro (`$1`), literales `'general'`/`0`/`NULL` (no user input); no inyección.
-- **qa:** tests unitarios 3/3 verdes; `npm test` no rompe; tsc 0 errores; verify.sh green.
+### AC5 — comparison modes (unit)
+- `comparisonRange(range, 'none')` === `null`.
+- `previous_equal`: `to_prev === from_actual`, `from_prev === from_actual - duration`.
+- `previous_calendar`: ventana alineada a UTC, `to_prev <= from_actual`.
+
+### AC6 — granularidad de permisos
+- `REPORTING_FINANCIAL` concedido solo a `admin` (editor/pos_manager/pos_cashier → 403).
+- `requireReportingPermission` lanza AppError(403) para roles sin el permiso.
+
+### AC7 — tests unitarios (sin DB)
+- `parseReportingFilters`: defaults, repeatable uuid arrays, from>to rechazado.
+- `comparisonRange`: 3 modos.
+- Matriz de permisos role→perms.
+- Tests: ≥8 unit + ≥6 route. `tsc --noEmit` 0 errores; `npm test` sin regresiones; `lint:boundaries` sin violaciones nuevas.
+
+> `lint:boundaries` (scripts/check-module-boundaries.mjs) — reporting NO aparece todavía en la lista de módulos existentes; confirma que reporting importa solo `shared/*`/`zod`.