chore(checkpoint): save club core backend and pending pos fixes

work/artifacts/POS-RECEIPT-QUICK-FIXES/security.json

@@ -0,0 +1,19 @@
+{
+  "feature_id": "POS-RECEIPT-QUICK-FIXES",
+  "agent": "security",
+  "stage": "security_gate",
+  "verdict": "APPROVED",
+  "security_check": "security",
+  "summary": "Aprobado: los cambios corrigen cálculo de importes y sincronización de carrito sin abrir nuevas superficies relevantes de seguridad.",
+  "checks": {
+    "auth": "Sin cambios en permisos ni bypass de autenticación; los endpoints POS revisados siguen detrás de authenticate/requireRole y el checkout mantiene cookie de sesión obligatoria.",
+    "injection": "OK: las nuevas consultas SQL siguen parametrizadas y los ids de variante del checkout/TPV permanecen validados antes de usarse en rutas o queries.",
+    "xss": "OK: no se introducen renderizados HTML crudos ni APIs peligrosas del navegador en los archivos modificados.",
+    "dependency_review": "OK: no hay cambios en package manifests ni incorporación de nuevas dependencias.",
+    "data_exposure": "OK: el frontend deja de devolver el envelope JSON completo del backend y expone solo el mensaje de error previsto para el usuario."
+  },
+  "notes": [
+    "Las operaciones fetch nuevas/revisadas apuntan al backend interno existente y reutilizan la misma cookie de sesión; no añaden credenciales nuevas ni secretos embebidos.",
+    "La lógica de precio bruto/IVA se ejecuta server-side a partir de pricing_variant_prices, reduciendo el riesgo de manipulación de importes desde el cliente cajero."
+  ]
+}