rikrdo/mercadodevida
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat(F-106): completed feature

Browse Source
This commit is contained in:
chattie
2026-08-21 09:27:55 +02:00
parent 5458789634
commit dca7c3214f
21 changed files with 958 additions and 73 deletions
Download Patch File Download Diff File Expand all files Collapse all files

9
work/artifacts/F-106/security.md Normal file
View File

@@ -0,0 +1,9 @@
# F-106 — Security gate: APPROVED
## Controles verificados
- **AuthN/AuthZ**: `PUT /orders/:id/items` y transición admin requieren `deps.authenticate` + `requireRole(user,'admin')`.
- **Validación de entrada**: `z.uuid()` para variantId, quantity int 1..999, tracking maxLength 120. Sin SQL拼接: todas las queries parametrizadas ($n / ANY($1::uuid[])).
- **Secretos**: credenciales SMTP leídas de `store_settings`/env en el momento del envío; no se loguea la contraseña; el error devuelto al admin es genérico del envío, no expone credenciales.
- **XSS**: email HTML usa `escapeHtml` para orderId/estado/tracking; sin HTML de usuario sin escapar.
- **Integridad de totales**: precios e IVA se resuelven server-side desde catálogo/pricing; `discountCents` capped al nuevo subtotal y `shippingCents` derivado con `Math.max(0,...)` evitando totales negativos.
- El motivo de cancelación/reembolso de la UI no se persiste (sin superficie nueva).