mercadodevida/work/artifacts/F-158/architect.md

F-158 — Diseño

Decisión

Separar explícitamente URL pública y URL privada:

• Navegador POS: siempre usa /api del mismo origen (:3006).
• Route handler Next.js: usa POS_BACKEND_URL, server-only, con fallback http://127.0.0.1:3000.
• No exponer ni incrustar NEXT_PUBLIC_API_URL en el bundle.

Proxy

• Construye destino desde el catch-all path y query string.
• Reenvía Cookie, Content-Type y x-terminal-id.
• Propaga status, Content-Type y todos los Set-Cookie del backend.
• GET y POST cubren las operaciones actuales del cliente POS.

Desarrollo LAN

allowedDevOrigins incluye 192.168.18.93 y localhost para recursos Next/HMR.

Seguridad

La URL backend queda server-only. Los paths proceden del segmento catch-all y se concatenan contra una base fija, sin aceptar host suministrado por el cliente.