El cliente S3 lee osRelease; sin --allow-sys el ping a R2 falla
con NotCapable aunque endpoint y bucket estén bien.
Co-authored-by: alberto.martinez <alberto.martinez@mrdev.mx>
Cloudflare R2 suele devolver 403 en HeadBucket con token acotado
al bucket, y eso tumba el fail-fast de arranque. El ping ahora
lista o escribe una sonda y registra el error S3.
Co-authored-by: alberto.martinez <alberto.martinez@mrdev.mx>
Scripts create-accesses / verify-connectivity para un Postgres+Redis+bucket
por ambiente. /v1/health y el arranque de la API incluyen sonda de storage.
Co-authored-by: alberto.martinez <alberto.martinez@mrdev.mx>
Fase 5 (migracion de datos):
- api/scripts/migrate-sqlite-to-postgres.ts: ETL unico SQLite -> Postgres.
Pre-flight (CURP/RFC duplicados case-insensitive, FKs huerfanas,
tenant_id invalido, fechas mal formateadas) -> carga por base/esquema
con credenciales _owner (setval de secuencias, OVERRIDING SYSTEM VALUE,
ON CONFLICT DO NOTHING idempotente) -> verificacion de conteos y sumas
de dinero con tolerancia. Probado end-to-end contra un dataset SQLite
legacy sintetico y un Postgres limpio (solo schema+catalogos, sin
contexto dev): 100% de las filas migradas, sumas de dinero exactas,
snapshot de uploaded_by/created_by resuelto correctamente.
- db/RUNBOOK-corte.md: checklist go/no-go para el corte por ambiente.
- Fix de bug real encontrado al probar: sin --context-filter explicito,
Liquibase corre TAMBIEN los changesets context=dev (comportamiento por
defecto, no "modo seguro") -- documentado en db/README.md con el
ejemplo correcto (--context-filter='!dev' para staging/produccion).
Fase 5b: patron de compensacion para createTenant ya resuelto en el
rewrite de saas.ts (fase 3/4).
Fase 6 (backups): db/backups/ con plantillas pgBackRest por base,
politica de retencion, nota de persistencia minima de Redis (RDB, sin
retencion de negocio), checklist de simulacro de restauracion mensual,
y la validacion pendiente de si Coolify permite WAL archiving antes de
comprometerse a PITR real.
Fase 7 (limpieza y CI):
- Dockerfile.api simplificado (sin JRE/Liquibase/FFI). Dockerfile.migrate
y Dockerfile.provision nuevos, de un solo uso, para el paso explicito
de deploy (nunca sirven trafico).
- docker-compose.yml: postgres+redis+provision+migrate para dev local
end-to-end; api ya no arranca hasta que migrate termina bien.
- docs/coolify.md y .env.example actualizados al modelo de 2 bases +
Redis + Contabo.
- api/schema.sql eliminado (desincronizado, competia con Liquibase como
fuente de verdad).
- .github/workflows/ci.yml: Postgres+Redis de servicio, aprovisiona
roles/ACLs, dry-run de Liquibase (updateSQL) antes de aplicar,
verify-isolation.sh, deno check + deno test, build de los dos frontends.
Co-authored-by: alberto.martinez <alberto.martinez@mrdev.mx>
Fase 2 (driver):
- api/pg.ts: adaptador delgado sobre postgres.js (prepare/get/all/run,
placeholders ? -> $n, withTenant con set_config para RLS), con parsers
de tipo custom (numeric/date/timestamp(tz)/bigint) para que el resto
del codigo heredado de SQLite (fechas/montos como string, ids como
number) siga funcionando sin reescribir cada call-site a mano.
- api/platform_db.ts, api/iam_db.ts (nuevo), api/db.ts: pools separados
por base/esquema (panels_platform, panels_product.iam,
panels_product.core), owner pool para bootstrap/scripts/lookups
administrativos que cruzan tenant a proposito.
- api/redis.ts: clientes iam/core separados (ACL panels_iam_redis /
panels_core_redis).
- api/sessions.ts + auth.ts: sesiones ahora en Redis (cookie = id opaco,
no HMAC autocontenido); revocacion real (logout, cambio de password).
- api/storage.ts (Fase 4c): documentos/PDFs via Contabo Object Storage
(S3), con fallback a disco local si no hay credenciales S3 (dev).
- api/scope.ts: middleware withCoreScope/requireCoreAuth que abre la
transaccion con app.tenant_id fijado (RLS) para cada request.
- api/cache.ts (Fase 4e): cache Redis con tenant_id obligatorio en la
llave; aplicado a /v1/catalogs.
Fase 3 (reescritura SQL, ~80 endpoints en main.ts/companies.ts/budget.ts/
payroll.ts/payroll_http.ts/excel.ts/saas.ts/smtp.ts):
- Todo async/await, sintaxis Postgres (COALESCE, ~ regex, ON CONFLICT,
now()/current_date, booleanos reales, RETURNING via lastInsertId()).
- IDOR cross-tenant cerrado: GET/PATCH /v1/projects/:id, /v1/workers/:id
ya no dependen de que el handler recuerde el WHERE tenant_id -- Row
Level Security lo hace estructuralmente (verificado con un segundo
tenant real: 404 en vez de fuga de datos).
- API key ya no ve todos los tenants: ahora exige X-Tenant-Id explicito.
Fase 3b (tests): api/test_helpers.ts corre cada test en una transaccion
que siempre se revierte, contra el mismo baseline de Liquibase que
produccion (ya no un esquema SQLite escrito a mano). payroll_test.ts
reescrito con fixtures reales; 11/11 pasan contra Postgres.
Fase 4 (IAM/RBAC): iam.roles/permissions/role_permissions formalizados
(ver db/iam ya en fase 1); uploaded_by/created_by ahora son snapshot
desnormalizado (uploaded_by_id/name); seed() en runtime eliminado,
reemplazado por scripts/bootstrap-admin.ts (one-shot).
Fase 4d (zona horaria): nuevo endpoint /v1/configuracion (GET/PUT),
PAYROLL_TZ hardcodeado reemplazado por tenant_settings.timezone,
document_validity.ts ya no usa new Date() crudo.
Verificado end-to-end contra Postgres+Redis reales: login, sesiones,
catalogos con cache, alta de trabajador, subida/descarga de documento
cifrado, y el fix de IDOR probado con un segundo tenant real (403/404
en vez de fuga de datos).
Co-authored-by: alberto.martinez <alberto.martinez@mrdev.mx>
