@asteby/storefront-react 0.18.0 → 0.20.0

package/README.md

@@ -797,6 +797,66 @@ export default function Login() {
 - `<AccountAuth>`: `classNames` por pieza, atributos `data-sf-account-*`, `locale` (`es` por omisión, `en`), `messages` para cambiar cualquier texto, `form` para el `Form` del router. Con el mock (`createMockStorefront`) funciona entera: código `000000`.
 - Sin JavaScript funciona el inicio de sesión con contraseña y los pasos que devuelve la action; el cambio entre pantallas (enlaces) necesita JavaScript.
 
+### Invitación posterior a la compra (`/pagar/gracias`)
+
+`<PostPurchaseAccountPrompt>` (`@asteby/storefront-react/account`) invita al invitado a crear cuenta justo después de pagar. Sin estilos propios: `data-sf-ppa-*`, `classNames`, `locale`, `messages`, `form`, `headingLevel`. La tienda lo compone con su diseño y apunta su `action` a la ruta que monta `createAuthAction`.
+
+```tsx
+<PostPurchaseAccountPrompt
+  email={receipt.email}            // del comprobante de la sesión, leído en el servidor
+  capabilities={capabilities}      // loadAuthCapabilities
+  data={actionData}                // resultado de createAuthAction
+  next="/cuenta/pedidos"
+  action="/cuenta/entrar"
+  form={Form}
+/>
+```
+
+- El correo viaja como campo oculto y no se edita; solo se pide contraseña (o el código por correo si la tienda no tiene contraseñas). No pide dirección ni teléfono.
+- Sin correo válido o sin forma de registrarse no pinta nada. Con verificación de correo la respuesta es la misma exista o no la cuenta (no enumera).
+- El pedido de invitado hecho con ese correo (y su pago pendiente por ficha) aparece en «Mis pedidos» cuando el buzón queda verificado: `storefront_customers` filtra por `customer_id` o por correo VERIFICADO. En una tienda sin verificación de correo la cuenta nace sin verificar y no ve pedidos de invitado; el texto entonces no lo promete.
+
+### Pantallas de pedidos (contrato 1.8)
+
+Componentes **headless** de `@asteby/storefront-react/account` (+ `account.css` opcional y neutro, + `/account/server`). Sin estilos de marca: `data-sf-*`, `classNames`, variables CSS (`--sf-account-*`, `--sf-tone-*`), textos es/en con `locale` y `messages`, fechas con `timeZone` (pasa la zona de la tienda para que servidor y navegador impriman lo mismo). Todos los enums del servidor son abiertos: un valor desconocido se escribe con palabras genéricas, nunca como código.
+
+| Componente | Qué pinta | Hooks de estilo |
+|---|---|---|
+| `OrderList` / `OrderCard` | Lista con estados `loading` (esqueletos de alto fijo), `error` (reintento), vacío útil y `ready`; cada tarjeta: número, fecha, estado, mini-progreso, envío, total y UNA acción | `data-sf-order`, `data-sf-order-status` |
+| `OrderStatusBadge` | Estado en palabras + tono (`done/current/problem/muted`) | `data-sf-tone` |
+| `OrderProgress` | Línea de tiempo pagado → preparación → enviado → en camino → entregado (variante recoger, incidencia escrita, `compact`) como `<ol>` con `aria-current="step"` | `data-sf-step`, `data-sf-step-state` |
+| `NextActionBar` | «Rastrear envío», «Descargar factura», «Pagar ahora»… `href` solo `https` (rastreo) o el que dé la tienda (`hrefFor`) | `data-sf-action` |
+| `ShipmentCard` | Paquetería (marca por `renderCarrierMark`), número con copiar, enlace de rastreo `https`, fecha prometida, eventos (últimos 3 + «Ver todo»). `test_mode` → `testMode="hide"` (omisión) o `"mark"` («De prueba», sin número ni enlace). La guía solo en devoluciones. Hueco del mapa: `renderMap({ shipment, map })` | `data-sf-shipment-*` |
+| `InvoiceList` | Facturas y notas de crédito (bajo su factura); estados `issued/pending/cancelled/error`; descarga solo por `fileHref` (tu ruta autenticada) o `onDownload`; sandbox marcado «de prueba, sin validez» o `testMode="hide"`; sin documentos, `renderSummary` (p. ej. `InvoiceStatusCard`) | `data-sf-invoice-*` |
+| `PendingPaymentCard` / `PendingPaymentList` | Ficha de efectivo: referencia/CLABE, copiar, código de barras Code 128 (SVG), vencimiento, imprimir y descargar (por `voucherHref` de tu servidor o armada en el navegador, con su código en un chunk aparte) | `data-sf-voucher-*` |
+| `RefundList`, `PaymentSummary` | Reembolsos y pagos | `data-sf-refund`, `data-sf-payment` |
+| `useCustomerOrders`, `useCustomerOrder(id, { poll })`, `usePendingPayments` | Carga con `status` (`loading/ready/error/not_found`), `reload`, `loadMore`; `initial` desde el loader (SSR). Los datos son del cliente (sesión) y del id que los pidieron: al cambiar de comprador, cerrar sesión o cambiar de pedido no se muestra nada del anterior; pasa un cliente estable (`useMemo`), uno nuevo por render recarga cada vez | — |
+
+`degraded` (secciones que el servidor no pudo leer) se pasa a la sección: error recuperable con «Reintentar» y el resto del pedido se ve.
+
+```tsx
+// Detalle de pedido (loader: sf.customer.order(id))
+<h1>Pedido {order.number}</h1>
+<OrderStatusBadge order={order} />
+<NextActionBar order={order} hrefFor={(a) => (a.kind === 'download_invoice' ? `/cuenta/pedidos/${order.id}/facturas/${a.ref}.pdf` : null)} />
+<OrderProgress order={order} />
+{order.shipments?.map((s) => <ShipmentCard key={s.id} shipment={s} headingLevel={2} renderCarrierMark={(x) => <BrandMark brand={x.carrier_logo_key} />} />)}
+<InvoiceList invoices={order.invoices} summary={order.invoice} degraded={order.degraded?.includes('invoices')} onRetry={revalidate}
+  fileHref={(d, kind) => `/cuenta/pedidos/${order.id}/facturas/${d.id}.${kind}`} renderSummary={(s) => <InvoiceStatusCard invoice={s} requestHref="/cuenta/factura" />} />
+<PaymentSummary payments={order.payments} /> <RefundList refunds={order.refunds} />
+```
+
+Rutas recurso de la tienda (`@asteby/storefront-react/account/server`), cada una en una línea; el navegador nunca ve el token del comprador ni una URL del PAC:
+
+```ts
+// account.order.$id.invoice.$doc.$kind.ts
+export const loader = async ({ request, params }) => invoiceFileResponse({ storefront: await sfFor(request), orderId: params.id, invoiceId: params.doc, kind: params.kind })
+// account.pending.$id.ficha.ts
+export const loader = async ({ request, params }) => pendingVoucherResponse({ storefront: await sfFor(request), id: params.id, download: new URL(request.url).searchParams.get('descargar') === '1', shopName: 'Mi tienda' })
+```
+
+`invoiceFileResponse` sirve `attachment` con `Cache-Control: private, no-store`, `nosniff` y CSP `sandbox` (también en cada respuesta de error); el tipo sale de `kind`, no de lo que diga la API, y un archivo de más de `maxBytes` (10 MB por defecto) es un 502 genérico sin decodificarlo. `pendingVoucherResponse` solo entrega una ficha que está en la lista del comprador (si no, 404) con CSP cerrada y nonce por respuesta. Accesibilidad: WCAG 2.2 AA verificada con axe en las pruebas (contraste lo decide cada tienda con sus tokens), objetivos ≥ 44 px en el CSS opcional, `prefers-reduced-motion`. Presupuesto: todas las pantallas ≈ 13 KB gzip (prueba `size-budget`).
+
 ## Facturación y constancia fiscal (`/fiscal`)
 
 Subruta `@asteby/storefront-react/fiscal` (+ `/fiscal/server`, + `fiscal.css` opcional). Todo sale de `Region.fiscal_id` (etiquetas, formato, regímenes, usos, documentos); el núcleo no sabe de ningún país. Textos es-MX por omisión, `locale="en"` o `messages` para otros.

package/dist/account-server.cjs

@@ -2,7 +2,332 @@
 
 var storefront = require('@asteby/storefront');
 
+var __defProp = Object.defineProperty;
+var __getOwnPropNames = Object.getOwnPropertyNames;
+var __esm = (fn, res) => function __init() {
+  return fn && (res = (0, fn[__getOwnPropNames(fn)[0]])(fn = 0)), res;
+};
+var __export = (target, all) => {
+  for (var name in all)
+    __defProp(target, name, { get: all[name], enumerable: true });
+};
+
+// src/account/voucher.ts
+function text(v) {
+  if (typeof v === "number" && Number.isFinite(v)) return String(v);
+  if (typeof v !== "string") return null;
+  const s = v.trim().slice(0, MAX);
+  return s || null;
+}
+function moneyOf(v) {
+  if (!v || typeof v !== "object") return null;
+  const m = v;
+  const amount = text(m.amount);
+  const cur = text(m.currency_code);
+  return amount && cur && Number.isFinite(Number(amount)) ? { amount, currency_code: cur.toUpperCase() } : null;
+}
+function voucherOf(p) {
+  const pay = p?.payment;
+  if (!pay || typeof pay !== "object") return null;
+  const v = {
+    method: text(pay.method ?? pay.provider),
+    reference: text(pay.reference),
+    barcode: text(pay.barcode),
+    clabe: text(pay.clabe),
+    expires_at: text(pay.expires_at) ?? text(p?.expires_at),
+    amount: moneyOf(pay.amount) ?? moneyOf(p?.total),
+    instructions: text(pay.instructions)
+  };
+  return v.reference || v.barcode || v.clabe ? v : null;
+}
+function barcodeValue(v) {
+  return v.barcode ?? (v.method?.toLowerCase() === "oxxo" ? v.reference : null);
+}
+function code128Modules(value) {
+  if (!value || value.length > 80) return null;
+  let codes;
+  if (/^\d+$/.test(value) && value.length % 2 === 0) {
+    codes = [105];
+    for (let i = 0; i < value.length; i += 2) codes.push(Number(value.slice(i, i + 2)));
+  } else {
+    codes = [104];
+    for (const ch of value) {
+      const c = ch.charCodeAt(0);
+      if (c < 32 || c > 126) return null;
+      codes.push(c - 32);
+    }
+  }
+  let sum = codes[0];
+  for (let i = 1; i < codes.length; i++) sum += codes[i] * i;
+  codes.push(sum % 103);
+  return codes.map((c) => BARS[c]).join("") + STOP;
+}
+function barcodeGeometry(value, opts = {}) {
+  const bits = code128Modules(value);
+  if (!bits) return null;
+  const mod = opts.module ?? 2;
+  const quiet = 10;
+  const rects = [];
+  for (let i = 0; i < bits.length; ) {
+    if (bits[i] === "0") {
+      i++;
+      continue;
+    }
+    let j = i;
+    while (j < bits.length && bits[j] === "1") j++;
+    rects.push({ x: (quiet + i) * mod, w: (j - i) * mod });
+    i = j;
+  }
+  return { width: (bits.length + quiet * 2) * mod, height: opts.height ?? 70, rects };
+}
+var MAX, BARS, STOP;
+var init_voucher = __esm({
+  "src/account/voucher.ts"() {
+    MAX = 256;
+    BARS = [
+      "11011001100",
+      "11001101100",
+      "11001100110",
+      "10010011000",
+      "10010001100",
+      "10001001100",
+      "10011001000",
+      "10011000100",
+      "10001100100",
+      "11001001000",
+      "11001000100",
+      "11000100100",
+      "10110011100",
+      "10011011100",
+      "10011001110",
+      "10111001100",
+      "10011101100",
+      "10011100110",
+      "11001110010",
+      "11001011100",
+      "11001001110",
+      "11011100100",
+      "11001110100",
+      "11101101110",
+      "11101001100",
+      "11100101100",
+      "11100100110",
+      "11101100100",
+      "11100110100",
+      "11100110010",
+      "11011011000",
+      "11011000110",
+      "11000110110",
+      "10100011000",
+      "10001011000",
+      "10001000110",
+      "10110001000",
+      "10001101000",
+      "10001100010",
+      "11010001000",
+      "11000101000",
+      "11000100010",
+      "10110111000",
+      "10110001110",
+      "10001101110",
+      "10111011000",
+      "10111000110",
+      "10001110110",
+      "11101110110",
+      "11010001110",
+      "11000101110",
+      "11011101000",
+      "11011100010",
+      "11011101110",
+      "11101011000",
+      "11101000110",
+      "11100010110",
+      "11101101000",
+      "11101100010",
+      "11100011010",
+      "11101111010",
+      "11001000010",
+      "11110001010",
+      "10100110000",
+      "10100001100",
+      "10010110000",
+      "10010000110",
+      "10000101100",
+      "10000100110",
+      "10110010000",
+      "10110000100",
+      "10011010000",
+      "10011000010",
+      "10000110100",
+      "10000110010",
+      "11000010010",
+      "11001010000",
+      "11110111010",
+      "11000010100",
+      "10001111010",
+      "10100111100",
+      "10010111100",
+      "10010011110",
+      "10111100100",
+      "10011110100",
+      "10011110010",
+      "11110100100",
+      "11110010100",
+      "11110010010",
+      "11011011110",
+      "11011110110",
+      "11110110110",
+      "10101111000",
+      "10100011110",
+      "10001011110",
+      "10111101000",
+      "10111100010",
+      "11110101000",
+      "11110100010",
+      "10111011110",
+      "10111101110",
+      "11101011110",
+      "11110101110",
+      "11010000100",
+      "11010010000",
+      "11010011100"
+    ];
+    STOP = "1100011101011";
+  }
+});
+
+// src/account/voucher-document.ts
+var voucher_document_exports = {};
+__export(voucher_document_exports, {
+  esc: () => esc,
+  renderVoucherDocument: () => renderVoucherDocument
+});
+function esc(s) {
+  return s.replace(/[&<>"']/g, (c) => ({ "&": "&amp;", "<": "&lt;", ">": "&gt;", '"': "&quot;", "'": "&#39;" })[c]);
+}
+function formatMoney(m, locale) {
+  if (!m) return "";
+  try {
+    return new Intl.NumberFormat(locale, { style: "currency", currency: m.currency_code }).format(Number(m.amount));
+  } catch {
+    return `${m.amount} ${m.currency_code}`;
+  }
+}
+function formatDate(iso, locale, timeZone) {
+  if (!iso) return "";
+  const d = new Date(iso);
+  if (Number.isNaN(d.getTime())) return "";
+  try {
+    return d.toLocaleString(locale, { dateStyle: "long", timeStyle: "short", ...timeZone ? { timeZone } : {} });
+  } catch {
+    return d.toISOString();
+  }
+}
+function barcodeSvg(value, label) {
+  const g = barcodeGeometry(value);
+  if (!g) return null;
+  const rects = g.rects.map((r) => `<rect x="${r.x}" y="0" width="${r.w}" height="${g.height}"/>`).join("");
+  return `<svg viewBox="0 0 ${g.width} ${g.height}" width="${g.width}" height="${g.height}" role="img" aria-label="${esc(label)} ${esc(value)}" shape-rendering="crispEdges" fill="#000">${rects}</svg>`;
+}
+function renderVoucherDocument(v, opts = {}) {
+  const locale = opts.locale ?? "es-MX";
+  const t = locale.toLowerCase().startsWith("en") ? EN : ES;
+  const shop = opts.shopName || "";
+  const method = v.method ? Object.prototype.hasOwnProperty.call(t.methods, v.method.toLowerCase()) ? t.methods[v.method.toLowerCase()] : v.method : t.cash;
+  const isSpei = !!v.clabe && !v.reference;
+  const code = barcodeValue(v);
+  const svg = code ? barcodeSvg(code, t.barcode) : null;
+  const expires = formatDate(v.expires_at, locale, opts.timeZone);
+  const field = (label, value) => value ? `<div class="box"><div class="label">${esc(label)}</div><div class="value">${esc(value)}</div></div>` : "";
+  const steps = isSpei ? t.stepsSpei : t.stepsCash;
+  const subtitle = [shop, method, opts.number ? `${t.order} ${opts.number}` : ""].filter(Boolean).map(esc).join(" \xB7 ");
+  return `<!doctype html>
+<html lang="${esc(locale)}"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1">
+<meta name="robots" content="noindex"><title>${esc(t.title)}${shop ? ` - ${esc(shop)}` : ""}</title><style>${CSS}</style></head>
+<body><main>
+<div class="head"><div><h1>${esc(t.title)}</h1><div class="muted">${subtitle}</div></div>
+${v.amount ? `<div><div class="label" style="text-align:right">${esc(t.total)}</div><div class="amount">${esc(formatMoney(v.amount, locale))}</div></div>` : ""}</div>
+${field(t.reference, v.reference)}${field(t.clabe, v.clabe)}
+${svg ? `<div class="bar">${svg}<div class="muted" style="font-family:ui-monospace,monospace">${esc(code)}</div></div>` : ""}
+${expires ? `<p><strong>${esc(t.expires)}:</strong> ${esc(expires)}. ${esc(t.expiresNote)}</p>` : ""}
+<ol class="steps">${steps.map((s) => `<li>${esc(s)}</li>`).join("")}</ol>
+${v.instructions ? `<p class="note pre muted">${esc(v.instructions)}</p>` : ""}
+<p class="note muted">${esc(t.footer)}</p>
+${opts.printButton ? `<div class="actions"><button type="button" id="print">${esc(t.print)}</button></div>` : ""}
+</main>
+${opts.printButton || opts.autoPrint ? `<script${opts.nonce ? ` nonce="${esc(opts.nonce)}"` : ""}>(function(){var b=document.getElementById("print");if(b)b.addEventListener("click",function(){window.print()});${opts.autoPrint ? 'window.addEventListener("load",function(){setTimeout(function(){window.print()},300)});' : ""}})();</script>` : ""}
+</body></html>`;
+}
+var ES, EN, CSS;
+var init_voucher_document = __esm({
+  "src/account/voucher-document.ts"() {
+    init_voucher();
+    ES = {
+      title: "Ficha de pago",
+      total: "Total a pagar",
+      reference: "Referencia",
+      clabe: "CLABE",
+      expires: "Vence",
+      expiresNote: "Pasada esa fecha la ficha deja de ser v\xE1lida.",
+      order: "Pedido",
+      barcode: "C\xF3digo de barras",
+      print: "Imprimir ficha",
+      footer: "Tu pedido se genera cuando se confirma el pago. Esta ficha es de un solo uso; no la compartas.",
+      stepsCash: [
+        "Acude a la tienda OXXO (o el comercio indicado) y di que vas a hacer un pago de servicio en efectivo.",
+        "Muestra el c\xF3digo de barras o dicta la referencia y paga el monto exacto.",
+        "Conserva tu comprobante: confirmaremos tu pago autom\xE1ticamente."
+      ],
+      stepsSpei: ["Entra a la banca en l\xEDnea o app de tu banco.", "Haz una transferencia SPEI a la CLABE indicada por el monto exacto.", "Conserva tu comprobante: confirmaremos tu pago autom\xE1ticamente."],
+      methods: { oxxo: "OXXO", spei: "Transferencia SPEI", bank_transfer: "Transferencia bancaria", bank_deposit: "Dep\xF3sito bancario", cash: "Pago en efectivo" },
+      cash: "Pago en efectivo"
+    };
+    EN = {
+      title: "Payment voucher",
+      total: "Amount to pay",
+      reference: "Reference",
+      clabe: "CLABE",
+      expires: "Expires",
+      expiresNote: "After that date the voucher is no longer valid.",
+      order: "Order",
+      barcode: "Barcode",
+      print: "Print voucher",
+      footer: "Your order is created when the payment is confirmed. This voucher is single-use; do not share it.",
+      stepsCash: [
+        "Go to an OXXO store (or the store indicated) and say you want to make a cash service payment.",
+        "Show the barcode or read out the reference and pay the exact amount.",
+        "Keep your receipt: we will confirm your payment automatically."
+      ],
+      stepsSpei: ["Open your bank online or app.", "Make a SPEI transfer to the CLABE below for the exact amount.", "Keep your receipt: we will confirm your payment automatically."],
+      methods: { oxxo: "OXXO", spei: "SPEI transfer", bank_transfer: "Bank transfer", bank_deposit: "Bank deposit", cash: "Cash payment" },
+      cash: "Cash payment"
+    };
+    CSS = `
+@page { size: A4; margin: 18mm; }
+* { box-sizing: border-box; }
+body { margin: 0; font: 14px/1.5 system-ui, -apple-system, "Segoe UI", Roboto, sans-serif; color: #111; background: #fff; }
+main { max-width: 174mm; margin: 0 auto; padding: 24px 16px; }
+h1 { font-size: 22px; margin: 0; }
+.muted { color: #555; }
+.head { display: flex; justify-content: space-between; align-items: flex-start; gap: 16px; border-bottom: 3px solid #111; padding-bottom: 12px; }
+.amount { font-size: 28px; font-weight: 700; text-align: right; }
+.box { border: 1px solid #111; padding: 14px 16px; margin-top: 18px; }
+.label { font-size: 12px; letter-spacing: .08em; text-transform: uppercase; color: #555; }
+.value { font: 700 22px/1.3 ui-monospace, "SF Mono", Menlo, Consolas, monospace; word-break: break-all; letter-spacing: .04em; }
+.bar { margin-top: 18px; text-align: center; }
+.bar svg { max-width: 100%; height: auto; }
+.steps { margin: 18px 0 0; padding-left: 20px; }
+.note { margin-top: 18px; font-size: 12px; }
+.pre { white-space: pre-line; }
+.actions { margin-top: 24px; display: flex; gap: 12px; }
+.actions button { font: inherit; padding: 10px 18px; border: 1px solid #111; background: #111; color: #fff; cursor: pointer; }
+@media print { .actions { display: none; } main { padding: 0; } }
+`;
+  }
+});
+
 // src/account/server.ts
+init_voucher();
 var SAFE_AUTH_CAPABILITIES = Object.freeze({
   password: true,
   email_verification: false,
@@ -102,15 +427,15 @@ function createAuthAction(options) {
   return async function authAction({ request }) {
     const form = await request.formData().catch(() => null);
     if (!form) return fail("validation");
-    const text = (name) => {
+    const text2 = (name) => {
       const v = form.get(name);
       return typeof v === "string" ? v : "";
     };
-    const intent = text("intent");
-    const email = text("email").trim();
-    const password = text("password");
-    const code = text("code").replace(/\s+/g, "");
-    const next = safeNext(text("next") || null);
+    const intent = text2("intent");
+    const email = text2("email").trim();
+    const password = text2("password");
+    const code = text2("code").replace(/\s+/g, "");
+    const next = safeNext(text2("next") || null);
     const ip = options.clientIp?.(request);
     const w = ip ? { clientIp: ip } : void 0;
     const carry = { email };
@@ -131,7 +456,7 @@ function createAuthAction(options) {
           if (!passwordOn) return off();
           if (!password) return fail("validation", carry, "password");
           const res = await sf.customer.register(
-            { email, password, ...text("first_name").trim() ? { first_name: text("first_name").trim() } : {}, ...text("last_name").trim() ? { last_name: text("last_name").trim() } : {} },
+            { email, password, ...text2("first_name").trim() ? { first_name: text2("first_name").trim() } : {}, ...text2("last_name").trim() ? { last_name: text2("last_name").trim() } : {} },
             w
           );
           return res.status === "created" ? await signedIn(res.session, next) : { ok: true, step: "verify", email };
@@ -176,10 +501,83 @@ function createAuthAction(options) {
     }
   };
 }
+var LOCKED_HEADERS = {
+  "Cache-Control": "private, no-store",
+  "X-Content-Type-Options": "nosniff",
+  "Referrer-Policy": "no-referrer",
+  "X-Robots-Tag": "noindex"
+};
+var TEXT_HEADERS = { ...LOCKED_HEADERS, "Content-Type": "text/plain; charset=utf-8", "Content-Security-Policy": "default-src 'none'; sandbox" };
+var textResponse = (status, body, extra = {}) => new Response(body, { status, headers: { ...TEXT_HEADERS, ...extra } });
+var MAX_INVOICE_FILE_BYTES = 10 * 1024 * 1024;
+function failureResponse(err) {
+  if (storefront.isStorefrontError(err)) {
+    if (err.status === 401) return textResponse(401, "Sesion vencida");
+    if (err.status === 404) return textResponse(404, "No encontrado");
+    if (err.status === 429) {
+      const wait = typeof err.retryAfter === "number" && Number.isFinite(err.retryAfter) && err.retryAfter > 0 ? Math.min(3600, Math.ceil(err.retryAfter)) : null;
+      return textResponse(429, "Demasiados intentos", wait ? { "Retry-After": String(wait) } : {});
+    }
+  }
+  return textResponse(502, "No pudimos obtener el archivo");
+}
+var FILE_TYPES = { pdf: "application/pdf", xml: "application/xml" };
+async function invoiceFileResponse({ storefront: storefront$1, orderId, invoiceId, kind, signal, maxBytes = MAX_INVOICE_FILE_BYTES }) {
+  if (kind !== "pdf" && kind !== "xml") return textResponse(404, "No encontrado");
+  if (!orderId || !invoiceId) return textResponse(404, "No encontrado");
+  try {
+    const file = await storefront$1.customer.invoiceFile(orderId, invoiceId, kind, signal ? { signal } : void 0);
+    if (!file) return textResponse(404, "No encontrado");
+    if (file.content_base64.length > Math.ceil(maxBytes / 3) * 4 * 1.1 + 64) return textResponse(502, "No pudimos obtener el archivo");
+    const bytes = storefront.invoiceFileBytes(file);
+    if (bytes.byteLength > maxBytes) return textResponse(502, "No pudimos obtener el archivo");
+    const name = storefront.safeInvoiceFilename(file.filename, kind === "pdf" ? "factura.pdf" : "factura.xml");
+    const filename = name.toLowerCase().endsWith(`.${kind}`) ? name : `${name}.${kind}`;
+    return new Response(bytes, {
+      status: 200,
+      headers: {
+        "Content-Type": FILE_TYPES[kind],
+        "Content-Length": String(bytes.byteLength),
+        "Content-Disposition": `attachment; filename="${filename}"`,
+        ...LOCKED_HEADERS,
+        "Content-Security-Policy": "default-src 'none'; sandbox"
+      }
+    });
+  } catch (err) {
+    return failureResponse(err);
+  }
+}
+async function pendingVoucherResponse({ storefront, id, download = false, shopName, locale, timeZone, signal }) {
+  try {
+    const page = await storefront.customer.pendingPayments({ first: 100 }, signal ? { signal } : void 0);
+    const item = page.nodes.find((p) => p.id === id);
+    const voucher = item ? voucherOf(item) : null;
+    if (!item || !voucher) return textResponse(404, "Ficha no encontrada");
+    const nonce = btoa(String.fromCharCode(...crypto.getRandomValues(new Uint8Array(16))));
+    const { renderVoucherDocument: renderVoucherDocument2 } = await Promise.resolve().then(() => (init_voucher_document(), voucher_document_exports));
+    const html = renderVoucherDocument2(voucher, { ...shopName ? { shopName } : {}, ...locale ? { locale } : {}, ...timeZone ? { timeZone } : {}, printButton: !download, nonce });
+    const safeId = id.replace(/[^A-Za-z0-9-]/g, "").slice(0, 8) || "ficha";
+    return new Response(html, {
+      status: 200,
+      headers: {
+        "Content-Type": "text/html; charset=utf-8",
+        ...LOCKED_HEADERS,
+        // The download carries no script, so its policy allows none.
+        "Content-Security-Policy": `default-src 'none'; style-src 'unsafe-inline'; img-src data:; script-src ${download ? "'none'" : `'nonce-${nonce}'`}; base-uri 'none'; form-action 'none'; frame-ancestors 'self'`,
+        ...download ? { "Content-Disposition": `attachment; filename="ficha-de-pago-${safeId}.html"` } : {}
+      }
+    });
+  } catch (err) {
+    return failureResponse(err);
+  }
+}
 
+exports.MAX_INVOICE_FILE_BYTES = MAX_INVOICE_FILE_BYTES;
 exports.SAFE_AUTH_CAPABILITIES = SAFE_AUTH_CAPABILITIES;
 exports.createAuthAction = createAuthAction;
+exports.invoiceFileResponse = invoiceFileResponse;
 exports.loadAuthCapabilities = loadAuthCapabilities;
+exports.pendingVoucherResponse = pendingVoucherResponse;
 exports.safeNextPath = safeNextPath;
 //# sourceMappingURL=account-server.cjs.map
 //# sourceMappingURL=account-server.cjs.map