@johpaz/hive-sdk 0.4.3 → 0.4.5

package/packages/core/src/tools/office/office-leer-xlsx.ts

@@ -11,6 +11,14 @@ import { logger } from "../../utils/logger.ts";
 import * as fs from "node:fs";
 import * as path from "node:path";
 import { cargarXlsx } from "./xlsx-loader.ts";
+import {
+  assertBeforeDeadline,
+  MAX_XLSX_INPUT_BYTES,
+  MAX_XLSX_ROWS_PER_SHEET,
+  MAX_XLSX_SHEETS,
+  OFFICE_PROCESSING_TIMEOUT_MS,
+  validateOfficeInput,
+} from "./security-limits.ts";
 
 const log = logger.child("office-leer-xlsx");
 
@@ -56,32 +64,43 @@ export const officeLeerXlsxTool: Tool = {
         return { ok: false, error: `Archivo no encontrado: ${rutaAbsoluta}` };
       }
 
+      const inputError = validateOfficeInput(
+        rutaAbsoluta,
+        MAX_XLSX_INPUT_BYTES,
+        "El XLSX",
+      );
+      if (inputError) return { ok: false, error: inputError };
+
       const XLSX = await cargarXlsx();
       const buffer = fs.readFileSync(rutaAbsoluta);
-      const workbook = XLSX.read(buffer, { type: "buffer" });
+      const deadline = Date.now() + OFFICE_PROCESSING_TIMEOUT_MS;
+      const workbook = XLSX.read(buffer, {
+        type: "buffer",
+        sheetRows: MAX_XLSX_ROWS_PER_SHEET + 2,
+        sheets: hojaFiltro,
+      });
 
       const nombresHojas = hojaFiltro
         ? [hojaFiltro]
         : workbook.SheetNames;
 
+      if (nombresHojas.length > MAX_XLSX_SHEETS) {
+        return {
+          ok: false,
+          error: `El XLSX contiene más de ${MAX_XLSX_SHEETS} hojas`,
+        };
+      }
+
       const hojas: Record<string, any[]> = {};
 
       for (const nombreHoja of nombresHojas) {
+        assertBeforeDeadline(deadline, "La lectura del XLSX");
         const hoja = workbook.Sheets[nombreHoja];
         if (!hoja) {
           log.warn(`Hoja '${nombreHoja}' no encontrada en el archivo`);
           continue;
         }
 
-        const opciones: any = {
-          header: incluirEncabezados ? 1 : 1,
-          defval: "",
-        };
-
-        if (rango) {
-          opciones.range = rango;
-        }
-
         if (incluirEncabezados) {
           // La primera fila se usa como encabezados
           hojas[nombreHoja] = XLSX.utils.sheet_to_json(hoja, {
@@ -96,6 +115,13 @@ export const officeLeerXlsxTool: Tool = {
             range: rango,
           });
         }
+
+        if (hojas[nombreHoja].length > MAX_XLSX_ROWS_PER_SHEET) {
+          return {
+            ok: false,
+            error: `La hoja '${nombreHoja}' supera el máximo de 10.000 filas`,
+          };
+        }
       }
 
       const totalFilas = Object.values(hojas).reduce(

package/packages/core/src/tools/office/security-limits.ts

@@ -0,0 +1,28 @@
+import { statSync } from "node:fs";
+
+export const MAX_PDF_INPUT_BYTES = 25 * 1024 * 1024;
+export const MAX_XLSX_INPUT_BYTES = 15 * 1024 * 1024;
+export const MAX_PDF_PAGES_PER_REQUEST = 200;
+export const MAX_XLSX_SHEETS = 50;
+export const MAX_XLSX_ROWS_PER_SHEET = 10_000;
+export const OFFICE_PROCESSING_TIMEOUT_MS = 30_000;
+
+export function validateOfficeInput(
+  filePath: string,
+  maxBytes: number,
+  label: string,
+): string | null {
+  const stat = statSync(filePath);
+  if (!stat.isFile()) return `${label} debe ser un archivo regular`;
+  if (stat.size > maxBytes) {
+    const maxMiB = maxBytes / (1024 * 1024);
+    return `${label} excede el límite de ${maxMiB} MiB`;
+  }
+  return null;
+}
+
+export function assertBeforeDeadline(deadline: number, label: string): void {
+  if (Date.now() > deadline) {
+    throw new Error(`${label} excedió el límite de procesamiento de 30 segundos`);
+  }
+}

package/packages/core/src/utils/port.ts

@@ -0,0 +1,33 @@
+/**
+ * Resolución de puertos desde el entorno.
+ *
+ * Bun 1.4 endureció `Bun.serve`: un puerto fuera de `[0, 65535]` —o `NaN`, que
+ * es lo que devuelve `parseInt("no-es-un-numero")`— ahora lanza `RangeError` en
+ * vez de recortar el valor. Un `HIVE_PORT` mal escrito dejó de degradar y pasó a
+ * tumbar el arranque con una excepción sin capturar:
+ *
+ *     RangeError: The value of "options.port" is out of range.
+ *                 It must be an integer. Received NaN
+ *
+ * Este helper vuelve a la degradación explícita: avisa y sigue con el puerto por
+ * defecto, que para una variable de entorno mal tipeada es el comportamiento
+ * útil. El `0` se deja pasar a propósito: `Bun.serve` lo interpreta como "asigná
+ * un puerto libre" y hay código que se apoya en eso.
+ *
+ * Avisa con `console.warn` y no con el logger del proyecto a propósito: esto lo
+ * usa `config/loader.ts`, y el logger importa `config/loader.ts` para saber
+ * dónde escribir. Importarlo acá cierra el ciclo y rompe con "Cannot access
+ * 'logger' before initialization". Además, cuando se resuelve un puerto el
+ * logger todavía no está configurado.
+ */
+
+export function resolvePort(raw: unknown, fallback: number): number {
+  if (raw === undefined || raw === null || raw === "") return fallback
+
+  const n = typeof raw === "number" ? raw : Number(String(raw).trim())
+  if (!Number.isInteger(n) || n < 0 || n > 65535) {
+    console.warn(`[config] Puerto inválido ${JSON.stringify(raw)}; se usa ${fallback}`)
+    return fallback
+  }
+  return n
+}

package/packages/core/src/vendor/pptxgenjs/LICENSE

@@ -0,0 +1,21 @@
+The MIT License (MIT)
+
+Copyright (c) 2015-2022 Brent Ely
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/packages/core/src/vendor/pptxgenjs/README.md

@@ -0,0 +1,17 @@
+# PptxGenJS vendorizado
+
+- Proyecto: PptxGenJS
+- Versión: 4.0.1
+- Fuente: https://www.npmjs.com/package/pptxgenjs/v/4.0.1
+- Repositorio: https://github.com/gitbrent/PptxGenJS/tree/v4.0.1
+- Licencia: MIT (`LICENSE`)
+- Artefacto: `dist/pptxgen.es.js` de la distribución oficial
+- SHA-256: `05844c5625e2cda3b449eb967c2246dd57ca57341886a7c28eeebca263b29bd4`
+
+Hive conserva únicamente el artefacto ESM, que importa `jszip` y no importa
+`image-size`. No copie el `package.json` upstream: declara `image-size` para las
+funciones de imágenes que Hive no expone.
+
+Para actualizar esta copia, descargue una versión oficial, compruebe su licencia
+y procedencia, reemplace el artefacto, actualice el hash y ejecute la prueba de
+`office_escribir_pptx`, el typecheck y `bun audit`.

package/packages/core/src/vendor/pptxgenjs/pptxgen.es.d.ts

@@ -0,0 +1,17 @@
+interface TextRun {
+  text: string;
+  options?: Record<string, unknown>;
+}
+
+interface Slide {
+  addText(text: string | TextRun[], options?: Record<string, unknown>): void;
+  addNotes(notes: string | string[]): void;
+}
+
+declare class PptxGenJS {
+  layout: string;
+  addSlide(): Slide;
+  writeFile(options: { fileName: string }): Promise<string>;
+}
+
+export default PptxGenJS;