@opensas/xml-rest-adapter 0.2.2 → 0.3.0

package/README.md

@@ -131,6 +131,34 @@ server.listen(3000);
 Prueba mínima sin siquiera levantar un servidor HTTP (construyendo los `Request` a mano y
 llamando a `handle()` directo) en [`examples/consumer/test.mjs`](examples/consumer/test.mjs).
 
+## Autenticación con IIS (`iis-node`)
+
+Con `authentication: { type: 'iis-node' }`, `resolveUser(request)` toma el usuario de Windows
+(`DOMINIO\usuario`) de la cabecera `x-iisnode-auth_user`, que arma iisnode con la variable
+`AUTH_USER` de IIS. Para que esa cabecera sea confiable, el sitio de IIS tiene que:
+
+1. **Promover `AUTH_USER`** en el `web.config`. Sin esto iisnode no toca la cabecera: si la manda
+   el cliente, llega intacta y se toma como el usuario autenticado.
+
+   ```xml
+   <iisnode promoteServerVars="AUTH_USER" />
+   ```
+
+2. **Tener Windows Authentication habilitada.** Con Anonymous también habilitada, un pedido
+   anónimo llega sin usuario y `resolveUser` responde `UNAUTHORIZED`.
+3. **Ser el único camino a Node:** que el proceso escuche en el named pipe de iisnode y no en un
+   puerto expuesto.
+
+La librería, por su lado:
+
+- Lee la cabecera solo detrás de IIS (`PORT` o `SOCKET_PATH` es un named pipe `\\.\pipe\…`).
+  Fuera de IIS la ignora y avisa con `console.warn`.
+- Se queda con el último valor: iisnode no reemplaza una cabecera que mande el cliente, le agrega
+  el suyo con una coma (`DOMINIO\admin,DOMINIO\juan`). También avisa.
+- No lee ninguna otra cabecera para la identidad.
+
+En desarrollo y tests (sin IIS), el usuario se pasa como string: `adapter.resolveUser('DOMINIO\\usuario')`.
+
 ## Más
 
 - [`docs/uso-interno.md`](docs/uso-interno.md) — gotchas y detalles que no son obvios a la

package/dist/auth.d.ts

@@ -2,7 +2,8 @@ import { type AppError } from './errors.js';
 import { type Result } from './result.js';
 import type { Aplicacion, Permisos, Usuario } from './types.js';
 export declare const ANONYMOUS_USER: Usuario;
-export declare function getDomainUser(request: Request, as?: string | null): string;
+export declare function isBehindIis(env?: Record<string, string | undefined>): boolean;
+export declare function getDomainUser(request: Request): string;
 export declare function parseGrupos(raw: string): string[];
 export declare function parsePermisos(raw: string): Permisos;
 export declare function resolveUser(app: Aplicacion, identity: string | Request): Promise<Result<Usuario, AppError>>;

package/dist/auth.js

@@ -13,14 +13,47 @@ export const ANONYMOUS_USER = {
     permisos: {},
     domainUser: '',
 };
+const IISNODE_VALUE_SEPARATOR = ',';
+const IISNODE_PIPE_PREFIX = '\\\\.\\pipe\\';
+// iisnode le pasa a Node un named pipe (`\\.\pipe\…`) en PORT, no un número. Algunos adapters lo
+// mueven a SOCKET_PATH (el server.cjs de svelte-adapter-iis hace `SOCKET_PATH = PORT` y borra
+// PORT), así que se miran las dos. A ese pipe solo se conecta IIS: si la app escucha en uno, el
+// pedido pasó por IIS y las cabeceras de iisnode las puso iisnode.
+export function isBehindIis(env = process.env) {
+    return [env.PORT, env.SOCKET_PATH].some((valor) => valor?.startsWith(IISNODE_PIPE_PREFIX));
+}
+// Un usuario de Windows no tiene comas ni llega dos veces en la cabecera: si pasa, alguien la está
+// armando a mano. Sin estrategia de logging todavía (docs/todos/logging.md), va a console.warn.
+function warn(mensaje) {
+    console.warn(`[xml-rest-adapter] ${mensaje}`);
+}
 // Identidad cruda tal como la inyecta IIS-node (Windows Integrated Auth) — ver
-// `authentication: { type: 'iis-node' }`. `as` (ej. `?as=DOMINIO\usuario`) permite pisarla desde
-// afuera del header, típicamente en dev/tests.
-export function getDomainUser(request, as) {
-    return (request.headers.get('x-iisnode-auth_user') ||
-        request.headers.get('iisnode-remote_user') ||
-        as ||
-        '');
+// `authentication: { type: 'iis-node' }`. Interna: la única forma pública de obtener el usuario es
+// `resolveUser`, que la llama cuando recibe un `Request`. Para simular un usuario en dev/tests
+// (`?as=`), el caller le pasa a `resolveUser` el string ya resuelto.
+//
+// iisnode no reemplaza una cabecera que mande el cliente: le agrega su valor separado por coma
+// (`DOMINIO\admin,DOMINIO\juan`, o `DOMINIO\admin,` si el sitio permite anónimos). El valor de
+// iisnode es el último; lo de antes lo mandó el cliente (ver docs/todos/iisnode-cabecera-con-coma.md).
+//
+// Fuera de IIS (Node directo, vite dev) nadie autentica y cualquiera puede mandar la cabecera: no
+// se lee (ver docs/todos/iisnode-cabecera-fuera-de-iis.md).
+//
+// Solo `x-iisnode-auth_user`: iisnode promueve las variables de `promoteServerVars` como
+// `x-iisnode-<variable>`, y el web.config tiene que incluir AUTH_USER (ver README, "Autenticación
+// con IIS"). Una cabecera que iisnode no arma (la `iisnode-remote_user` que se leía antes) solo
+// puede venir del cliente.
+export function getDomainUser(request) {
+    const header = request.headers.get('x-iisnode-auth_user') ?? '';
+    if (!isBehindIis()) {
+        if (header)
+            warn(`cabecera de iisnode sin IIS adelante, se ignora: ${JSON.stringify(header)}`);
+        return '';
+    }
+    if (header.includes(IISNODE_VALUE_SEPARATOR)) {
+        warn(`cabecera de iisnode con más de un valor, se usa el último: ${JSON.stringify(header)}`);
+    }
+    return header.split(IISNODE_VALUE_SEPARATOR).at(-1)?.trim() ?? '';
 }
 export function parseGrupos(raw) {
     return raw
@@ -119,6 +152,12 @@ export async function resolveUser(app, identity) {
     // login de Windows real de quien hizo el request.
     if (!domainUser)
         return err(appError('Usuario desconocido', 'UNAUTHORIZED'));
+    // Con un Request, getDomainUser ya se quedó con el valor de iisnode. Con un string, una coma es
+    // la cabecera cruda (con lo que agregó el cliente) pasada tal cual: no se adivina cuál es.
+    if (domainUser.includes(IISNODE_VALUE_SEPARATOR)) {
+        warn(`usuario con coma, se rechaza: ${JSON.stringify(domainUser)}`);
+        return err(appError('Usuario desconocido', 'UNAUTHORIZED'));
+    }
     if (app.authorization.type === 'none')
         return ok({ ...ANONYMOUS_USER, domainUser });
     return readUsuario(app.authorization.dbInfo, aplicacionCodigo, domainUser);

package/dist/index.d.ts

@@ -1,6 +1,5 @@
 export { createXmlRestAdapter } from './create-adapter.js';
 export { endpoints, type PartialEndpoint } from './endpoints.js';
-export { getDomainUser } from './auth.js';
 export { appError, jsonError, type AppError, type AppErrorCode } from './errors.js';
 export { closeAllPools } from './db.js';
 export type { Result } from './result.js';

package/dist/index.js

@@ -12,10 +12,6 @@
 //   };
 export { createXmlRestAdapter } from './create-adapter.js';
 export { endpoints } from './endpoints.js';
-// Identidad: getDomainUser es el único helper que un consumidor necesita para armar su propia
-// ruta de prueba/dev con impersonation vía `?as=` (ver src/routes/fixture/[...path]/+server.ts)
-// — a propósito NO es un feature de resolveUser (sería impersonation de fábrica).
-export { getDomainUser } from './auth.js';
 // Errores: mismo vocabulario que usa la librería puertas adentro, para que un consumidor pueda
 // devolver un error propio (antes de llegar a `handle`, por ejemplo) con la misma forma.
 export { appError, jsonError } from './errors.js';

package/dist/request-to-xml.js

@@ -27,6 +27,16 @@ const getXmlOrden = (orden) => orden
 })
     .join(',');
 const IDENTIFICADOR_SQL = /^[A-Za-z_][A-Za-z0-9_]*$/;
+// ORDER BY posicional ("_order=1" → columna 1 del select) — solo dígitos, no hay forma de
+// convertir esto en nada más que un entero literal.
+const POSICION_SQL = /^[0-9]+$/;
+// count(*)/min(Columna)/max(Columna), con alias obligatorio — no es una apertura genérica a
+// "cualquier función SQL": la lista de funciones es fija (las que consumidores reales necesitan
+// hoy, ver docs/casos-de-uso-campos-orden.md) y el argumento solo puede ser '*' o un identificador
+// bare — nada de subconsultas, operadores ni paréntesis anidados. Generaliza como gramática
+// verificable la excepción puntual que ya existía para el literal interno 'Count(*) as count'
+// (ver comentario de execXmlConsulta en db.ts).
+const AGREGADO_SQL = /^(count|min|max)\(\s*(\*|[A-Za-z_][A-Za-z0-9_]*)\s*\)\s+[A-Za-z_][A-Za-z0-9_]*$/i;
 // Defensa en profundidad — espejo de dbo.esListaDeCampos (docker/fixture/scripts/02-support.sql,
 // ver también docs/todos/sql-injection-campos-orden.md en convenios_web). La capa autoritativa es
 // esa función en SQL Server: cubre también a los consumidores legacy (apps ASP clásico) que le
@@ -43,13 +53,15 @@ function esListaDeCampos(lista, permiteAscDesc) {
         const campo = item.trim();
         if (campo === '')
             return false;
+        if (AGREGADO_SQL.test(campo))
+            return true;
         if (!permiteAscDesc)
             return IDENTIFICADOR_SQL.test(campo);
         const partes = campo.split(/\s+/);
         if (partes.length > 2)
             return false;
         const [nombre, direccion] = partes;
-        if (!IDENTIFICADOR_SQL.test(nombre))
+        if (!IDENTIFICADOR_SQL.test(nombre) && !POSICION_SQL.test(nombre))
             return false;
         return direccion === undefined || ['ASC', 'DESC'].includes(direccion.toUpperCase());
     });

package/package.json

@@ -1,14 +1,10 @@
 {
 	"name": "@opensas/xml-rest-adapter",
-	"version": "0.2.2",
+	"version": "0.3.0",
+	"packageManager": "pnpm@12.14.0",
 	"publishConfig": {
 		"access": "public"
 	},
-	"volta": {
-		"node": "24.19.0",
-		"pnpm": "11.21.0",
-		"npm": "12.0.2"
-	},
 	"scripts": {
 		"dev": "vite dev",
 		"build": "vite build && npm run prepack",
@@ -20,8 +16,10 @@
 		"check:all": "npm run format && eslint . --fix --cache && npm run check",
 		"format": "prettier --write --cache .",
 		"lint": "eslint . --cache",
+		"lint:clean": "node -e \"for (const p of ['.eslintcache', 'node_modules/.cache/prettier']) require('node:fs').rmSync(p, { recursive: true, force: true })\"",
 		"verify": "npm run format & eslint . --fix --cache & npm run check",
 		"up:safe": "pnpm --config.minimumReleaseAge=1440 up -i",
+		"sv:sync-deps": "tsx scripts/sv-sync-deps.ts",
 		"test:unit": "vitest run --project=unit-tests",
 		"test:vite": "vitest run",
 		"test:api": "playwright test --project=api-tests --pass-with-no-tests",
@@ -57,37 +55,41 @@
 	},
 	"devDependencies": {
 		"@eslint/js": "^10.0.1",
-		"@playwright/test": "^1.63.0",
-		"@sveltejs/adapter-auto": "^7.0.1",
-		"@sveltejs/kit": "^2.63.0",
-		"@sveltejs/package": "^2.5.8",
-		"@sveltejs/vite-plugin-svelte": "^7.1.2",
+		"@playwright/test": "^1.64.1",
+		"@sveltejs/adapter-auto": "^8.0.0",
+		"@sveltejs/kit": "^3.1.0",
+		"@sveltejs/package": "^3.0.0",
+		"@sveltejs/vite-plugin-svelte": "^7.3.1",
 		"@types/mssql": "^12.3.0",
-		"@types/node": "^24.13.5",
+		"@types/node": "^24.19.2",
 		"dotenv": "^17.4.2",
-		"eslint": "^10.10.0",
+		"eslint": "^10.13.0",
 		"eslint-config-prettier": "^10.1.8",
 		"eslint-plugin-check-file": "^3.3.2",
 		"eslint-plugin-simple-import-sort": "^13.0.0",
-		"eslint-plugin-svelte": "^3.19.0",
+		"eslint-plugin-svelte": "^3.23.1",
 		"eslint-plugin-unicorn": "^71.1.0",
-		"globals": "^17.12.0",
+		"globals": "^17.13.0",
 		"jiti": "^2.7.0",
-		"prettier": "^3.9.7",
+		"prettier": "^3.9.10",
 		"prettier-plugin-svelte": "^4.1.0",
-		"publint": "^0.3.21",
-		"svelte": "^5.57.0",
-		"svelte-check": "^4.6.0",
-		"tsx": "^4.23.13",
+		"publint": "^0.3.25",
+		"svelte": "^5.57.2",
+		"svelte-check": "^4.7.7",
+		"tsx": "^4.23.15",
 		"typescript": "^6.0.3",
-		"typescript-eslint": "^8.70.0",
-		"vite": "^8.3.0",
-		"vitest": "^4.1.8"
+		"typescript-eslint": "^8.72.0",
+		"vite": "^8.3.5",
+		"vitest": "^4.1.12"
 	},
 	"keywords": [
 		"svelte"
 	],
 	"dependencies": {
-		"mssql": "^12.7.2"
+		"mssql": "^12.7.11"
+	},
+	"imports": {
+		"#lib": "./src/lib/index.js",
+		"#lib/*": "./src/lib/*"
 	}
 }