@saulwade/swl-ses 2.3.1 → 2.4.2

package/scripts/lib/toml-merge.js

@@ -1,204 +1,204 @@
-'use strict';
-
-/**
- * Merge mínimo de secciones TOML — zero-deps.
- *
- * Opera sobre el formato concreto de `~/.codex/config.toml` (OpenAI Codex CLI):
- *   [mcp_servers.<name>]
- *   command = "node"
- *   args = ["...", "..."]
- *   [mcp_servers.<name>.env]
- *   KEY = "value"
- *
- * Reglas:
- *  - NUNCA reescribe el archivo entero. Solo agrega o reemplaza la sección
- *    `[mcp_servers.<name>]` indicada (incluyendo sub-tabla `.env`).
- *  - Si el archivo no existe lo crea con permisos 0600.
- *  - Si el archivo tiene comentarios o secciones desconocidas, las preserva.
- *  - Bloque "owned" delimitado por marcadores `# SWL-MCP-BEGIN <name>` /
- *    `# SWL-MCP-END <name>` para permitir actualizaciones idempotentes.
- *
- * NO soporta:
- *  - TOML completo (arrays multilínea complejos, inline tables, etc.)
- *  - Multi-section nested tables fuera de `mcp_servers.*`
- *
- * Si en el futuro Codex publica un comando idempotente `codex mcp add --idempotent`
- * podemos delegarle el trabajo y deprecar este helper.
- *
- * @module scripts/lib/toml-merge
- */
-
-const fs = require('fs');
-const path = require('path');
-
-const { atomicWriteSync } = require('../../hooks/lib/atomic-write');
-
-const BEGIN_PREFIX = '# SWL-MCP-BEGIN';
-const END_PREFIX = '# SWL-MCP-END';
-
-/**
- * Serializa un servidor MCP en bloque TOML.
- *
- * @param {string} name - Nombre del server (identificador en config.toml).
- * @param {{ command: string, args?: string[], env?: Record<string,string> }} cfg
- * @returns {string} Bloque TOML con marcadores.
- */
-function serializarServidor(name, cfg) {
-  if (!name || typeof name !== 'string' || !/^[a-zA-Z0-9_-]+$/.test(name)) {
-    throw new Error(`Nombre de MCP server inválido: "${name}". Solo [a-zA-Z0-9_-].`);
-  }
-  if (!cfg || typeof cfg.command !== 'string' || cfg.command.length === 0) {
-    throw new Error(`MCP server "${name}" requiere "command" string no vacío.`);
-  }
-
-  const lineas = [];
-  lineas.push(`${BEGIN_PREFIX} ${name}`);
-  lineas.push(`[mcp_servers.${name}]`);
-  lineas.push(`command = ${tomlString(cfg.command)}`);
-
-  if (Array.isArray(cfg.args) && cfg.args.length > 0) {
-    const items = cfg.args.map(tomlString).join(', ');
-    lineas.push(`args = [${items}]`);
-  }
-
-  if (cfg.env && typeof cfg.env === 'object' && Object.keys(cfg.env).length > 0) {
-    lineas.push('');
-    lineas.push(`[mcp_servers.${name}.env]`);
-    for (const [k, v] of Object.entries(cfg.env)) {
-      if (typeof v !== 'string') {
-        throw new Error(`MCP server "${name}" env.${k} debe ser string (recibido: ${typeof v}).`);
-      }
-      // Solo claves alfanuméricas/_ en env names — TOML restricción razonable
-      if (!/^[A-Za-z_][A-Za-z0-9_]*$/.test(k)) {
-        throw new Error(`MCP server "${name}" env key inválido: "${k}".`);
-      }
-      lineas.push(`${k} = ${tomlString(v)}`);
-    }
-  }
-
-  lineas.push(`${END_PREFIX} ${name}`);
-  return lineas.join('\n');
-}
-
-/**
- * Escapa un string para TOML usando comillas dobles.
- * No usa basic-string raw para evitar pitfalls con backslashes.
- */
-function tomlString(s) {
-  // TOML basic string: escape backslash, doblequote, control chars.
-  const escapado = String(s)
-    .replace(/\\/g, '\\\\')
-    .replace(/"/g, '\\"')
-    .replace(/\n/g, '\\n')
-    .replace(/\r/g, '\\r')
-    .replace(/\t/g, '\\t');
-  return `"${escapado}"`;
-}
-
-/**
- * Inserta o actualiza un servidor MCP en `config.toml`.
- *
- * Idempotente: si el bloque ya existe con el mismo contenido, no escribe.
- * Si existe con contenido distinto, lo reemplaza dentro de los marcadores.
- * Si no existe, lo agrega al final del archivo precedido de línea en blanco.
- *
- * @param {string} rutaConfig - Path absoluto a config.toml (típicamente ~/.codex/config.toml).
- * @param {string} name - Nombre del MCP server (clave de [mcp_servers.<name>]).
- * @param {{ command: string, args?: string[], env?: Record<string,string> }} cfg
- * @returns {{ accion: 'creado' | 'agregado' | 'actualizado' | 'sin-cambios', ruta: string }}
- */
-function upsertMcpServer(rutaConfig, name, cfg) {
-  const bloqueNuevo = serializarServidor(name, cfg);
-
-  let existente = '';
-  let existia = false;
-  try {
-    existente = fs.readFileSync(rutaConfig, 'utf-8');
-    existia = true;
-  } catch (err) {
-    if (err.code !== 'ENOENT') throw err;
-    // Archivo no existe — se crea
-  }
-
-  const beginTag = `${BEGIN_PREFIX} ${name}`;
-  const endTag = `${END_PREFIX} ${name}`;
-
-  if (!existia) {
-    const dir = path.dirname(rutaConfig);
-    fs.mkdirSync(dir, { recursive: true });
-    const contenido = `# config.toml de Codex CLI — gestionado parcialmente por swl-ses\n# Bloques delimitados por SWL-MCP-BEGIN/END son regenerables.\n\n${bloqueNuevo}\n`;
-    atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
-    return { accion: 'creado', ruta: rutaConfig };
-  }
-
-  const idxBegin = existente.indexOf(beginTag);
-  const idxEnd = existente.indexOf(endTag);
-
-  // Caso 1: no existe el bloque → append al final
-  if (idxBegin === -1 || idxEnd === -1) {
-    const separador = existente.endsWith('\n') ? '\n' : '\n\n';
-    const contenido = existente + separador + bloqueNuevo + '\n';
-    atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
-    return { accion: 'agregado', ruta: rutaConfig };
-  }
-
-  // Caso 2: existe — comparar contenido
-  // Calculamos fin REAL incluyendo el endTag completo.
-  const finBloqueExistente = idxEnd + endTag.length;
-  const bloqueExistente = existente.slice(idxBegin, finBloqueExistente);
-
-  if (bloqueExistente === bloqueNuevo) {
-    return { accion: 'sin-cambios', ruta: rutaConfig };
-  }
-
-  const contenido = existente.slice(0, idxBegin) + bloqueNuevo + existente.slice(finBloqueExistente);
-  atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
-  return { accion: 'actualizado', ruta: rutaConfig };
-}
-
-/**
- * Elimina un bloque MCP server por nombre. Idempotente: si no existe, no hace nada.
- *
- * @param {string} rutaConfig
- * @param {string} name
- * @returns {{ accion: 'eliminado' | 'sin-cambios', ruta: string }}
- */
-function removeMcpServer(rutaConfig, name) {
-  let existente = '';
-  try {
-    existente = fs.readFileSync(rutaConfig, 'utf-8');
-  } catch (err) {
-    if (err.code === 'ENOENT') return { accion: 'sin-cambios', ruta: rutaConfig };
-    throw err;
-  }
-
-  const beginTag = `${BEGIN_PREFIX} ${name}`;
-  const endTag = `${END_PREFIX} ${name}`;
-  const idxBegin = existente.indexOf(beginTag);
-  const idxEnd = existente.indexOf(endTag);
-
-  if (idxBegin === -1 || idxEnd === -1) {
-    return { accion: 'sin-cambios', ruta: rutaConfig };
-  }
-
-  // Quitar bloque + posible newline previo y posterior (cosmético)
-  let inicio = idxBegin;
-  let fin = idxEnd + endTag.length;
-  // Comer un \n previo si existe (no comer doble \n para preservar separadores entre secciones)
-  if (inicio > 0 && existente[inicio - 1] === '\n') inicio--;
-  if (fin < existente.length && existente[fin] === '\n') fin++;
-
-  const contenido = existente.slice(0, inicio) + existente.slice(fin);
-  atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
-  return { accion: 'eliminado', ruta: rutaConfig };
-}
-
-module.exports = {
-  upsertMcpServer,
-  removeMcpServer,
-  serializarServidor,
-  // Para tests
-  _tomlString: tomlString,
-  BEGIN_PREFIX,
-  END_PREFIX,
-};
+'use strict';
+
+/**
+ * Merge mínimo de secciones TOML — zero-deps.
+ *
+ * Opera sobre el formato concreto de `~/.codex/config.toml` (OpenAI Codex CLI):
+ *   [mcp_servers.<name>]
+ *   command = "node"
+ *   args = ["...", "..."]
+ *   [mcp_servers.<name>.env]
+ *   KEY = "value"
+ *
+ * Reglas:
+ *  - NUNCA reescribe el archivo entero. Solo agrega o reemplaza la sección
+ *    `[mcp_servers.<name>]` indicada (incluyendo sub-tabla `.env`).
+ *  - Si el archivo no existe lo crea con permisos 0600.
+ *  - Si el archivo tiene comentarios o secciones desconocidas, las preserva.
+ *  - Bloque "owned" delimitado por marcadores `# SWL-MCP-BEGIN <name>` /
+ *    `# SWL-MCP-END <name>` para permitir actualizaciones idempotentes.
+ *
+ * NO soporta:
+ *  - TOML completo (arrays multilínea complejos, inline tables, etc.)
+ *  - Multi-section nested tables fuera de `mcp_servers.*`
+ *
+ * Si en el futuro Codex publica un comando idempotente `codex mcp add --idempotent`
+ * podemos delegarle el trabajo y deprecar este helper.
+ *
+ * @module scripts/lib/toml-merge
+ */
+
+const fs = require('fs');
+const path = require('path');
+
+const { atomicWriteSync } = require('../../hooks/lib/atomic-write');
+
+const BEGIN_PREFIX = '# SWL-MCP-BEGIN';
+const END_PREFIX = '# SWL-MCP-END';
+
+/**
+ * Serializa un servidor MCP en bloque TOML.
+ *
+ * @param {string} name - Nombre del server (identificador en config.toml).
+ * @param {{ command: string, args?: string[], env?: Record<string,string> }} cfg
+ * @returns {string} Bloque TOML con marcadores.
+ */
+function serializarServidor(name, cfg) {
+  if (!name || typeof name !== 'string' || !/^[a-zA-Z0-9_-]+$/.test(name)) {
+    throw new Error(`Nombre de MCP server inválido: "${name}". Solo [a-zA-Z0-9_-].`);
+  }
+  if (!cfg || typeof cfg.command !== 'string' || cfg.command.length === 0) {
+    throw new Error(`MCP server "${name}" requiere "command" string no vacío.`);
+  }
+
+  const lineas = [];
+  lineas.push(`${BEGIN_PREFIX} ${name}`);
+  lineas.push(`[mcp_servers.${name}]`);
+  lineas.push(`command = ${tomlString(cfg.command)}`);
+
+  if (Array.isArray(cfg.args) && cfg.args.length > 0) {
+    const items = cfg.args.map(tomlString).join(', ');
+    lineas.push(`args = [${items}]`);
+  }
+
+  if (cfg.env && typeof cfg.env === 'object' && Object.keys(cfg.env).length > 0) {
+    lineas.push('');
+    lineas.push(`[mcp_servers.${name}.env]`);
+    for (const [k, v] of Object.entries(cfg.env)) {
+      if (typeof v !== 'string') {
+        throw new Error(`MCP server "${name}" env.${k} debe ser string (recibido: ${typeof v}).`);
+      }
+      // Solo claves alfanuméricas/_ en env names — TOML restricción razonable
+      if (!/^[A-Za-z_][A-Za-z0-9_]*$/.test(k)) {
+        throw new Error(`MCP server "${name}" env key inválido: "${k}".`);
+      }
+      lineas.push(`${k} = ${tomlString(v)}`);
+    }
+  }
+
+  lineas.push(`${END_PREFIX} ${name}`);
+  return lineas.join('\n');
+}
+
+/**
+ * Escapa un string para TOML usando comillas dobles.
+ * No usa basic-string raw para evitar pitfalls con backslashes.
+ */
+function tomlString(s) {
+  // TOML basic string: escape backslash, doblequote, control chars.
+  const escapado = String(s)
+    .replace(/\\/g, '\\\\')
+    .replace(/"/g, '\\"')
+    .replace(/\n/g, '\\n')
+    .replace(/\r/g, '\\r')
+    .replace(/\t/g, '\\t');
+  return `"${escapado}"`;
+}
+
+/**
+ * Inserta o actualiza un servidor MCP en `config.toml`.
+ *
+ * Idempotente: si el bloque ya existe con el mismo contenido, no escribe.
+ * Si existe con contenido distinto, lo reemplaza dentro de los marcadores.
+ * Si no existe, lo agrega al final del archivo precedido de línea en blanco.
+ *
+ * @param {string} rutaConfig - Path absoluto a config.toml (típicamente ~/.codex/config.toml).
+ * @param {string} name - Nombre del MCP server (clave de [mcp_servers.<name>]).
+ * @param {{ command: string, args?: string[], env?: Record<string,string> }} cfg
+ * @returns {{ accion: 'creado' | 'agregado' | 'actualizado' | 'sin-cambios', ruta: string }}
+ */
+function upsertMcpServer(rutaConfig, name, cfg) {
+  const bloqueNuevo = serializarServidor(name, cfg);
+
+  let existente = '';
+  let existia = false;
+  try {
+    existente = fs.readFileSync(rutaConfig, 'utf-8');
+    existia = true;
+  } catch (err) {
+    if (err.code !== 'ENOENT') throw err;
+    // Archivo no existe — se crea
+  }
+
+  const beginTag = `${BEGIN_PREFIX} ${name}`;
+  const endTag = `${END_PREFIX} ${name}`;
+
+  if (!existia) {
+    const dir = path.dirname(rutaConfig);
+    fs.mkdirSync(dir, { recursive: true });
+    const contenido = `# config.toml de Codex CLI — gestionado parcialmente por swl-ses\n# Bloques delimitados por SWL-MCP-BEGIN/END son regenerables.\n\n${bloqueNuevo}\n`;
+    atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
+    return { accion: 'creado', ruta: rutaConfig };
+  }
+
+  const idxBegin = existente.indexOf(beginTag);
+  const idxEnd = existente.indexOf(endTag);
+
+  // Caso 1: no existe el bloque → append al final
+  if (idxBegin === -1 || idxEnd === -1) {
+    const separador = existente.endsWith('\n') ? '\n' : '\n\n';
+    const contenido = existente + separador + bloqueNuevo + '\n';
+    atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
+    return { accion: 'agregado', ruta: rutaConfig };
+  }
+
+  // Caso 2: existe — comparar contenido
+  // Calculamos fin REAL incluyendo el endTag completo.
+  const finBloqueExistente = idxEnd + endTag.length;
+  const bloqueExistente = existente.slice(idxBegin, finBloqueExistente);
+
+  if (bloqueExistente === bloqueNuevo) {
+    return { accion: 'sin-cambios', ruta: rutaConfig };
+  }
+
+  const contenido = existente.slice(0, idxBegin) + bloqueNuevo + existente.slice(finBloqueExistente);
+  atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
+  return { accion: 'actualizado', ruta: rutaConfig };
+}
+
+/**
+ * Elimina un bloque MCP server por nombre. Idempotente: si no existe, no hace nada.
+ *
+ * @param {string} rutaConfig
+ * @param {string} name
+ * @returns {{ accion: 'eliminado' | 'sin-cambios', ruta: string }}
+ */
+function removeMcpServer(rutaConfig, name) {
+  let existente = '';
+  try {
+    existente = fs.readFileSync(rutaConfig, 'utf-8');
+  } catch (err) {
+    if (err.code === 'ENOENT') return { accion: 'sin-cambios', ruta: rutaConfig };
+    throw err;
+  }
+
+  const beginTag = `${BEGIN_PREFIX} ${name}`;
+  const endTag = `${END_PREFIX} ${name}`;
+  const idxBegin = existente.indexOf(beginTag);
+  const idxEnd = existente.indexOf(endTag);
+
+  if (idxBegin === -1 || idxEnd === -1) {
+    return { accion: 'sin-cambios', ruta: rutaConfig };
+  }
+
+  // Quitar bloque + posible newline previo y posterior (cosmético)
+  let inicio = idxBegin;
+  let fin = idxEnd + endTag.length;
+  // Comer un \n previo si existe (no comer doble \n para preservar separadores entre secciones)
+  if (inicio > 0 && existente[inicio - 1] === '\n') inicio--;
+  if (fin < existente.length && existente[fin] === '\n') fin++;
+
+  const contenido = existente.slice(0, inicio) + existente.slice(fin);
+  atomicWriteSync(rutaConfig, contenido, 'utf8', { mode: 0o600 });
+  return { accion: 'eliminado', ruta: rutaConfig };
+}
+
+module.exports = {
+  upsertMcpServer,
+  removeMcpServer,
+  serializarServidor,
+  // Para tests
+  _tomlString: tomlString,
+  BEGIN_PREFIX,
+  END_PREFIX,
+};

package/scripts/mcp-server/auth.js

@@ -1,105 +1,105 @@
-'use strict';
-
-/**
- * Auth opt-in para swl-mcp-server v1.0.0 (ADR-0019 Sub-fase 3).
- *
- * El stub experimental v0.1.x corría sin auth. Cualquier proceso con acceso al
- * stdio podía leer toda la memoria SWL. Esa decisión era aceptable solo en
- * single-user local — no en multi-usuario, no expuesto a red, no compartido.
- *
- * v1.0.0 introduce auth **opt-in**:
- *   - Si `SWL_MCP_API_KEY` NO está definida en el entorno del server, el comportamiento
- *     es idéntico al stub (sin auth). Compatibilidad total con clientes existentes.
- *   - Si `SWL_MCP_API_KEY` ESTÁ definida, cada `tools/call` debe incluir
- *     `params._auth = "<api-key>"`. Sin el token o con token incorrecto, se devuelve
- *     `-32001 Unauthorized`.
- *
- * Decisión deliberada de NO usar header `Authorization: Bearer ...`:
- *   - El protocolo MCP sobre stdio NO transporta headers HTTP.
- *   - Inventar un campo en `initialize.capabilities` específico para swl-ses
- *     rompería la spec del protocolo.
- *   - `_auth` como campo en `params` es el patrón de menor fricción.
- *
- * Limitaciones aceptadas:
- *   - Token estático sin rotación automática — el operador rota manualmente
- *     cambiando la env var del proceso.
- *   - Sin scopes (read/write) porque v1 sigue siendo read-only.
- *
- * @module scripts/mcp-server/auth
- */
-
-const ENV_VAR_NAME = 'SWL_MCP_API_KEY';
-const ERROR_CODE_UNAUTHORIZED = -32001;
-const ERROR_CODE_FORBIDDEN = -32002;
-
-/**
- * Construye un validador de auth desde el entorno actual.
- *
- * Pattern de "construct once, use many": leer la env var una sola vez al arranque
- * y devolver una función pura que valida cada request. Evita race conditions con
- * tests que mutan process.env.
- *
- * @param {object} [opciones] - { env: NodeJS.ProcessEnv } sustituible para tests.
- * @returns {{ requerida: boolean, validar: (request: object) => { ok: boolean, code?: number, message?: string } }}
- */
-function construirValidador(opciones = {}) {
-  const env = opciones.env || process.env;
-  const apiKey = env[ENV_VAR_NAME];
-  const requerida = typeof apiKey === 'string' && apiKey.length > 0;
-
-  return {
-    requerida,
-    validar: (request) => {
-      if (!requerida) return { ok: true };
-      // Solo validar tools/call — initialize, ping, tools/list son metadata pública.
-      const metodo = request && request.method;
-      if (metodo !== 'tools/call') return { ok: true };
-
-      const params = request.params || {};
-      const tokenCliente = params._auth;
-
-      if (typeof tokenCliente !== 'string' || tokenCliente.length === 0) {
-        return {
-          ok: false,
-          code: ERROR_CODE_UNAUTHORIZED,
-          message: 'swl-mcp-server requiere autenticación: SWL_MCP_API_KEY está configurada en el server. El cliente debe enviar params._auth con el API key.',
-        };
-      }
-      if (!comparacionConstante(tokenCliente, apiKey)) {
-        return {
-          ok: false,
-          code: ERROR_CODE_FORBIDDEN,
-          message: 'Token inválido.',
-        };
-      }
-      return { ok: true };
-    },
-  };
-}
-
-/**
- * Comparación de strings en tiempo constante para evitar timing attacks
- * sobre el API key. Implementación zero-deps simple.
- *
- * Si las longitudes difieren, igual se itera la longitud máxima para no filtrar
- * información sobre el largo del secreto vía duración de la comparación.
- */
-function comparacionConstante(a, b) {
-  if (typeof a !== 'string' || typeof b !== 'string') return false;
-  const len = Math.max(a.length, b.length);
-  let diff = a.length ^ b.length;
-  for (let i = 0; i < len; i++) {
-    const ca = i < a.length ? a.charCodeAt(i) : 0;
-    const cb = i < b.length ? b.charCodeAt(i) : 0;
-    diff |= ca ^ cb;
-  }
-  return diff === 0;
-}
-
-module.exports = {
-  construirValidador,
-  comparacionConstante,
-  ENV_VAR_NAME,
-  ERROR_CODE_UNAUTHORIZED,
-  ERROR_CODE_FORBIDDEN,
-};
+'use strict';
+
+/**
+ * Auth opt-in para swl-mcp-server v1.0.0 (ADR-0019 Sub-fase 3).
+ *
+ * El stub experimental v0.1.x corría sin auth. Cualquier proceso con acceso al
+ * stdio podía leer toda la memoria SWL. Esa decisión era aceptable solo en
+ * single-user local — no en multi-usuario, no expuesto a red, no compartido.
+ *
+ * v1.0.0 introduce auth **opt-in**:
+ *   - Si `SWL_MCP_API_KEY` NO está definida en el entorno del server, el comportamiento
+ *     es idéntico al stub (sin auth). Compatibilidad total con clientes existentes.
+ *   - Si `SWL_MCP_API_KEY` ESTÁ definida, cada `tools/call` debe incluir
+ *     `params._auth = "<api-key>"`. Sin el token o con token incorrecto, se devuelve
+ *     `-32001 Unauthorized`.
+ *
+ * Decisión deliberada de NO usar header `Authorization: Bearer ...`:
+ *   - El protocolo MCP sobre stdio NO transporta headers HTTP.
+ *   - Inventar un campo en `initialize.capabilities` específico para swl-ses
+ *     rompería la spec del protocolo.
+ *   - `_auth` como campo en `params` es el patrón de menor fricción.
+ *
+ * Limitaciones aceptadas:
+ *   - Token estático sin rotación automática — el operador rota manualmente
+ *     cambiando la env var del proceso.
+ *   - Sin scopes (read/write) porque v1 sigue siendo read-only.
+ *
+ * @module scripts/mcp-server/auth
+ */
+
+const ENV_VAR_NAME = 'SWL_MCP_API_KEY';
+const ERROR_CODE_UNAUTHORIZED = -32001;
+const ERROR_CODE_FORBIDDEN = -32002;
+
+/**
+ * Construye un validador de auth desde el entorno actual.
+ *
+ * Pattern de "construct once, use many": leer la env var una sola vez al arranque
+ * y devolver una función pura que valida cada request. Evita race conditions con
+ * tests que mutan process.env.
+ *
+ * @param {object} [opciones] - { env: NodeJS.ProcessEnv } sustituible para tests.
+ * @returns {{ requerida: boolean, validar: (request: object) => { ok: boolean, code?: number, message?: string } }}
+ */
+function construirValidador(opciones = {}) {
+  const env = opciones.env || process.env;
+  const apiKey = env[ENV_VAR_NAME];
+  const requerida = typeof apiKey === 'string' && apiKey.length > 0;
+
+  return {
+    requerida,
+    validar: (request) => {
+      if (!requerida) return { ok: true };
+      // Solo validar tools/call — initialize, ping, tools/list son metadata pública.
+      const metodo = request && request.method;
+      if (metodo !== 'tools/call') return { ok: true };
+
+      const params = request.params || {};
+      const tokenCliente = params._auth;
+
+      if (typeof tokenCliente !== 'string' || tokenCliente.length === 0) {
+        return {
+          ok: false,
+          code: ERROR_CODE_UNAUTHORIZED,
+          message: 'swl-mcp-server requiere autenticación: SWL_MCP_API_KEY está configurada en el server. El cliente debe enviar params._auth con el API key.',
+        };
+      }
+      if (!comparacionConstante(tokenCliente, apiKey)) {
+        return {
+          ok: false,
+          code: ERROR_CODE_FORBIDDEN,
+          message: 'Token inválido.',
+        };
+      }
+      return { ok: true };
+    },
+  };
+}
+
+/**
+ * Comparación de strings en tiempo constante para evitar timing attacks
+ * sobre el API key. Implementación zero-deps simple.
+ *
+ * Si las longitudes difieren, igual se itera la longitud máxima para no filtrar
+ * información sobre el largo del secreto vía duración de la comparación.
+ */
+function comparacionConstante(a, b) {
+  if (typeof a !== 'string' || typeof b !== 'string') return false;
+  const len = Math.max(a.length, b.length);
+  let diff = a.length ^ b.length;
+  for (let i = 0; i < len; i++) {
+    const ca = i < a.length ? a.charCodeAt(i) : 0;
+    const cb = i < b.length ? b.charCodeAt(i) : 0;
+    diff |= ca ^ cb;
+  }
+  return diff === 0;
+}
+
+module.exports = {
+  construirValidador,
+  comparacionConstante,
+  ENV_VAR_NAME,
+  ERROR_CODE_UNAUTHORIZED,
+  ERROR_CODE_FORBIDDEN,
+};