@wu-framework/cli 0.2.4 → 0.3.0

package/CHANGELOG.md

@@ -0,0 +1,105 @@
+# Changelog
+
+Todos los cambios notables de wu-cli. Formato basado en [Keep a Changelog](https://keepachangelog.com/) y [SemVer](https://semver.org/).
+
+## [0.3.0] — 2026-05-17
+
+Sesión grande de hardening, refactor de UX y documentación. Sin cambios breaking para usuarios que ya tienen `wu.config.json` válido — pero **una excepción**: el campo `cors` del proxy ahora default `false` (antes hardcoded `true`).
+
+### Seguridad
+
+- **Sentinel ahora usa la IP real del cliente** (`stream.socket.address`). Antes estaba hardcoded a `0x7F000001` (127.0.0.1) — la tabla per-IP era inútil, rate-limit afectaba a todos los usuarios por igual.
+- **XSS en challenge HTML cerrado**. El path del request se interpolaba sin escape en `location.replace('{s}')`. Ahora hay allowlist `[A-Za-z0-9._\-/?=&%+~]`; cualquier otro carácter fallback a `/`.
+- **Path traversal hardened**. El check `indexOf("..")` original miss-eaba `%2e%2e`, `\\`, NUL bytes y absolute paths. Reemplazado por `isPathSafe()` que se aplica post-URL-decode con tests cubriendo 11 vectores conocidos.
+- **Sentinel ya no marca su propio endpoint como sospechoso**. Quitados de `isSuspiciousPath`: `/.well-known/*` (donde vive `/acp.json`), `/robots.txt`, `/sitemap.xml`, `/api/v1/`, `/graphql`. Antes Googlebot pidiendo `/robots.txt` recibía verdict `.throttle`.
+- **Anti-slowloris**: `setSocketTimeouts(stream, 30s)` aplicado a cada conexión aceptada (`READ_TIMEOUT_MS = 30_000`). Cross-platform: `ws2_32.setsockopt` en Windows, `std.posix.setsockopt` en POSIX.
+- **Body-size cap**: `MAX_REQUEST_BYTES = 16 MB`. Check temprano en `handleRequest` antes de leer el body. POST con `Content-Length` mayor → `413 Payload Too Large` + close.
+- **SSE/WebSocket peer-close detection**. `platformReadNonBlocking` ahora devuelve enum `PollResult { bytes, no_data, eof }`. Antes colapsaba EOF + no-data en `0`, dejando threads zombies hasta el siguiente ping (~30s). Los handlers de HMR (SSE) y WS detectan `.eof` y salen inmediatamente.
+- **CORS opt-in en proxy** (**breaking**): el campo `cors: bool` se agrega a `ProxyRule` con default `false`. Antes el proxy inyectaba `Access-Control-Allow-Origin: *` en TODAS las respuestas. Migración: agregá `"cors": true` explícito a las reglas que lo necesiten.
+- **`looksLikeBrowser` reforzado**: ahora exige `Mozilla/5.0` + engine (`AppleWebKit`/`Gecko`/`Trident`) + product token (`Chrome/`, `Firefox/`, `Safari/`, `Edg/`, `OPR/`, `Brave/`, `Vivaldi/`, `SamsungBrowser/`). Antes "Mozilla/5.0" solo era suficiente — cualquier scraper moderno pasaba.
+
+### Agregado
+
+- **Wizard interactivo con TUI** (`wu create`). Raw mode cross-platform, navegación con ↑↓/jk, Esc/Ctrl+C para cancelar con cleanup del terminal. Sin defaults escondidos en la elección del shell. Confirm explícito antes de `npm install`.
+- **Nuevo módulo `src/cli/tui.zig`** — primitivas: `enterRawMode`, `forceRestore`, `readKey`, ANSI helpers (cursor up, clear line, hide/show cursor).
+- **Nuevo módulo `src/cli/prompts.zig`** — `Menu`, `Text`, `Confirm`. Re-render in-place sin flicker.
+- **`build.zig.zon`** — manifest oficial de paquete Zig (name `.wu_cli`, fingerprint generado por toolchain, `minimum_zig_version = "0.16.0"`).
+- **Cap de disco para `.wu-cache/`** — `MAX_DISK_BYTES = 500 MB`, sweep cada 64 puts. Borra archivos más viejos por mtime hasta dejar 80 % del cap.
+- **LRU en cache de memoria** — antes era round-robin (evictaba hot entries por suerte). Ahora cada entry tiene `last_access: u64` y eviction busca el mínimo. Test cubre que la entry recién-tocada NO se desaloja.
+- **5 logs estructurados en el hot path** (en lugar de `catch {}` silenciosos): parser fail después de Bad Request, static file serve fail, hot-reload bookkeeping OOM, 404 después de fallar shell index (con sugerencia accionable), WS close frame fail.
+- **Convención de discovery**: el directorio llamado **exactamente `shell`** es el shell del proyecto. Todos los frameworks tratados por igual.
+- **Salt en cache key** (`hashPath(path, salt)`). Para .jsx/.tsx, salt = framework — switching `react` ↔ `preact` ya no sirve output stale.
+- **Header `cors` en `wu.config.json`** — opt-in por regla de proxy.
+- **Tests nuevos**: `isPathSafe` (11 vectores), `findCrlfSimd` chunk boundaries (5 casos), LRU eviction, `MAX_REQUEST_BYTES` sanity, `PollResult` exhaustiveness, escape sequences en `parseConfigJson`, browser fingerprint.
+- **Tres documentos nuevos** en `docs/`: `cli.md`, `configuration.md`, `security.md`, `contributing.md` (movido de root).
+- **`CHANGELOG.md`** — este archivo.
+
+### Cambiado
+
+- **Parser JSON migrado a `std.json`**. El parser hand-rolled no decodificaba escape sequences (`\n`, `\"`) y tenía un desync sutil en `readBool` que pisaba la siguiente key. `WuConfig` ahora owns un `ArenaAllocator`; `cfg.deinit(allocator)` libera todo en un shot.
+- **Hot-reload de config con cap de generaciones**. `_hot_cfgs` y `_hot_app_bufs` antes crecían sin límite. Ahora se capean a 3 generaciones; la más vieja se libera cuando se inserta la 4ª.
+- **Default del shell sin escondites**. `dev_server.zig:49` declaraba `shell_framework = "astro"`. Cambiado a `"vanilla"`. El color del shell en `wu build`/`wu install` ahora usa `frameworkColor(shell.framework)` real, no `fw_astro` hardcoded.
+- **TypeScript ofrecido a 9/12 frameworks** (antes 6/12). Vue, Svelte, Angular, Stencil ya tienen su pregunta `Use TypeScript?`. Sólo HTMX/Alpine/Stimulus quedan JS-only por convención del ecosistema.
+- **`wu create --template <fw>` ahora también respeta el shell**. Antes el quick mode siempre ponía shell vanilla (inconsistente con la elección del usuario). Default del shell ahora = mismo framework que el template; override con `--shell <fw>`.
+- **`dev_server.zig` adelgazado** 10 %: 3655 → 3298 LOC. `handleProxy` extraído a `handlers/proxy.zig` (188 LOC) y `handleHmr`/`handleWsHmr` a `handlers/hmr.zig` (172 LOC). Cuatro helpers promovidos a `pub`: `sendResponse`, `platformRead`, `platformWrite`, `platformReadNonBlocking`.
+- **README reescrito en español** como entry point con links a `docs/`. CONTRIBUTING raíz convertido en stub que apunta a `docs/contributing.md`.
+
+### Removido
+
+- **TS-strip line-based** (`stripTypeScript` + helpers `isTypeOnlyLine`, `isTypeAlias`, `skipTypeExpression`, tabla `ts_types`). Era código muerto — `.tsx` ya iba al daemon esbuild desde antes. ~325 LOC borradas de `transform.zig` (1074 → 749). Parámetro `is_tsx` eliminado de `compileJsxNative`.
+
+### Arreglado
+
+- **`shell/package.json` y `shell/index.html` se generaban incompletos**. Bug serio que llevaba meses escondido: `Writer.Allocating.fromArrayListAligned` toma ownership del buffer y deja la `ArrayList` vacía; `writeFile(io, path, buf.items)` escribía array vacío. Además, `index.html` se escribía en 2 `writeFile` al mismo path que se sobreescribían. Fix: `buf = aw.toArrayList()` antes del writeFile, y concat de las dos halves antes del único write.
+- **`discovery.zig` ya no privilegia astro**. Antes: si encuentra `astro.config.mjs`, promueve a shell automáticamente. Ahora: trato igual para todos los frameworks; sólo el directorio `shell/` es el shell.
+- **Verificación SIMD CRLF**: el código era correcto, pero faltaban tests que pin-eraran el invariante de cross-chunk access. Agregados 5 tests que rompen si alguien "optimiza" y quita el check `idx + 1 < data.len`.
+- **Migración a Zig 0.16.0** completa y validada con `zig build`, `zig build test`, `zig build -Doptimize=ReleaseFast`. La verificación de versión la hace ahora el package manager via `build.zig.zon`, no un check runtime en `build.zig`.
+
+### Deprecated / Por hacer
+
+- **Modo `wu dev --vite`** está deprecated. El modo nativo es el default desde hace versiones y maneja todo. El modo Vite legacy se mantiene por compat pero **no se está manteniendo**.
+- **`stripTypeScript`** ya no existe — `.tsx` debe ir por el daemon esbuild. Si tenés código que lo importaba directamente, falla en compile.
+
+---
+
+## [0.2.1] — 2026-04-22
+
+Versión publicada previa a esta sesión. Reconstruida del README.md anterior.
+
+### Agregado
+
+- Guided interactive scaffolding (`wu create`) con step-by-step, naming inteligente, summary card
+- Windows UTF-8 fix (Mojibake)
+- React shell con `<WuSlot />` integrado
+- TypeScript por default en plantillas que lo soportan
+- Production build pipeline (`wu build`) — Vite paralelo + shell de producción
+- Production server (`wu serve`) con clean Ctrl+C shutdown
+- Event-driven mounting en shell de producción (`wu:app:ready` events)
+- Theme system con CSS custom properties (`--surface`, `--text`, `--border`, `--accent`)
+- Design tokens de wu-framework.com (Indigo `#6366f1`, Teal `#14b8a6`, Zinc palette, Inter)
+- 13 plantillas theme-aware (React, Vue, Svelte, Solid, Preact, Lit, Angular, Alpine, Qwik, Stencil, HTMX, Stimulus, Vanilla)
+- Responsive production shell — topbar blur, sidebar con badges, spinners, hamburger móvil
+- `findEntryFromHtml()` correcto en build pipeline
+
+---
+
+## [0.2.0] — 2026-03-18
+
+Primera versión empaquetada en npm.
+
+### Agregado
+
+- Servidor HTTP nativo en Zig con SIMD parsing
+- Compilación 3-tier (Native Zig JSX → daemon → fallback)
+- Cache de 2 niveles
+- NPM module resolution en Zig puro
+- WebSocket + SSE HMR
+- Auto-discovery de micro-apps
+- HTTP keep-alive
+- Soporte inicial para 13 frameworks
+
+---
+
+[0.3.0]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.5...HEAD
+[0.2.1]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.0...v0.2.1
+[0.2.0]: https://github.com/LuisPadre25/wu-cli/releases/tag/v0.2.0

package/README.md

@@ -1,296 +1,215 @@
-<p align="center">
-  <img src="https://raw.githubusercontent.com/LuisPadre25/wu-framework/main/wu-logo.png" width="80" alt="Wu CLI" />
-</p>
-
-<h1 align="center">Wu CLI</h1>
-
-<p align="center">
-  <strong>One binary. One port. All your micro-apps.</strong>
-</p>
-
-<p align="center">
-  <a href="https://www.npmjs.com/package/@wu-framework/cli"><img src="https://img.shields.io/npm/v/@wu-framework/cli.svg?color=6366f1&label=npm" alt="npm version" /></a>
-  <img src="https://img.shields.io/badge/zig-0.15.2-f7a41d" alt="Zig 0.15.2" />
-  <img src="https://img.shields.io/badge/frameworks-13-14b8a6" alt="13 frameworks" />
-  <img src="https://img.shields.io/badge/dependencies-0-6366f1" alt="zero deps" />
-  <a href="https://opensource.org/licenses/MIT"><img src="https://img.shields.io/badge/license-MIT-blue.svg" alt="MIT License" /></a>
-</p>
-
-<p align="center">
-  <a href="https://www.wu-framework.com">Documentation</a> &middot;
-  <a href="https://www.wu-framework.com/docs/quick-start">Quick Start</a> &middot;
-  <a href="https://github.com/LuisPadre25/wu-framework">Wu Framework</a>
-</p>
-
----
-
-Native Zig CLI and dev server for [wu-framework](https://www.wu-framework.com) microfrontend applications. Replaces N Vite dev servers with a single process -- one binary that discovers, compiles, builds, and serves every micro-app through a unified HTTP server.
-
-## What's New in v0.2.0
-
-- **Production build pipeline** -- `wu build` compiles all micro-apps via Vite in parallel and generates a production shell with theme support
-- **Production server** -- `wu serve` serves the built `dist/` folder with proper static file serving and clean Ctrl+C shutdown
-- **Event-driven mounting** -- production shell uses `wu:app:ready` events instead of `await import()`, eliminating Vite code-splitting deadlocks
-- **Theme system** -- generated shells and app templates use CSS custom properties (`--surface`, `--text`, `--border`, etc.) for dark/light theme propagation
-- **wu-framework.com design tokens** -- shells use the official design system: Indigo `#6366f1`, Teal `#14b8a6`, Zinc palette, Inter font, backdrop blur
-- **13 theme-aware app templates** -- all framework templates (React, Vue, Svelte, Solid, Preact, Lit, Angular, Alpine, Qwik, Stencil, HTMX, Stimulus, Vanilla) respond to shell theme changes
-- **Responsive production shell** -- topbar with backdrop blur, sidebar with framework badges, loading spinners, mobile hamburger menu
-- **Correct Vite entry detection** -- `findEntryFromHtml()` parses Vite's generated `index.html` to find the real entry point instead of picking the first JS file
-
-## Features
-
-- Native HTTP dev server with SIMD-accelerated request parsing (16 bytes/cycle)
-- Three-tier compilation: Native Zig JSX (0-2ms) -> Compiler Daemon (10-50ms) -> Node fallback (200-400ms)
-- Two-level cache: in-memory (256 entries) + persistent disk (`.wu-cache/`), 73-138x speedup on warm restart
-- NPM module resolution in pure Zig (package.json `exports`, `module`, `main` fields with conditions)
-- TypeScript stripping and bare-specifier import rewriting (`react` -> `/@modules/react`)
-- CSS-as-module imports (`import './style.css'` injects into DOM at runtime)
-- WebSocket (RFC 6455) + SSE-based HMR with 300ms file-watcher polling
-- HTTP keep-alive for connection reuse across requests
-- Interactive project scaffolding (`wu create`) with 13 framework choices
-- Auto-discovery of micro-apps from directory structure (no config required)
-- Production build with parallel Vite compilation and optimized shell generation
-- Production server with static file serving
-
-## Install
-
-```bash
-npm install -g @wu-framework/cli
-```
-
-Then use it anywhere:
-
-```bash
-wu create my-project    # Interactive scaffolding
-cd my-project
-wu dev                  # Start dev server on one port
-wu build                # Build for production
-wu serve                # Serve production build
-```
-
-### Build from source
-
-Requires [Zig 0.15.2+](https://ziglang.org/download/):
-
-```bash
-git clone https://github.com/LuisPadre25/wu-cli.git
-cd wu-cli
-zig build
-./zig-out/bin/wu create my-project
-```
-
-## Commands
-
-| Command | Description |
-|---------|-------------|
-| `wu dev` | Start native dev server (default) or Vite processes (`--vite`) |
-| `wu build` | Build all micro-apps via Vite in parallel, generate production shell |
-| `wu serve` | Serve the production `dist/` folder |
-| `wu create` | Interactive project scaffolding (name, frameworks, npm install) |
-| `wu add <framework> <name>` | Add a new micro-app to an existing project |
-| `wu info` | Show project configuration and status |
-
-### `wu create`
-
-Interactive guided scaffolding:
-
-```
-$ wu create my-store
-
-  Wu CLI  v0.2.0
-  Creating a new Wu project...
-
-  Project name: my-store
-
-  Add micro-apps:
-    App name: products
-    Framework: vue
-    App name: orders
-    Framework: react
-    (empty to finish)
-
-  Generated:
-    shell/          HTML shell with sidebar navigation
-    mf-products/    Vue 3 micro-app
-    mf-orders/      React micro-app
-    wu.config.json  Project configuration
-
-  Installing dependencies...
-  Done!
-```
-
-### `wu build`
-
-Builds each micro-app with Vite in parallel and generates a production-ready shell:
-
-```
-$ wu build
-
-  Wu CLI  v0.2.0
-  Building 4 micro-apps for production...
-
-  + shell           (static)
-  + dashboard        3.1s
-  + orders           2.8s
-  + products         3.4s
-  + settings         4.2s
-
-  + wu-manifest.json (4 apps)
-  + dist/index.html (production shell)
-
-  + Build complete: 4 app(s) -> dist/ (5.8s)
-```
-
-### `wu serve`
-
-Serves the built `dist/` folder:
-
-```
-$ wu serve
-
-  Wu CLI  v0.2.0
-  Serving production build from dist/
-
-  Local:   http://localhost:3000/
-  Press Ctrl+C to stop
-```
-
-## Configuration
-
-wu-cli reads a `wu.config.json` file at the project root:
-
-```json
-{
-  "name": "my-store",
-  "version": "0.2.0",
-  "shell": {
-    "dir": "shell",
-    "port": 4321,
-    "framework": "html"
-  },
-  "apps": [
-    {
-      "name": "dashboard",
-      "dir": "mf-hero",
-      "framework": "svelte",
-      "port": 5002
-    },
-    {
-      "name": "orders",
-      "dir": "mf-eventlab",
-      "framework": "react",
-      "port": 5005
-    }
-  ],
-  "proxy": {
-    "port": 3000,
-    "open_browser": true
-  }
-}
-```
-
-Alternatively, wu-cli auto-discovers micro-apps by scanning subdirectories for `vite.config.js` + `package.json`. No configuration file is required for basic usage.
-
-## Architecture
-
-```
-wu-cli/
-  src/
-    commands/           CLI command handlers
-      dev.zig           Native dev server orchestration
-      build.zig         Production build pipeline (Vite + shell generation)
-      serve.zig         Production static file server
-      create.zig        Interactive project scaffolding
-      add.zig           Add micro-app to existing project
-      info.zig          Project status display
-      templates/        13 framework app component templates
-    runtime/            Dev server core
-      dev_server.zig    Thread-per-connection HTTP server with keep-alive
-      http_parser.zig   SIMD HTTP/1.1 parser (16 bytes/cycle)
-      resolve.zig       NPM module resolution (exports, module, main)
-      transform.zig     TS stripping + bare-specifier rewriting
-      jsx_transform.zig Native JSX -> createElement (React/Preact)
-      compile.zig       Three-tier compilation with persistent daemon
-      cache.zig         Two-level mtime cache (memory + disk)
-      ws_protocol.zig   WebSocket RFC 6455 (frame parsing, masking)
-      mime.zig          MIME type detection
-    config/             Configuration loading and validation
-```
-
-## Compilation Pipeline
-
-```
-.jsx/.tsx (React/Preact) ----> Native Zig JSX ----> JS  (~0-2ms)
-.jsx/.tsx (Solid)        ----> Compiler Daemon ----> JS  (~10-50ms)
-.svelte                  ----> Compiler Daemon ----> JS  (~10-50ms)
-.vue                     ----> Compiler Daemon ----> JS  (~10-50ms)
-.ts   (Angular)          ----> esbuild bundle  ----> JS  (~10-50ms)
-.ts                      ----> TS Strip        ----> JS  (~0-1ms)
-.js   (Alpine/HTMX/etc)  ----> passthrough     ----> JS  (~0ms)
-```
-
-The three tiers are tried in order. Native Zig handles React and Preact JSX with zero external processes. The Compiler Daemon keeps a long-running Node.js process for frameworks that require their own compilers (Svelte, Vue, Solid). If the daemon is unavailable, a one-shot `node -e` fallback is used.
-
-Cache hits bypass all tiers: source mtime is compared against the cached entry, and cached output is served directly (~3ms).
-
-## Supported Frameworks
-
-| Framework | Extensions | Compile Tier | Native JSX |
-|-----------|-----------|-------------|------------|
-| React | .jsx, .tsx | Native Zig | Yes |
-| Preact | .jsx, .tsx | Native Zig | Yes |
-| Vue | .vue | Daemon / Node | -- |
-| Svelte | .svelte | Daemon / Node | -- |
-| Solid.js | .jsx, .tsx | Daemon / Node | -- |
-| Angular | .ts | esbuild bundle | -- |
-| Lit | .ts, .js | TS strip only | -- |
-| Alpine.js | .js | Passthrough | -- |
-| Qwik | .jsx | Passthrough | -- |
-| Stencil | .js | Passthrough | -- |
-| HTMX | .js | Passthrough | -- |
-| Stimulus | .js | Passthrough | -- |
-| Vanilla | .js, .ts | TS strip only | -- |
-
-## Theme System
-
-Generated shells and app templates support dark/light theme switching via CSS custom properties:
-
-| Variable | Dark | Light | Purpose |
-|----------|------|-------|---------|
-| `--bg` | `#09090b` | `#fafafa` | Page background |
-| `--surface` | `#111113` | `#ffffff` | Card/panel background |
-| `--border` | `#27272a` | `#d4d4d8` | Borders |
-| `--text` | `#fafafa` | `#09090b` | Primary text |
-| `--text2` | `#a1a1aa` | `#52525b` | Secondary text |
-| `--text-muted` | `#3f3f46` | `#a1a1aa` | Muted/label text |
-| `--accent` | `#6366f1` | `#6366f1` | Brand accent (Indigo) |
-| `--teal` | `#14b8a6` | `#14b8a6` | Status/success accent |
-
-All 13 app templates use `var(--surface, #111)` etc. with fallback defaults, so they work both inside a themed shell and standalone.
-
-## Requirements
-
-- **Node.js 16+** -- for installing via npm
-- **Node.js 18+** -- needed at runtime for Svelte, Vue, and Solid compilation (React/Preact use native Zig JSX)
-- **Zig 0.15.2+** -- only needed if building from source
-
-## Project Stats
-
-- 22 Zig source files, ~3000 lines of runtime code
-- 13 framework app component templates (embedded at compile time)
-- ~250-460KB release binary per platform (Windows, Linux, macOS x64/arm64)
-- Zero external Zig dependencies
-- Single-process architecture replaces 12+ simultaneous Vite dev servers
-- Part of the [wu-framework](https://www.wu-framework.com) microfrontend platform
-
-## License
-
-MIT
-
-## Author
-
-Luis Garcia -- Creator of [wu-framework](https://www.wu-framework.com)
-
----
-
-*2026 Wu Framework*
+<p align="center">
+  <img src="https://raw.githubusercontent.com/LuisPadre25/wu-framework/main/wu-logo.png" width="80" alt="Wu CLI" />
+</p>
+
+<h1 align="center">Wu CLI</h1>
+
+<p align="center">
+  <strong>Un binario. Un puerto. Todas tus micro-apps.</strong>
+</p>
+
+<p align="center">
+  <a href="https://www.npmjs.com/package/@wu-framework/cli"><img src="https://img.shields.io/npm/v/@wu-framework/cli.svg?color=6366f1&label=npm" alt="npm version" /></a>
+  <img src="https://img.shields.io/badge/zig-0.16.0-f7a41d" alt="Zig 0.16.0" />
+  <img src="https://img.shields.io/badge/frameworks-13-14b8a6" alt="13 frameworks" />
+  <img src="https://img.shields.io/badge/dependencies-0-6366f1" alt="zero deps" />
+  <a href="https://opensource.org/licenses/MIT"><img src="https://img.shields.io/badge/license-MIT-blue.svg" alt="MIT License" /></a>
+</p>
+
+<p align="center">
+  <a href="docs/cli.md">Comandos</a> &middot;
+  <a href="docs/configuration.md">Configuración</a> &middot;
+  <a href="docs/security.md">Seguridad</a> &middot;
+  <a href="docs/contributing.md">Contribuir</a> &middot;
+  <a href="CHANGELOG.md">Changelog</a>
+</p>
+
+---
+
+## ¿Qué es wu-cli?
+
+**Wu CLI** es un CLI + dev-server nativo en **Zig 0.16** para arquitecturas microfrontend ([wu-framework](https://www.wu-framework.com)). Reemplaza **N procesos Vite** (uno por micro-app) con **un único proceso en un solo puerto** que descubre, compila, sirve y hace HMR. Sin dependencias Zig, binario de ~250-460 KB por plataforma, distribuido vía npm.
+
+## Lo nuevo en v0.3.0
+
+- **TUI interactiva** — `wu create` con menús navegables (↑↓ enter), sin defaults escondidos, raw mode cross-platform.
+- **DoS hardening** — read/write timeouts (30s), límite de body (16 MB), detección de peer-close en SSE/WebSocket. `wu serve` ya no se cuelga con slowloris.
+- **Sentinel real** — anti-bot con IP del cliente real (antes hardcoded 127.0.0.1), allowlist de paths legítimos (`/robots.txt`, `/.well-known/*`), challenge HTML libre de XSS.
+- **Cache LRU + cap de disco** — eviction inteligente en memoria, `.wu-cache/` capado a 500 MB con sweep periódico.
+- **Configuración robusta** — parser `wu.config.json` migrado a `std.json` (escape sequences correctos, sin desincronizaciones).
+- **CORS opt-in en proxy** — el `Access-Control-Allow-Origin: *` ya no se inyecta por defecto; ahora es por regla (`cors: true`).
+- **Modularización** — `dev_server.zig` adelgazó 10 % extrayendo `handlers/proxy.zig` y `handlers/hmr.zig`.
+- **`build.zig.zon`** — manifest oficial de paquete Zig (consumible como dependencia, valida versión mínima).
+
+[Ver el changelog completo →](CHANGELOG.md)
+
+## Instalación
+
+```bash
+npm install -g @wu-framework/cli
+```
+
+Requiere **Node.js 16+** para instalar. Node.js 18+ a runtime sólo si usas Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro).
+
+### Desde fuente
+
+Requiere **Zig 0.16.0**:
+
+```bash
+git clone https://github.com/LuisPadre25/wu-cli.git
+cd wu-cli
+zig build -Doptimize=ReleaseFast
+./zig-out/bin/wu --help
+```
+
+## Quick Start
+
+```bash
+wu create my-shop        # Wizard interactivo: nombre, shell, micro-apps, TS
+cd my-shop
+wu dev                   # Servidor nativo en http://localhost:3000
+wu build                 # Producción → dist/
+wu serve                 # Servir dist/
+```
+
+El wizard genera estructura tipo:
+
+```
+my-shop/
+├── wu.config.json           ← configuración del proyecto
+├── package.json             ← deps unificadas
+├── shell/                   ← el "host" que monta los micro-apps
+│   ├── package.json
+│   ├── index.html
+│   └── src/main.tsx (o .js)
+├── mf-catalog/              ← micro-app 1
+│   ├── package.json
+│   ├── vite.config.js
+│   └── src/App.tsx (o .jsx)
+└── mf-cart/                 ← micro-app 2
+    └── ...
+```
+
+## Comandos
+
+| Comando | Qué hace |
+|---|---|
+| `wu create [name]` | Wizard interactivo (TUI). Con `--template <fw>` modo no-interactivo. |
+| `wu dev` | Servidor de desarrollo nativo. Un solo proceso, un solo puerto. |
+| `wu build` | Compila todos los micro-apps en paralelo (Vite) → `dist/`. |
+| `wu serve` | Sirve `dist/` con headers de seguridad (timeouts, body-cap). |
+| `wu add <framework> <name>` | Agrega un micro-app a un proyecto existente. |
+| `wu install` | Instala dependencias de todos los micro-apps. |
+| `wu info` | Estado actual del proyecto (apps detectados, puertos, framework del shell). |
+
+Referencia completa con todas las flags: **[docs/cli.md](docs/cli.md)**.
+
+## Configuración
+
+`wu.config.json` en la raíz del proyecto:
+
+```json
+{
+  "name": "my-shop",
+  "version": "0.3.0",
+  "shell": {
+    "dir": "shell",
+    "port": 4321,
+    "framework": "react"
+  },
+  "apps": [
+    { "name": "catalog", "dir": "mf-catalog", "framework": "react", "port": 5001 },
+    { "name": "cart",    "dir": "mf-cart",    "framework": "vue",   "port": 5002 }
+  ],
+  "proxy": {
+    "port": 3000,
+    "open_browser": true,
+    "/api": { "target": "http://localhost:8080", "rewrite": true, "cors": false }
+  }
+}
+```
+
+Si no existe, `wu` auto-descubre micro-apps escaneando subdirectorios con `vite.config.*` + `package.json`. El directorio llamado **`shell`** se promueve a shell del proyecto.
+
+Schema completo, defaults, ejemplos de proxy: **[docs/configuration.md](docs/configuration.md)**.
+
+## Frameworks soportados
+
+13 frameworks en una sola CLI. Cada micro-app puede usar uno distinto del shell.
+
+| Framework | Extensiones | Compilación | TypeScript |
+|---|---|---|---|
+| React | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | ✓ |
+| Preact | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | ✓ |
+| Vue | .vue | Daemon (esbuild) | ✓ |
+| Svelte | .svelte | Daemon (esbuild) | ✓ |
+| Solid.js | .jsx, .tsx | Daemon (babel-preset-solid) | ✓ |
+| Angular | .ts | Daemon (esbuild bundle) | ✓ |
+| Lit | .ts, .js | TS strip | ✓ |
+| Stencil | .js | Passthrough | ✓ |
+| Alpine.js | .js | Passthrough | – |
+| Qwik | .jsx | Passthrough | ✓ |
+| HTMX | .js | Passthrough | – |
+| Stimulus | .js | Passthrough | – |
+| Vanilla | .js, .ts | TS strip | ✓ |
+
+## Arquitectura (resumen)
+
+```
+src/
+  cli/                  args, banner, TUI primitives (raw mode, prompts)
+  commands/             dev, build, create, add, install, serve, info
+    templates/          13 plantillas embebidas en el binario
+  config/               loader (std.json) + auto-discovery
+  runtime/              ← núcleo del dev server
+    dev_server.zig      thread-per-connection HTTP server (~3.3k LOC)
+    handlers/           proxy.zig, hmr.zig (extraídos del monolítico)
+    http_parser.zig     SIMD HTTP/1.1, 16 bytes/ciclo
+    transform.zig       reescritura de imports + alias @/ ~/
+    jsx_transform.zig   JSX nativo en Zig (React/Preact)
+    compile.zig         pipeline 3-tier (Zig → daemon → fallback)
+    resolve.zig         resolución NPM pura en Zig
+    cache.zig           2 niveles (LRU 256 entradas + disco capado 500MB)
+    ws_protocol.zig     WebSocket RFC 6455
+    hypervisor/         watcher OS-nativo + trie router + transform pool
+    sentinel/           anti-bot + ACP (AI Content Protocol)
+```
+
+Detalles: **[docs/contributing.md](docs/contributing.md)**.
+
+## Seguridad
+
+Wu integra varias defensas de bajo nivel:
+
+- **Anti-slowloris**: timeouts de 30 s en sockets aceptados.
+- **Body-size cap**: 16 MB máx por request, 413 si excede.
+- **Path-traversal**: validación post-URL-decode (`isPathSafe`).
+- **Sentinel**: clasificador zero-alloc para bots; AI agents redirigidos a ACP (`/.well-known/acp.json`).
+- **CORS opt-in**: el proxy no relaja CORS sin consentimiento explícito.
+
+Configuración para producción y modelo de amenazas: **[docs/security.md](docs/security.md)**.
+
+## Estadísticas
+
+- **35** archivos Zig fuente, **~9.7k LOC** de runtime
+- **~250-460 KB** binario release por plataforma
+- **0** dependencias Zig externas
+- **0** procesos Vite simultáneos en dev (un solo binario)
+
+## Requisitos
+
+- **Node.js 16+** para `npm install -g @wu-framework/cli`
+- **Node.js 18+** a runtime sólo para Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro)
+- **Zig 0.16.0** sólo si construyes desde fuente
+
+## Licencia
+
+MIT — ver [LICENSE](LICENSE).
+
+## Autor
+
+Luis Garcia — creador de [wu-framework](https://www.wu-framework.com).
+
+---
+
+*© 2026 Wu Framework*

package/package.json

@@ -1,14 +1,20 @@
 {
   "name": "@wu-framework/cli",
-  "version": "0.2.4",
-  "description": "Lightning-fast micro-frontend CLI — scaffold, develop, and build multi-framework apps",
+  "version": "0.3.0",
+  "description": "Native Zig dev server + CLI for wu-framework microfrontends. One binary, one port, all your micro-apps.",
   "license": "MIT",
+  "author": "Luis Garcia",
+  "homepage": "https://www.wu-framework.com",
+  "bugs": {
+    "url": "https://github.com/LuisPadre25/wu-cli/issues"
+  },
   "bin": {
     "wu": "bin/wu.js"
   },
   "files": [
     "bin/",
     "README.md",
+    "CHANGELOG.md",
     "LICENSE"
   ],
   "scripts": {
@@ -20,6 +26,9 @@
     "cli",
     "scaffold",
     "dev-server",
+    "hmr",
+    "vite-alternative",
+    "zig",
     "react",
     "vue",
     "svelte",
@@ -27,11 +36,15 @@
     "preact",
     "lit",
     "angular",
-    "astro"
+    "qwik",
+    "stencil",
+    "alpine",
+    "htmx",
+    "stimulus"
   ],
   "repository": {
     "type": "git",
-    "url": "https://github.com/LuisPadre25/wu-cli"
+    "url": "git+https://github.com/LuisPadre25/wu-cli.git"
   },
   "engines": {
     "node": ">=16"