@wu-framework/cli 0.3.0 → 0.3.1

package/CHANGELOG.md

@@ -1,105 +1,105 @@
-# Changelog
-
-Todos los cambios notables de wu-cli. Formato basado en [Keep a Changelog](https://keepachangelog.com/) y [SemVer](https://semver.org/).
-
-## [0.3.0] — 2026-05-17
-
-Sesión grande de hardening, refactor de UX y documentación. Sin cambios breaking para usuarios que ya tienen `wu.config.json` válido — pero **una excepción**: el campo `cors` del proxy ahora default `false` (antes hardcoded `true`).
-
-### Seguridad
-
-- **Sentinel ahora usa la IP real del cliente** (`stream.socket.address`). Antes estaba hardcoded a `0x7F000001` (127.0.0.1) — la tabla per-IP era inútil, rate-limit afectaba a todos los usuarios por igual.
-- **XSS en challenge HTML cerrado**. El path del request se interpolaba sin escape en `location.replace('{s}')`. Ahora hay allowlist `[A-Za-z0-9._\-/?=&%+~]`; cualquier otro carácter fallback a `/`.
-- **Path traversal hardened**. El check `indexOf("..")` original miss-eaba `%2e%2e`, `\\`, NUL bytes y absolute paths. Reemplazado por `isPathSafe()` que se aplica post-URL-decode con tests cubriendo 11 vectores conocidos.
-- **Sentinel ya no marca su propio endpoint como sospechoso**. Quitados de `isSuspiciousPath`: `/.well-known/*` (donde vive `/acp.json`), `/robots.txt`, `/sitemap.xml`, `/api/v1/`, `/graphql`. Antes Googlebot pidiendo `/robots.txt` recibía verdict `.throttle`.
-- **Anti-slowloris**: `setSocketTimeouts(stream, 30s)` aplicado a cada conexión aceptada (`READ_TIMEOUT_MS = 30_000`). Cross-platform: `ws2_32.setsockopt` en Windows, `std.posix.setsockopt` en POSIX.
-- **Body-size cap**: `MAX_REQUEST_BYTES = 16 MB`. Check temprano en `handleRequest` antes de leer el body. POST con `Content-Length` mayor → `413 Payload Too Large` + close.
-- **SSE/WebSocket peer-close detection**. `platformReadNonBlocking` ahora devuelve enum `PollResult { bytes, no_data, eof }`. Antes colapsaba EOF + no-data en `0`, dejando threads zombies hasta el siguiente ping (~30s). Los handlers de HMR (SSE) y WS detectan `.eof` y salen inmediatamente.
-- **CORS opt-in en proxy** (**breaking**): el campo `cors: bool` se agrega a `ProxyRule` con default `false`. Antes el proxy inyectaba `Access-Control-Allow-Origin: *` en TODAS las respuestas. Migración: agregá `"cors": true` explícito a las reglas que lo necesiten.
-- **`looksLikeBrowser` reforzado**: ahora exige `Mozilla/5.0` + engine (`AppleWebKit`/`Gecko`/`Trident`) + product token (`Chrome/`, `Firefox/`, `Safari/`, `Edg/`, `OPR/`, `Brave/`, `Vivaldi/`, `SamsungBrowser/`). Antes "Mozilla/5.0" solo era suficiente — cualquier scraper moderno pasaba.
-
-### Agregado
-
-- **Wizard interactivo con TUI** (`wu create`). Raw mode cross-platform, navegación con ↑↓/jk, Esc/Ctrl+C para cancelar con cleanup del terminal. Sin defaults escondidos en la elección del shell. Confirm explícito antes de `npm install`.
-- **Nuevo módulo `src/cli/tui.zig`** — primitivas: `enterRawMode`, `forceRestore`, `readKey`, ANSI helpers (cursor up, clear line, hide/show cursor).
-- **Nuevo módulo `src/cli/prompts.zig`** — `Menu`, `Text`, `Confirm`. Re-render in-place sin flicker.
-- **`build.zig.zon`** — manifest oficial de paquete Zig (name `.wu_cli`, fingerprint generado por toolchain, `minimum_zig_version = "0.16.0"`).
-- **Cap de disco para `.wu-cache/`** — `MAX_DISK_BYTES = 500 MB`, sweep cada 64 puts. Borra archivos más viejos por mtime hasta dejar 80 % del cap.
-- **LRU en cache de memoria** — antes era round-robin (evictaba hot entries por suerte). Ahora cada entry tiene `last_access: u64` y eviction busca el mínimo. Test cubre que la entry recién-tocada NO se desaloja.
-- **5 logs estructurados en el hot path** (en lugar de `catch {}` silenciosos): parser fail después de Bad Request, static file serve fail, hot-reload bookkeeping OOM, 404 después de fallar shell index (con sugerencia accionable), WS close frame fail.
-- **Convención de discovery**: el directorio llamado **exactamente `shell`** es el shell del proyecto. Todos los frameworks tratados por igual.
-- **Salt en cache key** (`hashPath(path, salt)`). Para .jsx/.tsx, salt = framework — switching `react` ↔ `preact` ya no sirve output stale.
-- **Header `cors` en `wu.config.json`** — opt-in por regla de proxy.
-- **Tests nuevos**: `isPathSafe` (11 vectores), `findCrlfSimd` chunk boundaries (5 casos), LRU eviction, `MAX_REQUEST_BYTES` sanity, `PollResult` exhaustiveness, escape sequences en `parseConfigJson`, browser fingerprint.
-- **Tres documentos nuevos** en `docs/`: `cli.md`, `configuration.md`, `security.md`, `contributing.md` (movido de root).
-- **`CHANGELOG.md`** — este archivo.
-
-### Cambiado
-
-- **Parser JSON migrado a `std.json`**. El parser hand-rolled no decodificaba escape sequences (`\n`, `\"`) y tenía un desync sutil en `readBool` que pisaba la siguiente key. `WuConfig` ahora owns un `ArenaAllocator`; `cfg.deinit(allocator)` libera todo en un shot.
-- **Hot-reload de config con cap de generaciones**. `_hot_cfgs` y `_hot_app_bufs` antes crecían sin límite. Ahora se capean a 3 generaciones; la más vieja se libera cuando se inserta la 4ª.
-- **Default del shell sin escondites**. `dev_server.zig:49` declaraba `shell_framework = "astro"`. Cambiado a `"vanilla"`. El color del shell en `wu build`/`wu install` ahora usa `frameworkColor(shell.framework)` real, no `fw_astro` hardcoded.
-- **TypeScript ofrecido a 9/12 frameworks** (antes 6/12). Vue, Svelte, Angular, Stencil ya tienen su pregunta `Use TypeScript?`. Sólo HTMX/Alpine/Stimulus quedan JS-only por convención del ecosistema.
-- **`wu create --template <fw>` ahora también respeta el shell**. Antes el quick mode siempre ponía shell vanilla (inconsistente con la elección del usuario). Default del shell ahora = mismo framework que el template; override con `--shell <fw>`.
-- **`dev_server.zig` adelgazado** 10 %: 3655 → 3298 LOC. `handleProxy` extraído a `handlers/proxy.zig` (188 LOC) y `handleHmr`/`handleWsHmr` a `handlers/hmr.zig` (172 LOC). Cuatro helpers promovidos a `pub`: `sendResponse`, `platformRead`, `platformWrite`, `platformReadNonBlocking`.
-- **README reescrito en español** como entry point con links a `docs/`. CONTRIBUTING raíz convertido en stub que apunta a `docs/contributing.md`.
-
-### Removido
-
-- **TS-strip line-based** (`stripTypeScript` + helpers `isTypeOnlyLine`, `isTypeAlias`, `skipTypeExpression`, tabla `ts_types`). Era código muerto — `.tsx` ya iba al daemon esbuild desde antes. ~325 LOC borradas de `transform.zig` (1074 → 749). Parámetro `is_tsx` eliminado de `compileJsxNative`.
-
-### Arreglado
-
-- **`shell/package.json` y `shell/index.html` se generaban incompletos**. Bug serio que llevaba meses escondido: `Writer.Allocating.fromArrayListAligned` toma ownership del buffer y deja la `ArrayList` vacía; `writeFile(io, path, buf.items)` escribía array vacío. Además, `index.html` se escribía en 2 `writeFile` al mismo path que se sobreescribían. Fix: `buf = aw.toArrayList()` antes del writeFile, y concat de las dos halves antes del único write.
-- **`discovery.zig` ya no privilegia astro**. Antes: si encuentra `astro.config.mjs`, promueve a shell automáticamente. Ahora: trato igual para todos los frameworks; sólo el directorio `shell/` es el shell.
-- **Verificación SIMD CRLF**: el código era correcto, pero faltaban tests que pin-eraran el invariante de cross-chunk access. Agregados 5 tests que rompen si alguien "optimiza" y quita el check `idx + 1 < data.len`.
-- **Migración a Zig 0.16.0** completa y validada con `zig build`, `zig build test`, `zig build -Doptimize=ReleaseFast`. La verificación de versión la hace ahora el package manager via `build.zig.zon`, no un check runtime en `build.zig`.
-
-### Deprecated / Por hacer
-
-- **Modo `wu dev --vite`** está deprecated. El modo nativo es el default desde hace versiones y maneja todo. El modo Vite legacy se mantiene por compat pero **no se está manteniendo**.
-- **`stripTypeScript`** ya no existe — `.tsx` debe ir por el daemon esbuild. Si tenés código que lo importaba directamente, falla en compile.
-
----
-
-## [0.2.1] — 2026-04-22
-
-Versión publicada previa a esta sesión. Reconstruida del README.md anterior.
-
-### Agregado
-
-- Guided interactive scaffolding (`wu create`) con step-by-step, naming inteligente, summary card
-- Windows UTF-8 fix (Mojibake)
-- React shell con `<WuSlot />` integrado
-- TypeScript por default en plantillas que lo soportan
-- Production build pipeline (`wu build`) — Vite paralelo + shell de producción
-- Production server (`wu serve`) con clean Ctrl+C shutdown
-- Event-driven mounting en shell de producción (`wu:app:ready` events)
-- Theme system con CSS custom properties (`--surface`, `--text`, `--border`, `--accent`)
-- Design tokens de wu-framework.com (Indigo `#6366f1`, Teal `#14b8a6`, Zinc palette, Inter)
-- 13 plantillas theme-aware (React, Vue, Svelte, Solid, Preact, Lit, Angular, Alpine, Qwik, Stencil, HTMX, Stimulus, Vanilla)
-- Responsive production shell — topbar blur, sidebar con badges, spinners, hamburger móvil
-- `findEntryFromHtml()` correcto en build pipeline
-
----
-
-## [0.2.0] — 2026-03-18
-
-Primera versión empaquetada en npm.
-
-### Agregado
-
-- Servidor HTTP nativo en Zig con SIMD parsing
-- Compilación 3-tier (Native Zig JSX → daemon → fallback)
-- Cache de 2 niveles
-- NPM module resolution en Zig puro
-- WebSocket + SSE HMR
-- Auto-discovery de micro-apps
-- HTTP keep-alive
-- Soporte inicial para 13 frameworks
-
----
-
-[0.3.0]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.5...HEAD
-[0.2.1]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.0...v0.2.1
-[0.2.0]: https://github.com/LuisPadre25/wu-cli/releases/tag/v0.2.0
+# Changelog
+
+Todos los cambios notables de wu-cli. Formato basado en [Keep a Changelog](https://keepachangelog.com/) y [SemVer](https://semver.org/).
+
+## [0.3.0] — 2026-05-18
+
+Sesión grande de hardening, refactor de UX y documentación. Sin cambios breaking para usuarios que ya tienen `wu.config.json` válido — pero **una excepción**: el campo `cors` del proxy ahora default `false` (antes hardcoded `true`).
+
+### Seguridad
+
+- **Sentinel ahora usa la IP real del cliente** (`stream.socket.address`). Antes estaba hardcoded a `0x7F000001` (127.0.0.1) — la tabla per-IP era inútil, rate-limit afectaba a todos los usuarios por igual.
+- **XSS en challenge HTML cerrado**. El path del request se interpolaba sin escape en `location.replace('{s}')`. Ahora hay allowlist `[A-Za-z0-9._\-/?=&%+~]`; cualquier otro carácter fallback a `/`.
+- **Path traversal hardened**. El check `indexOf("..")` original miss-eaba `%2e%2e`, `\\`, NUL bytes y absolute paths. Reemplazado por `isPathSafe()` que se aplica post-URL-decode con tests cubriendo 11 vectores conocidos.
+- **Sentinel ya no marca su propio endpoint como sospechoso**. Quitados de `isSuspiciousPath`: `/.well-known/*` (donde vive `/acp.json`), `/robots.txt`, `/sitemap.xml`, `/api/v1/`, `/graphql`. Antes Googlebot pidiendo `/robots.txt` recibía verdict `.throttle`.
+- **Anti-slowloris**: `setSocketTimeouts(stream, 30s)` aplicado a cada conexión aceptada (`READ_TIMEOUT_MS = 30_000`). Cross-platform: `ws2_32.setsockopt` en Windows, `std.posix.setsockopt` en POSIX.
+- **Body-size cap**: `MAX_REQUEST_BYTES = 16 MB`. Check temprano en `handleRequest` antes de leer el body. POST con `Content-Length` mayor → `413 Payload Too Large` + close.
+- **SSE/WebSocket peer-close detection**. `platformReadNonBlocking` ahora devuelve enum `PollResult { bytes, no_data, eof }`. Antes colapsaba EOF + no-data en `0`, dejando threads zombies hasta el siguiente ping (~30s). Los handlers de HMR (SSE) y WS detectan `.eof` y salen inmediatamente.
+- **CORS opt-in en proxy** (**breaking**): el campo `cors: bool` se agrega a `ProxyRule` con default `false`. Antes el proxy inyectaba `Access-Control-Allow-Origin: *` en TODAS las respuestas. Migración: agregá `"cors": true` explícito a las reglas que lo necesiten.
+- **`looksLikeBrowser` reforzado**: ahora exige `Mozilla/5.0` + engine (`AppleWebKit`/`Gecko`/`Trident`) + product token (`Chrome/`, `Firefox/`, `Safari/`, `Edg/`, `OPR/`, `Brave/`, `Vivaldi/`, `SamsungBrowser/`). Antes "Mozilla/5.0" solo era suficiente — cualquier scraper moderno pasaba.
+
+### Agregado
+
+- **Wizard interactivo con TUI** (`wu create`). Raw mode cross-platform, navegación con ↑↓/jk, Esc/Ctrl+C para cancelar con cleanup del terminal. Sin defaults escondidos en la elección del shell. Confirm explícito antes de `npm install`.
+- **Nuevo módulo `src/cli/tui.zig`** — primitivas: `enterRawMode`, `forceRestore`, `readKey`, ANSI helpers (cursor up, clear line, hide/show cursor).
+- **Nuevo módulo `src/cli/prompts.zig`** — `Menu`, `Text`, `Confirm`. Re-render in-place sin flicker.
+- **`build.zig.zon`** — manifest oficial de paquete Zig (name `.wu_cli`, fingerprint generado por toolchain, `minimum_zig_version = "0.16.0"`).
+- **Cap de disco para `.wu-cache/`** — `MAX_DISK_BYTES = 500 MB`, sweep cada 64 puts. Borra archivos más viejos por mtime hasta dejar 80 % del cap.
+- **LRU en cache de memoria** — antes era round-robin (evictaba hot entries por suerte). Ahora cada entry tiene `last_access: u64` y eviction busca el mínimo. Test cubre que la entry recién-tocada NO se desaloja.
+- **5 logs estructurados en el hot path** (en lugar de `catch {}` silenciosos): parser fail después de Bad Request, static file serve fail, hot-reload bookkeeping OOM, 404 después de fallar shell index (con sugerencia accionable), WS close frame fail.
+- **Convención de discovery**: el directorio llamado **exactamente `shell`** es el shell del proyecto. Todos los frameworks tratados por igual.
+- **Salt en cache key** (`hashPath(path, salt)`). Para .jsx/.tsx, salt = framework — switching `react` ↔ `preact` ya no sirve output stale.
+- **Header `cors` en `wu.config.json`** — opt-in por regla de proxy.
+- **Tests nuevos**: `isPathSafe` (11 vectores), `findCrlfSimd` chunk boundaries (5 casos), LRU eviction, `MAX_REQUEST_BYTES` sanity, `PollResult` exhaustiveness, escape sequences en `parseConfigJson`, browser fingerprint.
+- **Tres documentos nuevos** en `docs/`: `cli.md`, `configuration.md`, `security.md`, `contributing.md` (movido de root).
+- **`CHANGELOG.md`** — este archivo.
+
+### Cambiado
+
+- **Parser JSON migrado a `std.json`**. El parser hand-rolled no decodificaba escape sequences (`\n`, `\"`) y tenía un desync sutil en `readBool` que pisaba la siguiente key. `WuConfig` ahora owns un `ArenaAllocator`; `cfg.deinit(allocator)` libera todo en un shot.
+- **Hot-reload de config con cap de generaciones**. `_hot_cfgs` y `_hot_app_bufs` antes crecían sin límite. Ahora se capean a 3 generaciones; la más vieja se libera cuando se inserta la 4ª.
+- **Default del shell sin escondites**. `dev_server.zig:49` declaraba `shell_framework = "astro"`. Cambiado a `"vanilla"`. El color del shell en `wu build`/`wu install` ahora usa `frameworkColor(shell.framework)` real, no `fw_astro` hardcoded.
+- **TypeScript ofrecido a 9/12 frameworks** (antes 6/12). Vue, Svelte, Angular, Stencil ya tienen su pregunta `Use TypeScript?`. Sólo HTMX/Alpine/Stimulus quedan JS-only por convención del ecosistema.
+- **`wu create --template <fw>` ahora también respeta el shell**. Antes el quick mode siempre ponía shell vanilla (inconsistente con la elección del usuario). Default del shell ahora = mismo framework que el template; override con `--shell <fw>`.
+- **`dev_server.zig` adelgazado** 10 %: 3655 → 3298 LOC. `handleProxy` extraído a `handlers/proxy.zig` (188 LOC) y `handleHmr`/`handleWsHmr` a `handlers/hmr.zig` (172 LOC). Cuatro helpers promovidos a `pub`: `sendResponse`, `platformRead`, `platformWrite`, `platformReadNonBlocking`.
+- **README reescrito en español** como entry point con links a `docs/`. CONTRIBUTING raíz convertido en stub que apunta a `docs/contributing.md`.
+
+### Removido
+
+- **TS-strip line-based** (`stripTypeScript` + helpers `isTypeOnlyLine`, `isTypeAlias`, `skipTypeExpression`, tabla `ts_types`). Era código muerto — `.tsx` ya iba al daemon esbuild desde antes. ~325 LOC borradas de `transform.zig` (1074 → 749). Parámetro `is_tsx` eliminado de `compileJsxNative`.
+
+### Arreglado
+
+- **`shell/package.json` y `shell/index.html` se generaban incompletos**. Bug serio que llevaba meses escondido: `Writer.Allocating.fromArrayListAligned` toma ownership del buffer y deja la `ArrayList` vacía; `writeFile(io, path, buf.items)` escribía array vacío. Además, `index.html` se escribía en 2 `writeFile` al mismo path que se sobreescribían. Fix: `buf = aw.toArrayList()` antes del writeFile, y concat de las dos halves antes del único write.
+- **`discovery.zig` ya no privilegia astro**. Antes: si encuentra `astro.config.mjs`, promueve a shell automáticamente. Ahora: trato igual para todos los frameworks; sólo el directorio `shell/` es el shell.
+- **Verificación SIMD CRLF**: el código era correcto, pero faltaban tests que pin-eraran el invariante de cross-chunk access. Agregados 5 tests que rompen si alguien "optimiza" y quita el check `idx + 1 < data.len`.
+- **Migración a Zig 0.16.0** completa y validada con `zig build`, `zig build test`, `zig build -Doptimize=ReleaseFast`. La verificación de versión la hace ahora el package manager via `build.zig.zon`, no un check runtime en `build.zig`.
+
+### Deprecated / Por hacer
+
+- **Modo `wu dev --vite`** está deprecated. El modo nativo es el default desde hace versiones y maneja todo. El modo Vite legacy se mantiene por compat pero **no se está manteniendo**.
+- **`stripTypeScript`** ya no existe — `.tsx` debe ir por el daemon esbuild. Si tenés código que lo importaba directamente, falla en compile.
+
+---
+
+## [0.2.1] — 2026-04-22
+
+Versión publicada previa a esta sesión. Reconstruida del README.md anterior.
+
+### Agregado
+
+- Guided interactive scaffolding (`wu create`) con step-by-step, naming inteligente, summary card
+- Windows UTF-8 fix (Mojibake)
+- React shell con `<WuSlot />` integrado
+- TypeScript por default en plantillas que lo soportan
+- Production build pipeline (`wu build`) — Vite paralelo + shell de producción
+- Production server (`wu serve`) con clean Ctrl+C shutdown
+- Event-driven mounting en shell de producción (`wu:app:ready` events)
+- Theme system con CSS custom properties (`--surface`, `--text`, `--border`, `--accent`)
+- Design tokens de wu-framework.com (Indigo `#6366f1`, Teal `#14b8a6`, Zinc palette, Inter)
+- 13 plantillas theme-aware (React, Vue, Svelte, Solid, Preact, Lit, Angular, Alpine, Qwik, Stencil, HTMX, Stimulus, Vanilla)
+- Responsive production shell — topbar blur, sidebar con badges, spinners, hamburger móvil
+- `findEntryFromHtml()` correcto en build pipeline
+
+---
+
+## [0.2.0] — 2026-03-18
+
+Primera versión empaquetada en npm.
+
+### Agregado
+
+- Servidor HTTP nativo en Zig con SIMD parsing
+- Compilación 3-tier (Native Zig JSX → daemon → fallback)
+- Cache de 2 niveles
+- NPM module resolution en Zig puro
+- WebSocket + SSE HMR
+- Auto-discovery de micro-apps
+- HTTP keep-alive
+- Soporte inicial para 13 frameworks
+
+---
+
+[0.3.0]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.1...v0.3.0
+[0.2.1]: https://github.com/LuisPadre25/wu-cli/compare/v0.2.0...v0.2.1
+[0.2.0]: https://github.com/LuisPadre25/wu-cli/releases/tag/v0.2.0

package/README.md

@@ -1,215 +1,230 @@
-<p align="center">
-  <img src="https://raw.githubusercontent.com/LuisPadre25/wu-framework/main/wu-logo.png" width="80" alt="Wu CLI" />
-</p>
-
-<h1 align="center">Wu CLI</h1>
-
-<p align="center">
-  <strong>Un binario. Un puerto. Todas tus micro-apps.</strong>
-</p>
-
-<p align="center">
-  <a href="https://www.npmjs.com/package/@wu-framework/cli"><img src="https://img.shields.io/npm/v/@wu-framework/cli.svg?color=6366f1&label=npm" alt="npm version" /></a>
-  <img src="https://img.shields.io/badge/zig-0.16.0-f7a41d" alt="Zig 0.16.0" />
-  <img src="https://img.shields.io/badge/frameworks-13-14b8a6" alt="13 frameworks" />
-  <img src="https://img.shields.io/badge/dependencies-0-6366f1" alt="zero deps" />
-  <a href="https://opensource.org/licenses/MIT"><img src="https://img.shields.io/badge/license-MIT-blue.svg" alt="MIT License" /></a>
-</p>
-
-<p align="center">
-  <a href="docs/cli.md">Comandos</a> &middot;
-  <a href="docs/configuration.md">Configuración</a> &middot;
-  <a href="docs/security.md">Seguridad</a> &middot;
-  <a href="docs/contributing.md">Contribuir</a> &middot;
-  <a href="CHANGELOG.md">Changelog</a>
-</p>
-
----
-
-## ¿Qué es wu-cli?
-
-**Wu CLI** es un CLI + dev-server nativo en **Zig 0.16** para arquitecturas microfrontend ([wu-framework](https://www.wu-framework.com)). Reemplaza **N procesos Vite** (uno por micro-app) con **un único proceso en un solo puerto** que descubre, compila, sirve y hace HMR. Sin dependencias Zig, binario de ~250-460 KB por plataforma, distribuido vía npm.
-
-## Lo nuevo en v0.3.0
-
-- **TUI interactiva** — `wu create` con menús navegables (↑↓ enter), sin defaults escondidos, raw mode cross-platform.
-- **DoS hardening** — read/write timeouts (30s), límite de body (16 MB), detección de peer-close en SSE/WebSocket. `wu serve` ya no se cuelga con slowloris.
-- **Sentinel real** — anti-bot con IP del cliente real (antes hardcoded 127.0.0.1), allowlist de paths legítimos (`/robots.txt`, `/.well-known/*`), challenge HTML libre de XSS.
-- **Cache LRU + cap de disco** — eviction inteligente en memoria, `.wu-cache/` capado a 500 MB con sweep periódico.
-- **Configuración robusta** — parser `wu.config.json` migrado a `std.json` (escape sequences correctos, sin desincronizaciones).
-- **CORS opt-in en proxy** — el `Access-Control-Allow-Origin: *` ya no se inyecta por defecto; ahora es por regla (`cors: true`).
-- **Modularización** — `dev_server.zig` adelgazó 10 % extrayendo `handlers/proxy.zig` y `handlers/hmr.zig`.
-- **`build.zig.zon`** — manifest oficial de paquete Zig (consumible como dependencia, valida versión mínima).
-
-[Ver el changelog completo →](CHANGELOG.md)
-
-## Instalación
-
-```bash
-npm install -g @wu-framework/cli
-```
-
-Requiere **Node.js 16+** para instalar. Node.js 18+ a runtime sólo si usas Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro).
-
-### Desde fuente
-
-Requiere **Zig 0.16.0**:
-
-```bash
-git clone https://github.com/LuisPadre25/wu-cli.git
-cd wu-cli
-zig build -Doptimize=ReleaseFast
-./zig-out/bin/wu --help
-```
-
-## Quick Start
-
-```bash
-wu create my-shop        # Wizard interactivo: nombre, shell, micro-apps, TS
-cd my-shop
-wu dev                   # Servidor nativo en http://localhost:3000
-wu build                 # Producción → dist/
-wu serve                 # Servir dist/
-```
-
-El wizard genera estructura tipo:
-
-```
-my-shop/
-├── wu.config.json           ← configuración del proyecto
-├── package.json             ← deps unificadas
-├── shell/                   ← el "host" que monta los micro-apps
-│   ├── package.json
-│   ├── index.html
-│   └── src/main.tsx (o .js)
-├── mf-catalog/              ← micro-app 1
-│   ├── package.json
-│   ├── vite.config.js
-│   └── src/App.tsx (o .jsx)
-└── mf-cart/                 ← micro-app 2
-    └── ...
-```
-
-## Comandos
-
-| Comando | Qué hace |
-|---|---|
-| `wu create [name]` | Wizard interactivo (TUI). Con `--template <fw>` modo no-interactivo. |
-| `wu dev` | Servidor de desarrollo nativo. Un solo proceso, un solo puerto. |
-| `wu build` | Compila todos los micro-apps en paralelo (Vite) → `dist/`. |
-| `wu serve` | Sirve `dist/` con headers de seguridad (timeouts, body-cap). |
-| `wu add <framework> <name>` | Agrega un micro-app a un proyecto existente. |
-| `wu install` | Instala dependencias de todos los micro-apps. |
-| `wu info` | Estado actual del proyecto (apps detectados, puertos, framework del shell). |
-
-Referencia completa con todas las flags: **[docs/cli.md](docs/cli.md)**.
-
-## Configuración
-
-`wu.config.json` en la raíz del proyecto:
-
-```json
-{
-  "name": "my-shop",
-  "version": "0.3.0",
-  "shell": {
-    "dir": "shell",
-    "port": 4321,
-    "framework": "react"
-  },
-  "apps": [
-    { "name": "catalog", "dir": "mf-catalog", "framework": "react", "port": 5001 },
-    { "name": "cart",    "dir": "mf-cart",    "framework": "vue",   "port": 5002 }
-  ],
-  "proxy": {
-    "port": 3000,
-    "open_browser": true,
-    "/api": { "target": "http://localhost:8080", "rewrite": true, "cors": false }
-  }
-}
-```
-
-Si no existe, `wu` auto-descubre micro-apps escaneando subdirectorios con `vite.config.*` + `package.json`. El directorio llamado **`shell`** se promueve a shell del proyecto.
-
-Schema completo, defaults, ejemplos de proxy: **[docs/configuration.md](docs/configuration.md)**.
-
-## Frameworks soportados
-
-13 frameworks en una sola CLI. Cada micro-app puede usar uno distinto del shell.
-
-| Framework | Extensiones | Compilación | TypeScript |
-|---|---|---|---|
-| React | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | ✓ |
-| Preact | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | ✓ |
-| Vue | .vue | Daemon (esbuild) | ✓ |
-| Svelte | .svelte | Daemon (esbuild) | ✓ |
-| Solid.js | .jsx, .tsx | Daemon (babel-preset-solid) | ✓ |
-| Angular | .ts | Daemon (esbuild bundle) | ✓ |
-| Lit | .ts, .js | TS strip | ✓ |
-| Stencil | .js | Passthrough | ✓ |
-| Alpine.js | .js | Passthrough | – |
-| Qwik | .jsx | Passthrough | ✓ |
-| HTMX | .js | Passthrough | – |
-| Stimulus | .js | Passthrough | – |
-| Vanilla | .js, .ts | TS strip | ✓ |
-
-## Arquitectura (resumen)
-
-```
-src/
-  cli/                  args, banner, TUI primitives (raw mode, prompts)
-  commands/             dev, build, create, add, install, serve, info
-    templates/          13 plantillas embebidas en el binario
-  config/               loader (std.json) + auto-discovery
-  runtime/              ← núcleo del dev server
-    dev_server.zig      thread-per-connection HTTP server (~3.3k LOC)
-    handlers/           proxy.zig, hmr.zig (extraídos del monolítico)
-    http_parser.zig     SIMD HTTP/1.1, 16 bytes/ciclo
-    transform.zig       reescritura de imports + alias @/ ~/
-    jsx_transform.zig   JSX nativo en Zig (React/Preact)
-    compile.zig         pipeline 3-tier (Zig → daemon → fallback)
-    resolve.zig         resolución NPM pura en Zig
-    cache.zig           2 niveles (LRU 256 entradas + disco capado 500MB)
-    ws_protocol.zig     WebSocket RFC 6455
-    hypervisor/         watcher OS-nativo + trie router + transform pool
-    sentinel/           anti-bot + ACP (AI Content Protocol)
-```
-
-Detalles: **[docs/contributing.md](docs/contributing.md)**.
-
-## Seguridad
-
-Wu integra varias defensas de bajo nivel:
-
-- **Anti-slowloris**: timeouts de 30 s en sockets aceptados.
-- **Body-size cap**: 16 MB máx por request, 413 si excede.
-- **Path-traversal**: validación post-URL-decode (`isPathSafe`).
-- **Sentinel**: clasificador zero-alloc para bots; AI agents redirigidos a ACP (`/.well-known/acp.json`).
-- **CORS opt-in**: el proxy no relaja CORS sin consentimiento explícito.
-
-Configuración para producción y modelo de amenazas: **[docs/security.md](docs/security.md)**.
-
-## Estadísticas
-
-- **35** archivos Zig fuente, **~9.7k LOC** de runtime
-- **~250-460 KB** binario release por plataforma
-- **0** dependencias Zig externas
-- **0** procesos Vite simultáneos en dev (un solo binario)
-
-## Requisitos
-
-- **Node.js 16+** para `npm install -g @wu-framework/cli`
-- **Node.js 18+** a runtime sólo para Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro)
-- **Zig 0.16.0** sólo si construyes desde fuente
-
-## Licencia
-
-MIT — ver [LICENSE](LICENSE).
-
-## Autor
-
-Luis Garcia — creador de [wu-framework](https://www.wu-framework.com).
-
----
-
-*© 2026 Wu Framework*
+<p align="center">
+  <img src="https://raw.githubusercontent.com/LuisPadre25/wu-framework/main/wu-logo.png" width="80" alt="Wu CLI" />
+</p>
+
+<h1 align="center">Wu CLI</h1>
+
+<p align="center">
+  <strong>Un binario. Un puerto. Todas tus micro-apps.</strong>
+</p>
+
+<p align="center">
+  <a href="https://www.npmjs.com/package/@wu-framework/cli"><img src="https://img.shields.io/npm/v/@wu-framework/cli.svg?color=6366f1&label=npm" alt="npm version" /></a>
+  <img src="https://img.shields.io/badge/zig-0.16.0-f7a41d" alt="Zig 0.16.0" />
+  <img src="https://img.shields.io/badge/frameworks-13-14b8a6" alt="13 frameworks" />
+  <img src="https://img.shields.io/badge/dependencies-0-6366f1" alt="zero deps" />
+  <a href="https://opensource.org/licenses/MIT"><img src="https://img.shields.io/badge/license-MIT-blue.svg" alt="MIT License" /></a>
+</p>
+
+<p align="center">
+  <a href="docs/cli.md">Comandos</a> &middot;
+  <a href="docs/configuration.md">Configuración</a> &middot;
+  <a href="docs/deployment.md">Deployment</a> &middot;
+  <a href="docs/security.md">Seguridad</a> &middot;
+  <a href="docs/contributing.md">Contribuir</a> &middot;
+  <a href="CHANGELOG.md">Changelog</a>
+</p>
+
+---
+
+## ¿Qué es wu-cli?
+
+**Wu CLI** es un CLI + dev-server nativo en **Zig 0.16** para arquitecturas microfrontend ([wu-framework](https://www.wu-framework.com)). Reemplaza **N procesos Vite** (uno por micro-app) con **un único proceso en un solo puerto** que descubre, compila, sirve y hace HMR. Sin dependencias Zig, binario de ~250-460 KB por plataforma, distribuido vía npm.
+
+## Lo nuevo en v0.2.2
+
+> Versión publicada en npm: **0.2.1**. Las features listadas abajo ya están en `main`; bump pendiente en `src/main.zig` + `build.zig.zon`.
+
+**Build pipeline:**
+
+- **Shell custom respetado** — si tu `shell/` buildea, su `dist/*` se hoist al root de `dist/` y se inyecta `window.__wu_apps` automáticamente. Antes `wu build` sobreescribía tu shell con un vanilla generado.
+- **`apps.json` runtime-swappable** — emitido en `dist/apps.json`. Cambia el archivo por entorno (dev/staging/prod) para repointar las apps sin rebuild del shell.
+- **`wu.json` por app** — `dist/<app>/wu.json` con el entry exacto (`assets/index-HASH.js`). Evita el probing de 8 paths que rompe en static hosting con MIME errors.
+- **`shell.build_cmd` defaulteado** — si está vacío y `framework != "html"`, se usa `npx vite build`. Antes era silent no-op (el shell "buildeaba" sin producir nada).
+- **Vite plugins completos** — Solid, Preact y Qwik ahora generan vite.config con plugin correcto. Antes JSX se compilaba a `React.createElement` y crasheaba en runtime.
+
+**Resto v0.2.2:**
+
+- **TUI interactiva** — `wu create` con menús navegables (↑↓ enter), sin defaults escondidos, raw mode cross-platform.
+- **DoS hardening (dev server)** — read/write timeouts (30s), límite de body (16 MB), detección de peer-close en SSE/WebSocket. `wu dev` ya no se cuelga con slowloris. (Nota: `wu serve` aún no hereda esto.)
+- **Sentinel real** — anti-bot con IP del cliente real (antes hardcoded 127.0.0.1), allowlist de paths legítimos (`/robots.txt`, `/.well-known/*`), challenge HTML libre de XSS.
+- **Cache LRU + cap de disco** — eviction inteligente en memoria, `.wu-cache/` capado a 500 MB con sweep periódico.
+- **Configuración robusta** — parser `wu.config.json` migrado a `std.json` (escape sequences correctos, sin desincronizaciones).
+- **CORS opt-in en proxy** — el `Access-Control-Allow-Origin: *` ya no se inyecta por defecto; ahora es por regla (`cors: true`).
+- **Modularización** — `dev_server.zig` adelgazó 10 % extrayendo `handlers/proxy.zig` y `handlers/hmr.zig`.
+- **`build.zig.zon`** — manifest oficial de paquete Zig (consumible como dependencia, valida versión mínima).
+
+[Ver el changelog completo →](CHANGELOG.md)
+
+## Instalación
+
+```bash
+npm install -g @wu-framework/cli
+```
+
+Requiere **Node.js 16+** para instalar. Node.js 18+ a runtime sólo si usas Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro).
+
+### Desde fuente
+
+Requiere **Zig 0.16.0**:
+
+```bash
+git clone https://github.com/LuisPadre25/wu-cli.git
+cd wu-cli
+zig build -Doptimize=ReleaseFast
+./zig-out/bin/wu --help
+```
+
+## Quick Start
+
+```bash
+wu create my-shop        # Wizard interactivo: nombre, shell, micro-apps, TS
+cd my-shop
+wu dev                   # Servidor nativo en http://localhost:3000
+wu build                 # Producción → dist/
+wu serve                 # Servir dist/
+```
+
+El wizard genera estructura tipo:
+
+```
+my-shop/
+├── wu.config.json           ← configuración del proyecto
+├── package.json             ← deps unificadas
+├── shell/                   ← el "host" que monta los micro-apps
+│   ├── package.json
+│   ├── index.html
+│   └── src/main.tsx (o .js)
+├── mf-catalog/              ← micro-app 1
+│   ├── package.json
+│   ├── vite.config.js
+│   └── src/App.tsx (o .jsx)
+└── mf-cart/                 ← micro-app 2
+    └── ...
+```
+
+## Comandos
+
+| Comando | Qué hace |
+|---|---|
+| `wu create [name]` | Wizard interactivo (TUI). Con `--template <fw>` modo no-interactivo. |
+| `wu dev` | Servidor de desarrollo nativo. Un solo proceso, un solo puerto. |
+| `wu build` | Compila todos los micro-apps secuencialmente (un Vite a la vez) → `dist/`. |
+| `wu serve` | Static server minimal para validar `dist/` localmente. Sin hardening — no usar en producción. |
+| `wu add <framework> <name>` | Agrega un micro-app a un proyecto existente. |
+| `wu install` | Instala dependencias de todos los micro-apps. |
+| `wu info` | Estado actual del proyecto (apps detectados, puertos, framework del shell). |
+
+Referencia completa con todas las flags: **[docs/cli.md](docs/cli.md)**.
+
+## Configuración
+
+`wu.config.json` en la raíz del proyecto:
+
+```json
+{
+  "name": "my-shop",
+  "version": "0.2.2",
+  "shell": {
+    "dir": "shell",
+    "port": 4321,
+    "framework": "react"
+  },
+  "apps": [
+    { "name": "catalog", "dir": "mf-catalog", "framework": "react", "port": 5001 },
+    { "name": "cart",    "dir": "mf-cart",    "framework": "vue",   "port": 5002 }
+  ],
+  "proxy": {
+    "port": 3000,
+    "open_browser": true,
+    "/api": { "target": "http://localhost:8080", "rewrite": true, "cors": false }
+  }
+}
+```
+
+Si no existe, `wu` auto-descubre micro-apps escaneando subdirectorios con `vite.config.*` + `package.json`. El directorio llamado **`shell`** se promueve a shell del proyecto.
+
+Schema completo, defaults, ejemplos de proxy: **[docs/configuration.md](docs/configuration.md)**.
+
+## Frameworks soportados
+
+13 frameworks disponibles tanto en el wizard interactivo como en `--template` y `wu add`. Cada micro-app puede usar uno distinto del shell.
+
+| Framework | Extensiones | Compilación dev | Build (Vite plugin) | TypeScript |
+|---|---|---|---|---|
+| React | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | `@vitejs/plugin-react` | ✓ |
+| Preact | .jsx, .tsx | Zig nativo (JSX) → daemon (TSX) | `@preact/preset-vite` | ✓ |
+| Vue | .vue | Daemon (esbuild) | `@vitejs/plugin-vue` | ✓ |
+| Svelte | .svelte | Daemon (esbuild) | `@sveltejs/vite-plugin-svelte` | ✓ |
+| Solid.js | .jsx, .tsx | Daemon (babel-preset-solid) | `vite-plugin-solid` | ✓ |
+| Angular | .ts | Daemon (esbuild bundle) | `@analogjs/vite-plugin-angular` | ✓ |
+| Lit | .ts, .js | Daemon (esbuild TS) | sin plugin | ✓ |
+| Stencil | .js, .tsx | Daemon (JSX/TS) | sin plugin | ✓ |
+| Alpine.js | .js | Passthrough | sin plugin | – |
+| Qwik | .jsx | Daemon (Qwik optimizer) | `qwikVite({csr:true})` | ✓ |
+| HTMX | .js | Passthrough | sin plugin | – |
+| Stimulus | .js | Passthrough | sin plugin | – |
+| Vanilla | .js, .ts | Daemon (esbuild TS para `.ts`) | sin plugin | ✓ |
+
+> **Sobre Qwik:** un comentario antiguo en `create.zig` mantenía Qwik fuera del wizard por incompatibilidad con Shadow DOM. Como los shells actuales **no usan Shadow DOM**, la razón ya no aplica y Qwik está disponible en todos los modos (wizard, `--template`, `wu add`).
+
+## Arquitectura (resumen)
+
+```
+src/
+  cli/                  args, banner, TUI primitives (raw mode, prompts)
+  commands/             dev, build, create, add, install, serve, info
+    templates/          13 plantillas embebidas en el binario
+  config/               loader (std.json) + auto-discovery
+  runtime/              ← núcleo del dev server
+    dev_server.zig      thread-per-connection HTTP server (~3.3k LOC)
+    handlers/           proxy.zig, hmr.zig (extraídos del monolítico)
+    http_parser.zig     SIMD HTTP/1.1, 16 bytes/ciclo
+    transform.zig       reescritura de imports + alias @/ ~/
+    jsx_transform.zig   JSX nativo en Zig (React/Preact)
+    compile.zig         pipeline 3-tier (Zig → daemon → fallback)
+    resolve.zig         resolución NPM pura en Zig
+    cache.zig           2 niveles (LRU 256 entradas + disco capado 500MB)
+    ws_protocol.zig     WebSocket RFC 6455
+    hypervisor/         watcher OS-nativo + trie router + transform pool
+    sentinel/           anti-bot + ACP (AI Content Protocol)
+```
+
+Detalles: **[docs/contributing.md](docs/contributing.md)**.
+
+## Seguridad
+
+Wu integra varias defensas de bajo nivel:
+
+- **Anti-slowloris**: timeouts de 30 s en sockets aceptados.
+- **Body-size cap**: 16 MB máx por request, 413 si excede.
+- **Path-traversal**: validación post-URL-decode (`isPathSafe`).
+- **Sentinel**: clasificador zero-alloc para bots; AI agents redirigidos a ACP (`/.well-known/acp.json`).
+- **CORS opt-in**: el proxy no relaja CORS sin consentimiento explícito.
+
+Configuración para producción y modelo de amenazas: **[docs/security.md](docs/security.md)**.
+
+## Estadísticas
+
+- **40** archivos Zig fuente, **~15k LOC** totales en `src/` (runtime + cli + config + commands)
+- **~250-460 KB** binario release por plataforma (con `-Doptimize=ReleaseFast`)
+- **0** dependencias Zig externas
+- **0** procesos Vite simultáneos en `wu dev` (modo nativo). `wu dev --vite` legacy sí spawnea N procesos.
+
+## Requisitos
+
+- **Node.js 16+** para `npm install -g @wu-framework/cli`
+- **Node.js 18+** a runtime sólo para Vue, Svelte, Solid o Angular (React/Preact corren en Zig puro)
+- **Zig 0.16.0** sólo si construyes desde fuente
+
+## Licencia
+
+MIT — ver [LICENSE](LICENSE).
+
+## Autor
+
+Luis Garcia — creador de [wu-framework](https://www.wu-framework.com).
+
+---
+
+*© 2026 Wu Framework*

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@wu-framework/cli",
-  "version": "0.3.0",
+  "version": "0.3.1",
   "description": "Native Zig dev server + CLI for wu-framework microfrontends. One binary, one port, all your micro-apps.",
   "license": "MIT",
   "author": "Luis Garcia",