limbo-component 3.9.1 → 4.0.1

package/CHANGELOG.md

@@ -5,6 +5,47 @@ All notable changes to this project will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [4.0.0] - 2026-05-07
+
+Milestone v4.0.0 — estabilización en cinco fases ordenadas por dependencia técnica: cache,
+seguridad, refactor de `App.jsx`, tests de core y accesibilidad. Ver
+`.planning/v4.0.0-MILESTONE-AUDIT.md` y `.planning/phases/` para detalle por requirement.
+
+### Added
+
+- **Infraestructura de tests** — Vitest + jsdom + MSW configurados en `vite.config.js`;
+  mock global de `window.limboCore` y handlers MSW base. Suite cubre `LimboCore`,
+  `ConfigManager`, hooks de cache, cumplimiento de seguridad y axe/ARIA.
+- **Hooks por dominio** — `useGalleryActions`, `useUploadActions`, `useCropperActions`
+  extraídos de `App.jsx` para aislar efectos secundarios y permitir tests unitarios.
+- **Componentes de tab** — `GalleryTab`, `UploadTab`, `CropperTab` extraídos de `App.jsx`
+  con montaje/desmontaje limpio y estado preservado al cambiar de pestaña.
+- **A11y WCAG 2.1 AA** — Roles ARIA en `ModalManager` y `ImageCard`, focus trap en modal,
+  `aria-label` i18n (es/en/pt/fr) en botones de acción, fallback de `alt` para imágenes
+  sin descripción, touch targets mínimos 44×44 px y guards responsive a 375 px.
+- **Tests de accesibilidad** — `axe-core` integrado vía vitest para `ModalManager` e
+  `ImageCard`.
+
+### Fixed
+
+- **Cache de galería** — `clearImageCache()` ya no se ejecuta durante el render body;
+  movido a `useEffect` con cleanup. Subir, recortar/guardar variante o borrar un asset
+  refrescan la galería sin recargar. Reabrir el modal no muestra estado rancio.
+- **XSS por `innerHTML`** — Eliminadas todas las asignaciones a `innerHTML` en
+  `ModalManager._createBody()` y `AutoInputManager`; sustituidas por `createElement` y
+  `textContent`.
+- **Header CORS incorrecto** — Eliminado el envío de `Access-Control-Allow-Origin` como
+  request header en `apiClient.js` (era no-op y semánticamente erróneo).
+- **JWT storage** — Modo `session` ya no escribe tokens en `localStorage`; los almacena
+  en memoria de módulo. Decisión documentada en `.planning/PROJECT.md` (Key Decisions).
+- **`setTimeout` sin cleanup** — `CropperView.jsx` libera timers en unmount.
+
+### Changed
+
+- **Versión** — Bump a `4.0.0` (breaking: el modo `session` ya no persiste tokens entre
+  recargas; integraciones que dependían del comportamiento anterior deben migrar a modo
+  `manual` o `jwt`).
+
 ## [3.5.2] - 2026-02-17
 
 Updated README.md & CHANGELOG.md