nexusflex-mcp 3.0.0 → 3.1.0

package/server.mjs

@@ -1,315 +1,331 @@
-#!/usr/bin/env node
-// ============================================================================
-//  MCP Nexus Flex v3 — servidor stdio (paquete publicable en npm).
-//
-//  INSTALACIÓN FÁCIL:  npx -y nexusflex-mcp@latest         (arranca el server)
-//                      npx -y nexusflex-mcp@latest login   (autoriza en el navegador)
-//                      npx -y nexusflex-mcp@latest logout  (borra el token local)
-//
-//  AUTENTICACIÓN por DEVICE-FLOW (autorización web): sin pegar email/contraseña.
-//  El MCP pide un código, lo autorizás con un click desde la web ya logueado, y
-//  recibe un token de vida larga, revocable y con TU scope exacto (nunca dinero).
-//  Fallback: NEXUSFLEX_TOKEN o NEXUSFLEX_EMAIL+PASSWORD (compatibilidad).
-//
-//  AISLAMIENTO EN 3 CAPAS:
-//   1) El BACKEND gatea cada endpoint (requireAuth + requirePermiso + scope por
-//      nodo / idCliente). Un token de MCP hereda el rol/permisos FRESCOS del
-//      usuario en cada request. Es la garantía real.
-//   2) Este server registra los tools SEGÚN EL ROL del usuario (leído de /auth/me).
-//   3) DENYLIST de dinero en api.mjs + guard server-side (mcpMoneyGuard): jamás
-//      liquidaciones/cobros/cuentas/facturación.
-//
-//  Escritura por flags (default OFF):
-//   NEXUSFLEX_MCP_ALLOW_WRITE   → altas (clientes, productos, nodos) y edición.
-//   NEXUSFLEX_MCP_ALLOW_PRECIOS → actualizar listas de precios (aparte, sensible).
-// ============================================================================
-import { runDeviceFlow, saveToken, clearToken, tokenFilePath } from "./device-auth.mjs";
-import { api, log, API_URL } from "./api.mjs";
-
-// --- Subcomandos de línea de comando (login/logout) antes de arrancar el server ---
-const cmd = process.argv[2];
-if (cmd === "login") {
-  try {
-    const token = await runDeviceFlow(API_URL, { open: true, log });
-    const file = saveToken(token, API_URL);
-    log(`Token guardado en ${file}. Ya podés usar el MCP en Claude Desktop.`);
-    process.exit(0);
-  } catch (e) {
-    log("No se pudo autorizar:", e instanceof Error ? e.message : String(e));
-    process.exit(1);
-  }
-}
-if (cmd === "logout") {
-  clearToken();
-  log(`Token local borrado (${tokenFilePath()}). Revocá también desde la web (🔌 Conexiones) si querés cortar el acceso ya emitido.`);
-  process.exit(0);
-}
-
-const { McpServer } = await import("@modelcontextprotocol/sdk/server/mcp.js");
-const { StdioServerTransport } = await import("@modelcontextprotocol/sdk/server/stdio.js");
-const { z } = await import("zod");
-
-const truthy = (v) => /^(1|true|yes|si|sí)$/i.test(v ?? "");
-const ALLOW_WRITE = truthy(process.env.NEXUSFLEX_MCP_ALLOW_WRITE);
-const ALLOW_PRECIOS = truthy(process.env.NEXUSFLEX_MCP_ALLOW_PRECIOS);
-
-const server = new McpServer({ name: "nexusflex", version: "3.0.0" });
-
-/** Formatea un ApiResult como respuesta de tool MCP, con mensajes claros y SIN
- *  filtrar tokens ni stack traces. */
-function toResult(r) {
-  if (r.ok) return { content: [{ type: "text", text: JSON.stringify(r.data, null, 2) }] };
-  const base =
-    r.status === 401 ? "Sesión inválida o vencida (autorizá de nuevo con `npx nexusflex-mcp login`)." :
-    r.status === 403 ? "Tu usuario no tiene permiso para esta operación (aislamiento del backend)." :
-    r.status === 404 ? "No encontrado." :
-    `Error ${r.status}.`;
-  const d = r.data;
-  const detalle = d?.error ? ` ${d.error}` : d?.message ? ` ${d.message}` : "";
-  return { content: [{ type: "text", text: `${base}${detalle}` }], isError: true };
-}
-
-async function run(fn) {
-  try {
-    return toResult(await fn());
-  } catch (e) {
-    return { content: [{ type: "text", text: `Error: ${e instanceof Error ? e.message : String(e)}` }], isError: true };
-  }
-}
-
-const q = (params) => {
-  const s = Object.entries(params).filter(([, v]) => v != null && v !== "").map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join("&");
-  return s ? `?${s}` : "";
-};
-const tool = (name, def, handler) => server.registerTool(name, def, handler);
-
-// ============================================================================
-//  CAPA 2 — Identidad: leemos /auth/me ANTES de registrar tools. Cada usuario ve
-//  SOLO los tools de su rol. Si falla el login, se registra solo `mis_datos`.
-// ============================================================================
-let me = null;
-try {
-  const r = await api("GET", "/auth/me");
-  if (r.ok) me = r.data?.usuario ?? null;
-  else log(`/auth/me devolvió ${r.status} — revisá el token/credenciales.`);
-} catch (e) {
-  log("No se pudo contactar /auth/me:", e instanceof Error ? e.message : String(e));
-}
-
-const rol = me?.rol ?? "";
-const permisos = Array.isArray(me?.permisos) ? me.permisos : [];
-const esGlobal = rol === "admin" || me?.esSuperoperador === true;
-const esAdminNodo = me?.esAdminNodo === true;
-const isCliente = rol === "cliente";
-const isStaff = rol === "operador" || rol === "admin";
-const wmsActivo = me?.wmsActivo === true;
-// Espejo de requirePermiso del backend (solo para DECIDIR qué mostrar; el backend manda).
-const puede = (p) => esGlobal || (isStaff && (esAdminNodo || permisos.length === 0 || permisos.includes(p)));
-
-// ============================================================================
-//  SIEMPRE
-// ============================================================================
-tool("mis_datos", {
-  title: "Mis datos / alcance",
-  description: "Devuelve tu usuario, rol y nodo/cliente al que está atado este MCP. Usalo para confirmar tu alcance antes de operar.",
-  inputSchema: {},
-}, async () => run(() => api("GET", "/auth/me")));
-
-// ============================================================================
-//  ROL CLIENTE (vendedor) — SOLO lo suyo. El backend lo fuerza a su idCliente.
-// ============================================================================
-if (isCliente) {
-  tool("mis_envios", {
-    title: "Mis envíos",
-    description: "Tus envíos/paquetes (solo los tuyos). No incluye datos de otros clientes ni del nodo.",
-    inputSchema: { estado: z.string().optional().describe("Filtrar por estado (opcional)") },
-  }, async ({ estado }) => run(() => api("GET", `/portal/envios${q({ estado })}`)));
-
-  tool("mis_kpis", {
-    title: "Mis métricas",
-    description: "Tus métricas: volumen, calidad de entrega, saldo, última liquidación y un benchmark ANÓNIMO contra el promedio de tu nodo (nunca ves a quién corresponde cada número).",
-    inputSchema: { desde: z.string().optional(), hasta: z.string().optional() },
-  }, async ({ desde, hasta }) => run(() => api("GET", `/kpi/vendedor${q({ desde, hasta })}`)));
-
-  // --- Control de stock del vendedor (WMS Fase 1). Se registran SIEMPRE para
-  //     rol=cliente: el backend gatea con 403 si el vendedor no tiene depósito ni
-  //     control de stock propio. Así funciona tanto con WMS del nodo como con el
-  //     modo "soft" por vendedor (Cliente.controlStockActivo). ---
-  tool("mi_stock", {
-    title: "Mi stock",
-    description: "Tu stock físico en el depósito (solo tus productos). Requiere tener depósito o control de stock habilitado.",
-    inputSchema: {},
-  }, async () => run(() => api("GET", "/wms/stock")));
-
-  tool("mi_disponible", {
-    title: "Mi disponible para vender",
-    description: "Disponible-para-vender por SKU = stock físico − comprometido en pedidos pendientes. Marca ⚠️ cuando un SKU está por debajo del mínimo. Solo tus productos.",
-    inputSchema: {},
-  }, async () => run(() => api("GET", "/wms/stock/disponible")));
-
-  tool("mi_rentabilidad", {
-    title: "Mi rentabilidad por SKU",
-    description: "Margen por SKU en un rango (default: mes en curso) = precio de venta − costo de envío real − COGS opcional. Solo tus productos. Fechas YYYY-MM-DD.",
-    inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD") },
-  }, async ({ desde, hasta }) => run(() => api("GET", `/wms/rentabilidad${q({ desde, hasta })}`)));
-
-  tool("mis_productos", {
-    title: "Mi catálogo",
-    description: "Tu catálogo de productos en el depósito.",
-    inputSchema: {},
-  }, async () => run(() => api("GET", "/wms/productos")));
-
-  tool("mis_top_productos", {
-    title: "Mis productos más despachados",
-    description: "Ranking de TUS productos más despachados en un rango (default: mes en curso). Solo tus productos.",
-    inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD") },
-  }, async ({ desde, hasta }) => run(() => api("GET", `/wms/top-productos${q({ desde, hasta })}`)));
-}
-
-// ============================================================================
-//  ROL STAFF DE NODO — datos de SU nodo (gateado por permiso; el backend fuerza el nodo).
-// ============================================================================
-if (isStaff) {
-  if (puede("gestion")) {
-    tool("clientes_del_nodo", {
-      title: "Clientes y listas del nodo",
-      description: "Clientes/vendedores del nodo con su lista de precio asignada, más las listas disponibles. Scopeado a tu nodo.",
-      inputSchema: {},
-    }, async () => run(() => api("GET", "/gestion/formularios")));
-  }
-
-  if (puede("precios")) {
-    tool("precios_ver", {
-      title: "Ver listas de precios",
-      description: "Las listas de precios (por zona: cercana/media/lejana/muy lejana) de tu nodo. Solo lectura.",
-      inputSchema: {},
-    }, async () => run(() => api("GET", "/precios/clientes")));
-  }
-
-  if (puede("reportes")) {
-    tool("kpi_nodo", {
-      title: "Métricas del nodo",
-      description: "Tablero del nodo: volumen y entregas con variación mensual, P&L real, top de clientes y clientes en caída. Solo lectura, scopeado a tu nodo.",
-      inputSchema: { desde: z.string().optional(), hasta: z.string().optional(), nodo: z.number().optional().describe("Solo para admin global: elegir nodo") },
-    }, async ({ desde, hasta, nodo }) => run(() => api("GET", `/kpi/nodo${q({ desde, hasta, nodo })}`)));
-  }
-
-  if (puede("wms") && wmsActivo) {
-    tool("stock_nodo", {
-      title: "Stock del nodo",
-      description: "Stock del depósito del nodo. Opcional: filtrar por un cliente.",
-      inputSchema: { cliente: z.string().optional().describe("idCliente para filtrar (opcional)") },
-    }, async ({ cliente }) => run(() => api("GET", `/wms/stock${q({ cliente })}`)));
-
-    tool("productos_nodo", {
-      title: "Catálogo del nodo",
-      description: "Catálogo de productos del depósito del nodo. Opcional: filtrar por cliente.",
-      inputSchema: { cliente: z.string().optional() },
-    }, async ({ cliente }) => run(() => api("GET", `/wms/productos${q({ cliente })}`)));
-
-    tool("top_productos", {
-      title: "Productos más despachados del nodo",
-      description: "Ranking de productos más despachados del nodo en un rango (default: mes en curso). Opcional: filtrar por un cliente.",
-      inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD"), cliente: z.string().optional() },
-    }, async ({ desde, hasta, cliente }) => run(() => api("GET", `/wms/top-productos${q({ desde, hasta, cliente })}`)));
-  }
-}
-
-// ============================================================================
-//  ROL GLOBAL (superadmin / superoperador)
-// ============================================================================
-if (esGlobal) {
-  tool("nodos_listar", {
-    title: "Listar nodos",
-    description: "Lista todas las logísticas (nodos) con sus conteos. Solo admin global.",
-    inputSchema: {},
-  }, async () => run(() => api("GET", "/logisticas")));
-
-  tool("kpi_red", {
-    title: "Métricas de la red (SaaS)",
-    description: "KPIs globales de toda la red de nodos (crecimiento, operacional, volumen de clearing). Solo admin global.",
-    inputSchema: {},
-  }, async () => run(() => api("GET", "/kpi/saas")));
-}
-
-// ============================================================================
-//  ESCRITURA (opt-in por flag · NUNCA dinero). Además gateado por permiso en el backend.
-// ============================================================================
-if (ALLOW_WRITE) {
-  if (puede("gestion")) {
-    tool("cliente_crear", {
-      title: "Crear cliente / vendedor",
-      description: "Da de alta un cliente en TU nodo (el backend fuerza el nodo). Podés asignarle la lista de precio con idLista. No toca dinero.",
-      inputSchema: {
-        nombre: z.string().min(1).describe("Nombre del cliente"),
-        telefono: z.string().optional(),
-        dni: z.string().optional(),
-        direccion: z.string().optional(),
-        idLista: z.string().optional().describe("ID de la lista de precios a asignar (ej. 'B'). Consultá 'clientes_del_nodo'."),
-      },
-    }, async (args) => run(() => api("POST", "/gestion/clientes", args)));
-
-    tool("cliente_editar", {
-      title: "Editar cliente (incluye cambiar su lista)",
-      description: "Edita un cliente de TU nodo. Para cambiarle la lista de precio pasá idLista. El nombre es obligatorio (traelo de 'clientes_del_nodo'). No toca dinero.",
-      inputSchema: {
-        id: z.number().int().positive().describe("ID del cliente"),
-        nombre: z.string().min(1).describe("Nombre actual del cliente (obligatorio)"),
-        idLista: z.string().optional().describe("Nueva lista de precio a asignar"),
-        telefono: z.string().optional(),
-        dni: z.string().optional(),
-        direccion: z.string().optional(),
-      },
-    }, async ({ id, ...body }) => run(() => api("PUT", `/gestion/clientes/${id}`, body)));
-  }
-
-  if (puede("wms") && wmsActivo) {
-    tool("producto_crear", {
-      title: "Crear producto (WMS)",
-      description: "Alta de un producto en el catálogo del depósito. Staff puede indicar el cliente dueño con idCliente. No toca dinero.",
-      inputSchema: {
-        nombre: z.string().min(1),
-        sku: z.string().optional(),
-        codigoBarra: z.string().optional(),
-        peso: z.number().optional(),
-        volumen: z.number().optional(),
-        idCliente: z.string().optional().describe("idCliente dueño del producto"),
-      },
-    }, async (args) => run(() => api("POST", "/wms/productos", args)));
-  }
-
-  if (esGlobal) {
-    tool("nodo_crear", {
-      title: "Crear nodo (logística)",
-      description: "Da de alta un nodo/logística nuevo. Solo admin global. No toca dinero.",
-      inputSchema: {
-        nombre: z.string().min(1).describe("Nombre del nodo/logística"),
-        telefono: z.string().optional(),
-      },
-    }, async ({ nombre, telefono }) => run(() => api("POST", "/logisticas", { nombre, telefono: telefono ?? null })));
-  }
-}
-
-// ============================================================================
-//  EDICIÓN DE PRECIOS (flag aparte · sensible pero NO mueve dinero).
-// ============================================================================
-if (ALLOW_PRECIOS && puede("precios")) {
-  tool("precio_actualizar", {
-    title: "Actualizar precio de una lista (versionado)",
-    description: "Cambia los precios por zona de una lista creando una VERSIÓN nueva (histórico exacto). Requiere permiso 'precios'; el backend impide tocar listas de otro nodo. No mueve dinero.",
-    inputSchema: {
-      idLista: z.string().min(1).describe("ID de la lista (ej. 'B'). Ver 'precios_ver'."),
-      cercana: z.number().optional().describe("Precio zona cercana"),
-      media: z.number().optional().describe("Precio zona media"),
-      lejana: z.number().optional().describe("Precio zona lejana"),
-      muyLejana: z.number().optional().describe("Precio zona muy lejana"),
-      referencia: z.string().optional(),
-      vigenciaDesde: z.string().optional().describe("YYYY-MM-DD desde cuándo rige (default: hoy)"),
-    },
-  }, async (args) => run(() => api("POST", "/precios/clientes/version", args)));
-}
-
-const transport = new StdioServerTransport();
-await server.connect(transport);
-const cap = isCliente ? "cliente" : esGlobal ? "admin global" : isStaff ? "staff de nodo" : "sin identidad";
-log(`MCP Nexus Flex v3 listo. Rol: ${cap}. Escritura: ${ALLOW_WRITE ? "ON" : "off"} · Precios: ${ALLOW_PRECIOS ? "ON" : "off"}.`);
+#!/usr/bin/env node
+// ============================================================================
+//  MCP Nexus Flex v3 — servidor stdio (paquete publicable en npm).
+//
+//  INSTALACIÓN FÁCIL:  npx -y nexusflex-mcp@latest         (arranca el server)
+//                      npx -y nexusflex-mcp@latest login   (autoriza en el navegador)
+//                      npx -y nexusflex-mcp@latest logout  (borra el token local)
+//
+//  AUTENTICACIÓN por DEVICE-FLOW (autorización web): sin pegar email/contraseña.
+//  El MCP pide un código, lo autorizás con un click desde la web ya logueado, y
+//  recibe un token de vida larga, revocable y con TU scope exacto (nunca dinero).
+//  Fallback: NEXUSFLEX_TOKEN o NEXUSFLEX_EMAIL+PASSWORD (compatibilidad).
+//
+//  AISLAMIENTO EN 3 CAPAS:
+//   1) El BACKEND gatea cada endpoint (requireAuth + requirePermiso + scope por
+//      nodo / idCliente). Un token de MCP hereda el rol/permisos FRESCOS del
+//      usuario en cada request. Es la garantía real.
+//   2) Este server registra los tools SEGÚN EL ROL del usuario (leído de /auth/me).
+//   3) DENYLIST de dinero en api.mjs + guard server-side (mcpMoneyGuard): jamás
+//      liquidaciones/cobros/cuentas/facturación.
+//
+//  Escritura por flags (default OFF):
+//   NEXUSFLEX_MCP_ALLOW_WRITE   → altas (clientes, productos, nodos) y edición.
+//   NEXUSFLEX_MCP_ALLOW_PRECIOS → actualizar listas de precios (aparte, sensible).
+// ============================================================================
+import { runDeviceFlow, saveToken, clearToken, tokenFilePath } from "./device-auth.mjs";
+import { api, log, API_URL } from "./api.mjs";
+
+// --- Subcomandos de línea de comando (login/logout) antes de arrancar el server ---
+const cmd = process.argv[2];
+if (cmd === "login") {
+  try {
+    const token = await runDeviceFlow(API_URL, { open: true, log });
+    const file = saveToken(token, API_URL);
+    log(`Token guardado en ${file}. Ya podés usar el MCP en Claude Desktop.`);
+    process.exit(0);
+  } catch (e) {
+    log("No se pudo autorizar:", e instanceof Error ? e.message : String(e));
+    process.exit(1);
+  }
+}
+if (cmd === "logout") {
+  clearToken();
+  log(`Token local borrado (${tokenFilePath()}). Revocá también desde la web (🔌 Conexiones) si querés cortar el acceso ya emitido.`);
+  process.exit(0);
+}
+
+const { McpServer } = await import("@modelcontextprotocol/sdk/server/mcp.js");
+const { StdioServerTransport } = await import("@modelcontextprotocol/sdk/server/stdio.js");
+const { z } = await import("zod");
+
+const truthy = (v) => /^(1|true|yes|si|sí)$/i.test(v ?? "");
+const ALLOW_WRITE = truthy(process.env.NEXUSFLEX_MCP_ALLOW_WRITE);
+const ALLOW_PRECIOS = truthy(process.env.NEXUSFLEX_MCP_ALLOW_PRECIOS);
+
+const server = new McpServer({ name: "nexusflex", version: "3.1.0" });
+
+/** Formatea un ApiResult como respuesta de tool MCP, con mensajes claros y SIN
+ *  filtrar tokens ni stack traces. */
+function toResult(r) {
+  if (r.ok) return { content: [{ type: "text", text: JSON.stringify(r.data, null, 2) }] };
+  const base =
+    r.status === 401 ? "Sesión inválida o vencida (autorizá de nuevo con `npx nexusflex-mcp login`)." :
+    r.status === 403 ? "Tu usuario no tiene permiso para esta operación (aislamiento del backend)." :
+    r.status === 404 ? "No encontrado." :
+    `Error ${r.status}.`;
+  const d = r.data;
+  const detalle = d?.error ? ` ${d.error}` : d?.message ? ` ${d.message}` : "";
+  return { content: [{ type: "text", text: `${base}${detalle}` }], isError: true };
+}
+
+async function run(fn) {
+  try {
+    return toResult(await fn());
+  } catch (e) {
+    return { content: [{ type: "text", text: `Error: ${e instanceof Error ? e.message : String(e)}` }], isError: true };
+  }
+}
+
+const q = (params) => {
+  const s = Object.entries(params).filter(([, v]) => v != null && v !== "").map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join("&");
+  return s ? `?${s}` : "";
+};
+const tool = (name, def, handler) => server.registerTool(name, def, handler);
+
+// ============================================================================
+//  CAPA 2 — Identidad: leemos /auth/me ANTES de registrar tools. Cada usuario ve
+//  SOLO los tools de su rol. Si falla el login, se registra solo `mis_datos`.
+// ============================================================================
+let me = null;
+try {
+  const r = await api("GET", "/auth/me");
+  if (r.ok) me = r.data?.usuario ?? null;
+  else log(`/auth/me devolvió ${r.status} — revisá el token/credenciales.`);
+} catch (e) {
+  log("No se pudo contactar /auth/me:", e instanceof Error ? e.message : String(e));
+}
+
+const rol = me?.rol ?? "";
+const permisos = Array.isArray(me?.permisos) ? me.permisos : [];
+const esGlobal = rol === "admin" || me?.esSuperoperador === true;
+const esAdminNodo = me?.esAdminNodo === true;
+const isCliente = rol === "cliente";
+const isStaff = rol === "operador" || rol === "admin";
+const wmsActivo = me?.wmsActivo === true;
+// Espejo de requirePermiso del backend (solo para DECIDIR qué mostrar; el backend manda).
+const puede = (p) => esGlobal || (isStaff && (esAdminNodo || permisos.length === 0 || permisos.includes(p)));
+
+// ============================================================================
+//  SIEMPRE
+// ============================================================================
+tool("mis_datos", {
+  title: "Mis datos / alcance",
+  description: "Devuelve tu usuario, rol y nodo/cliente al que está atado este MCP. Usalo para confirmar tu alcance antes de operar.",
+  inputSchema: {},
+}, async () => run(() => api("GET", "/auth/me")));
+
+// ============================================================================
+//  ROL CLIENTE (vendedor) — SOLO lo suyo. El backend lo fuerza a su idCliente.
+// ============================================================================
+if (isCliente) {
+  tool("mis_envios", {
+    title: "Mis envíos",
+    description: "Tus envíos/paquetes (solo los tuyos). No incluye datos de otros clientes ni del nodo.",
+    inputSchema: { estado: z.string().optional().describe("Filtrar por estado (opcional)") },
+  }, async ({ estado }) => run(() => api("GET", `/portal/envios${q({ estado })}`)));
+
+  tool("mis_kpis", {
+    title: "Mis métricas",
+    description: "Tus métricas: volumen, calidad de entrega, saldo, última liquidación y un benchmark ANÓNIMO contra el promedio de tu nodo (nunca ves a quién corresponde cada número).",
+    inputSchema: { desde: z.string().optional(), hasta: z.string().optional() },
+  }, async ({ desde, hasta }) => run(() => api("GET", `/kpi/vendedor${q({ desde, hasta })}`)));
+
+  // --- Control de stock del vendedor (WMS Fase 1). Se registran SIEMPRE para
+  //     rol=cliente: el backend gatea con 403 si el vendedor no tiene depósito ni
+  //     control de stock propio. Así funciona tanto con WMS del nodo como con el
+  //     modo "soft" por vendedor (Cliente.controlStockActivo). ---
+  tool("mi_stock", {
+    title: "Mi stock",
+    description: "Tu stock físico en el depósito (solo tus productos). Requiere tener depósito o control de stock habilitado.",
+    inputSchema: {},
+  }, async () => run(() => api("GET", "/wms/stock")));
+
+  tool("mi_disponible", {
+    title: "Mi disponible para vender",
+    description: "Disponible-para-vender por SKU = stock físico − comprometido en pedidos pendientes. Marca ⚠️ cuando un SKU está por debajo del mínimo. Solo tus productos.",
+    inputSchema: {},
+  }, async () => run(() => api("GET", "/wms/stock/disponible")));
+
+  tool("mi_rentabilidad", {
+    title: "Mi rentabilidad por SKU",
+    description: "Margen por SKU en un rango (default: mes en curso) = precio de venta − costo de envío real − COGS opcional. Solo tus productos. Fechas YYYY-MM-DD.",
+    inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD") },
+  }, async ({ desde, hasta }) => run(() => api("GET", `/wms/rentabilidad${q({ desde, hasta })}`)));
+
+  tool("mis_productos", {
+    title: "Mi catálogo",
+    description: "Tu catálogo de productos en el depósito.",
+    inputSchema: {},
+  }, async () => run(() => api("GET", "/wms/productos")));
+
+  tool("mis_top_productos", {
+    title: "Mis productos más despachados",
+    description: "Ranking de TUS productos más despachados en un rango (default: mes en curso). Solo tus productos.",
+    inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD") },
+  }, async ({ desde, hasta }) => run(() => api("GET", `/wms/top-productos${q({ desde, hasta })}`)));
+}
+
+// ============================================================================
+//  ROL STAFF DE NODO — datos de SU nodo (gateado por permiso; el backend fuerza el nodo).
+// ============================================================================
+if (isStaff) {
+  if (puede("gestion")) {
+    tool("clientes_del_nodo", {
+      title: "Clientes y listas del nodo",
+      description: "Clientes/vendedores del nodo con su lista de precio asignada, más las listas disponibles. Scopeado a tu nodo.",
+      inputSchema: {},
+    }, async () => run(() => api("GET", "/gestion/formularios")));
+  }
+
+  if (puede("precios")) {
+    tool("precios_ver", {
+      title: "Ver listas de precios",
+      description: "Las listas de precios (por zona: cercana/media/lejana/muy lejana) de tu nodo. Solo lectura.",
+      inputSchema: {},
+    }, async () => run(() => api("GET", "/precios/clientes")));
+  }
+
+  if (puede("reportes")) {
+    tool("kpi_nodo", {
+      title: "Métricas del nodo",
+      description: "Tablero del nodo: volumen y entregas con variación mensual, P&L real, top de clientes y clientes en caída. Solo lectura, scopeado a tu nodo.",
+      inputSchema: { desde: z.string().optional(), hasta: z.string().optional(), nodo: z.number().optional().describe("Solo para admin global: elegir nodo") },
+    }, async ({ desde, hasta, nodo }) => run(() => api("GET", `/kpi/nodo${q({ desde, hasta, nodo })}`)));
+  }
+
+  if (puede("wms") && wmsActivo) {
+    tool("stock_nodo", {
+      title: "Stock del nodo",
+      description: "Stock del depósito del nodo. Opcional: filtrar por un cliente.",
+      inputSchema: { cliente: z.string().optional().describe("idCliente para filtrar (opcional)") },
+    }, async ({ cliente }) => run(() => api("GET", `/wms/stock${q({ cliente })}`)));
+
+    tool("productos_nodo", {
+      title: "Catálogo del nodo",
+      description: "Catálogo de productos del depósito del nodo. Opcional: filtrar por cliente.",
+      inputSchema: { cliente: z.string().optional() },
+    }, async ({ cliente }) => run(() => api("GET", `/wms/productos${q({ cliente })}`)));
+
+    tool("top_productos", {
+      title: "Productos más despachados del nodo",
+      description: "Ranking de productos más despachados del nodo en un rango (default: mes en curso). Opcional: filtrar por un cliente.",
+      inputSchema: { desde: z.string().optional().describe("YYYY-MM-DD"), hasta: z.string().optional().describe("YYYY-MM-DD"), cliente: z.string().optional() },
+    }, async ({ desde, hasta, cliente }) => run(() => api("GET", `/wms/top-productos${q({ desde, hasta, cliente })}`)));
+  }
+}
+
+// ============================================================================
+//  ROL GLOBAL (superadmin / superoperador)
+// ============================================================================
+if (esGlobal) {
+  tool("nodos_listar", {
+    title: "Listar nodos",
+    description: "Lista todas las logísticas (nodos) con sus conteos. Solo admin global.",
+    inputSchema: {},
+  }, async () => run(() => api("GET", "/logisticas")));
+
+  tool("kpi_red", {
+    title: "Métricas de la red (SaaS)",
+    description: "KPIs globales de toda la red de nodos (crecimiento, operacional, volumen de clearing). Solo admin global.",
+    inputSchema: {},
+  }, async () => run(() => api("GET", "/kpi/saas")));
+}
+
+// ============================================================================
+//  VINCULACIÓN DE TIENDAS — genera el enlace de autorización (OAuth) para traer las
+//  ventas de una tienda a Nexus Flex. Un vendedor genera el SUYO; el staff (permiso
+//  gestion) puede generarlo PARA un cliente de SU nodo y mandárselo. No toca dinero.
+// ============================================================================
+if (isCliente || (isStaff && puede("gestion"))) {
+  tool("generar_enlace_vinculacion", {
+    title: "Generar enlace de vinculación de tienda",
+    description: "Genera el enlace (link) para vincular una tienda —Mercado Libre, TiendaNube o Tienda Negocio— y traer sus ventas a Nexus Flex. Si sos vendedor genera el TUYO; si sos staff podés generarlo PARA un cliente de tu nodo pasando 'cliente' (idCliente de 'clientes_del_nodo') y mandarle ese enlace para que lo autorice desde su propia cuenta de la tienda. El enlace vence en 15 minutos. No toca dinero.",
+    inputSchema: {
+      proveedor: z.enum(["ml", "tiendanube", "tiendanegocio"]).describe("ml = Mercado Libre · tiendanube · tiendanegocio"),
+      cliente: z.string().optional().describe("Solo staff: idCliente del vendedor para el que generás el enlace. El backend valida que sea de TU nodo (si no, 403)."),
+    },
+  }, async ({ proveedor, cliente }) => run(() => api("GET", `/${proveedor}/auth${q({ cliente })}`)));
+}
+
+// ============================================================================
+//  ESCRITURA (opt-in por flag · NUNCA dinero). Además gateado por permiso en el backend.
+// ============================================================================
+if (ALLOW_WRITE) {
+  if (puede("gestion")) {
+    tool("cliente_crear", {
+      title: "Crear cliente / vendedor",
+      description: "Da de alta un cliente en TU nodo (el backend fuerza el nodo). Podés asignarle la lista de precio con idLista. No toca dinero.",
+      inputSchema: {
+        nombre: z.string().min(1).describe("Nombre del cliente"),
+        telefono: z.string().optional(),
+        dni: z.string().optional(),
+        direccion: z.string().optional(),
+        idLista: z.string().optional().describe("ID de la lista de precios a asignar (ej. 'B'). Consultá 'clientes_del_nodo'."),
+      },
+    }, async (args) => run(() => api("POST", "/gestion/clientes", args)));
+
+    tool("cliente_editar", {
+      title: "Editar cliente (incluye cambiar su lista)",
+      description: "Edita un cliente de TU nodo. Para cambiarle la lista de precio pasá idLista. El nombre es obligatorio (traelo de 'clientes_del_nodo'). No toca dinero.",
+      inputSchema: {
+        id: z.number().int().positive().describe("ID del cliente"),
+        nombre: z.string().min(1).describe("Nombre actual del cliente (obligatorio)"),
+        idLista: z.string().optional().describe("Nueva lista de precio a asignar"),
+        telefono: z.string().optional(),
+        dni: z.string().optional(),
+        direccion: z.string().optional(),
+      },
+    }, async ({ id, ...body }) => run(() => api("PUT", `/gestion/clientes/${id}`, body)));
+  }
+
+  if (puede("wms") && wmsActivo) {
+    tool("producto_crear", {
+      title: "Crear producto (WMS)",
+      description: "Alta de un producto en el catálogo del depósito. Staff puede indicar el cliente dueño con idCliente. No toca dinero.",
+      inputSchema: {
+        nombre: z.string().min(1),
+        sku: z.string().optional(),
+        codigoBarra: z.string().optional(),
+        peso: z.number().optional(),
+        volumen: z.number().optional(),
+        idCliente: z.string().optional().describe("idCliente dueño del producto"),
+      },
+    }, async (args) => run(() => api("POST", "/wms/productos", args)));
+  }
+
+  if (esGlobal) {
+    tool("nodo_crear", {
+      title: "Crear nodo (logística)",
+      description: "Da de alta un nodo/logística nuevo. Solo admin global. No toca dinero.",
+      inputSchema: {
+        nombre: z.string().min(1).describe("Nombre del nodo/logística"),
+        telefono: z.string().optional(),
+      },
+    }, async ({ nombre, telefono }) => run(() => api("POST", "/logisticas", { nombre, telefono: telefono ?? null })));
+  }
+}
+
+// ============================================================================
+//  EDICIÓN DE PRECIOS (flag aparte · sensible pero NO mueve dinero).
+// ============================================================================
+if (ALLOW_PRECIOS && puede("precios")) {
+  tool("precio_actualizar", {
+    title: "Actualizar precio de una lista (versionado)",
+    description: "Cambia los precios por zona de una lista creando una VERSIÓN nueva (histórico exacto). Requiere permiso 'precios'; el backend impide tocar listas de otro nodo. No mueve dinero.",
+    inputSchema: {
+      idLista: z.string().min(1).describe("ID de la lista (ej. 'B'). Ver 'precios_ver'."),
+      cercana: z.number().optional().describe("Precio zona cercana"),
+      media: z.number().optional().describe("Precio zona media"),
+      lejana: z.number().optional().describe("Precio zona lejana"),
+      muyLejana: z.number().optional().describe("Precio zona muy lejana"),
+      referencia: z.string().optional(),
+      vigenciaDesde: z.string().optional().describe("YYYY-MM-DD desde cuándo rige (default: hoy)"),
+    },
+  }, async (args) => run(() => api("POST", "/precios/clientes/version", args)));
+}
+
+const transport = new StdioServerTransport();
+await server.connect(transport);
+const cap = isCliente ? "cliente" : esGlobal ? "admin global" : isStaff ? "staff de nodo" : "sin identidad";
+log(`MCP Nexus Flex v3 listo. Rol: ${cap}. Escritura: ${ALLOW_WRITE ? "ON" : "off"} · Precios: ${ALLOW_PRECIOS ? "ON" : "off"}.`);