nexusflex-mcp 3.69.1 → 3.71.0

package/api.mjs

@@ -47,8 +47,19 @@ if (EMAIL && PASSWORD && !/^https:\/\//i.test(API_URL)) {
   log("ADVERTENCIA: NEXUSFLEX_API_URL no es HTTPS y hay email/contraseña — viajarían sin cifrar.");
 }
 
-function guard(path) {
+// Operaciones habilitadas dentro de rutas financieras (decisión del dueño, 29/09), con su
+// MÉTODO exacto — mismas que RUTAS_MCP_OPERACION_OK en backend/src/middleware/auth.ts.
+// Ninguna paga, cobra ni transfiere: excluir/reincluir un envío de una liquidación (con
+// motivo) y ver/preparar los datos de facturación de un cliente (no emite comprobantes).
+const OPERACIONES_OK = [
+  { metodo: "POST", ruta: /^\/liquidaciones\/anteriores\/\d+\/(excluir|reincluir)\/?$/i },
+  { metodo: "GET", ruta: /^\/afip\/estado\/?$/i },
+  { metodo: "POST", ruta: /^\/afip\/preparar-cliente\/?$/i },
+];
+
+function guard(method, path) {
   const clean = path.split("?")[0];
+  if (OPERACIONES_OK.some((o) => o.metodo === String(method).toUpperCase() && o.ruta.test(clean))) return;
   if (RUTAS_PROHIBIDAS.some((re) => re.test(clean))) {
     throw new Error(`Ruta bloqueada por política del MCP (endpoints de dinero deshabilitados): ${clean}`);
   }
@@ -96,7 +107,7 @@ async function ensureToken() {
 
 /** Llamada autenticada a la API. Reintenta UNA vez si el token venció/se revocó. */
 export async function api(method, path, body) {
-  guard(path);
+  guard(method, path);
   let token = await ensureToken();
   const doFetch = (t) =>
     fetch(`${API_URL}${path}`, {