parche-cli 0.6.7 → 0.6.9

package/CHANGELOG.md

@@ -2,6 +2,34 @@
 
 Los cambios de cada versión de `parche-cli` y de la Action `Pepo08/parche@v0`. En npm están la 0.1.1, la 0.5.1 y de la 0.6.0 en adelante. La 0.1.0 y de la 0.2.0 a la 0.5.0 no se publicaron en npm; lo que traían está incluido en la 0.5.1. La fecha de cada versión es la del cambio; la de publicación figura en npm y en los [Releases](https://github.com/Pepo08/parche/releases).
 
+## 0.6.9 — 2026-10-23
+
+La Action muestra lo que no abre un PR, y la plantilla del workflow anda en repos PHP. Salió de probar cada comando sobre los ejemplos antes de mandar los primeros mensajes de venta.
+
+### Nuevo
+- **Resumen del job y anotaciones en GitHub Actions:** `parche pr` escribe en el resumen de la corrida (`$GITHUB_STEP_SUMMARY`) los PRs que abrió, lo que quedó sin PR (por ejemplo, una factura A a un CUIT, donde falta la condición frente al IVA del cliente) y los avisos de los packs de solo detección, como un modelo de IA que se retira. Las primeras 10 también salen como anotaciones con el archivo y la línea. Hasta la 0.6.8, `pr` salteaba los packs sin arreglo y la Action no mostraba los avisos de IA.
+- **Fuera de GitHub Actions,** `parche pr` imprime al final los avisos de solo detección ("Avisos sin PR").
+
+### Cambios
+- **Plantilla del workflow (`templates/github-workflow.yml`):** `npm ci` corre solo si hay `package-lock.json`, y `composer install` solo si hay `composer.json`. Antes, en un repo PHP el workflow fallaba en el primer paso.
+- **Inventario en PHP y Python:** un SDK declarado en `composer.json` o `requirements.txt` dice "los usos en PHP (o Python) todavía no se analizan", en vez de "sin usos encontrados", que sonaba a que no se usa.
+- La CI prueba la Action también sobre un repo PHP (copia de `examples/tienda-php`).
+
+## 0.6.8 — 2026-10-22
+
+Pack de IA: los alias de Claude que apuntan a un modelo con fecha. Antes de la generación 4.6, la API de Claude acepta alias cortos que apuntan al snapshot fechado más reciente de cada versión (página "Model IDs and versioning", verificada el 22/10/2026). La 0.6.7 avisaba `claude-sonnet-4-5-20250929`, que se retira el 30/11/2026, pero no `claude-sonnet-4-5`, que es el mismo modelo.
+
+### Nuevo
+- **`claude-sonnet-4-5`:** se avisa como su snapshot, con la fecha (30/11/2026) y el reemplazo que recomienda Anthropic (`claude-sonnet-5-5`). El aviso nombra el snapshot: "El modelo `claude-sonnet-4-5` (alias de `claude-sonnet-4-5-20250929`) se retira el 2026-11-30".
+- **`claude-opus-4-5` y `claude-haiku-4-5`:** se avisan con la fecha mínima de retiro de su snapshot, igual que los IDs fechados.
+- Los alias viven en el pack (`model_aliases`), cada uno con la página del modelo como fuente: sumar otro es agregar una línea.
+
+### Sin cambios
+- Los IDs de Amazon Bedrock (`anthropic.claude-…`) y de Google Cloud (`claude-sonnet-4-5@20250929`) no se marcan: esas plataformas tienen su propio calendario de retiros.
+
+### Todavía no cubre
+- Los alias de modelos ya retirados (`claude-3-5-sonnet-latest`, `claude-3-7-sonnet-latest` y otros): la documentación actual de Anthropic ya no los nombra, y sin fuente no se avisan.
+
 ## 0.6.7 — 2026-10-21
 
 Pack de IA con la API version `2026-10-21` de Anthropic, que salió el 21/10 junto con el SDK de TypeScript 1.0.0 y el de Python 2.0.0: elimina `temperature`, `top_p` y `top_k` para cualquier modelo, y un pedido que los manda devuelve un error 400 aunque tengan su valor por defecto (guía "Migrating to API version 2026-10-21" y página de deprecaciones, verificadas el 21/10). Los SDK anteriores siguen mandando `2023-06-01`, así que hoy casi nada se rompe: se rompe con la próxima suba del SDK. Como siempre, Parche avisa y no toca el código. Esta versión trae además las bases de confianza del repo (al final).

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Joaquín González
+Copyright (c) 2026 Joaquin Gonzalez Menza
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.md

@@ -91,7 +91,9 @@ Para que corra todas las semanas, copiá [`templates/github-workflow.yml`](templ
     # dry-run: 'true'                          # opcional: armar las ramas sin abrir PRs
 ```
 
-El workflow necesita `permissions: contents: write` y `pull-requests: write`.
+El workflow necesita `permissions: contents: write` y `pull-requests: write`. Antes de Parche, la plantilla instala las dependencias de tu proyecto para que corran sus tests: `npm ci` si hay `package-lock.json` y `composer install` si hay `composer.json` (Composer viene en los runners de Ubuntu de GitHub). Así anda igual en un repo de Node y en uno de PHP.
+
+Lo que no abre un PR también se ve en la corrida: los avisos de solo detección (modelos de IA que se retiran, por ejemplo) y lo que quedó sin PR porque falta un dato de tu negocio aparecen en el **resumen del job** y como **anotaciones** con el archivo y la línea (GitHub muestra las primeras 10; el resumen las tiene todas).
 
 Con el `GITHUB_TOKEN` por defecto, GitHub deja los workflows del PR que abre Parche esperando aprobación: alguien con permiso de escritura tiene que tocar **Approve workflows to run** (el cuerpo del PR lo avisa). Para que tu CI corra sola sobre esos PRs, pasale a la Action un token de una GitHub App o un token personal con permiso de escritura en `contents` y `pull-requests`:
 
@@ -130,7 +132,7 @@ Cómo contribuir, las reglas para el código y cómo se saca una versión: [`CON
 |---|---|---|---|---|
 | `arca.wsfe.condicion-iva-receptor` | ARCA | rompe | 2026-12-01 | sí, en JS (`afip.js`) y PHP (`afipsdk/afip.php` y forks): consumidor final y DNI B/C; con `DocTipo` en una variable, consumidor final al ejecutarse (PR parcial) |
 | `mercadopago.payments-to-orders` | Mercado Pago | migración | — | sí (creación de pagos en SDK Node v2) |
-| `ai.model-retirements` | Anthropic, OpenAI | retiro | varias | solo detección (también modelos fine-tuned de OpenAI, `ft:…`). De OpenAI, los modelos que su página de deprecaciones apaga desde 2026: texto, código, imagen, video, voz, transcripción y realtime; y los productos que cierran: Assistants API, prompts reutilizables (`pmpt_…`, `v1/prompts`), la plataforma de Evals, ChatKit con un workflow de Agent Builder y la Videos API (cerrada el 24/9/2026). De Anthropic, los modelos retirados, `temperature`, `top_p` y `top_k` con un valor que no es el de por defecto en Claude 4.7 y posteriores, que dan error 400 (SDK de JS/TS y de Python, y HTTP directo), y los mismos tres parámetros con cualquier modelo en la API version `2026-10-21`, que usan el SDK de TypeScript 1.0.0 y el de Python 2.0.0 (del 21/10/2026): dice si el pedido ya falla, si falla en una instalación nueva o si va a fallar cuando suban el SDK |
+| `ai.model-retirements` | Anthropic, OpenAI | retiro | varias | solo detección (también modelos fine-tuned de OpenAI, `ft:…`). De OpenAI, los modelos que su página de deprecaciones apaga desde 2026: texto, código, imagen, video, voz, transcripción y realtime; y los productos que cierran: Assistants API, prompts reutilizables (`pmpt_…`, `v1/prompts`), la plataforma de Evals, ChatKit con un workflow de Agent Builder y la Videos API (cerrada el 24/9/2026). De Anthropic, los modelos retirados o con fecha, también por su alias (`claude-sonnet-4-5`, que apunta a `claude-sonnet-4-5-20250929` y se retira el 30/11/2026), `temperature`, `top_p` y `top_k` con un valor que no es el de por defecto en Claude 4.7 y posteriores, que dan error 400 (SDK de JS/TS y de Python, y HTTP directo), y los mismos tres parámetros con cualquier modelo en la API version `2026-10-21`, que usan el SDK de TypeScript 1.0.0 y el de Python 2.0.0 (del 21/10/2026): dice si el pedido ya falla, si falla en una instalación nueva o si va a fallar cuando suban el SDK |
 
 ## Verificación
 
@@ -204,6 +206,7 @@ Cuando `DocTipo` no es un número fijo (`DocTipo: docTipo`), Parche no puede sab
 - ARCA: cubre `@afipsdk/afip.js` y `afipsdk/afip.php` (con sus forks). Las integraciones SOAP propias (en cualquier lenguaje) se detectan pero no se reescriben.
 - IA, parámetros de Claude 4.7 y posteriores: avisa solo si el modelo del pedido se lee en el mismo archivo (un literal, una constante asignada una vez o el valor por defecto de una variable de entorno) y el parámetro es un número escrito en el código. Si el modelo llega de otro archivo o de la configuración, no avisa: no se puede saber si el pedido va a fallar.
 - IA, API version `2026-10-21` de Anthropic: la versión del SDK sale de `package-lock.json`, `node_modules` o el rango de `package.json`, y en Python solo de `requirements.txt` (todavía no de `pyproject.toml`, `poetry.lock` ni `uv.lock`). Un rango sin número (`latest`, `*`) cuenta como versión desconocida. Por HTTP directo avisa solo si el archivo manda `anthropic-version: 2026-10-21`. Los SDKs de Go, Java, .NET, Ruby y PHP no se leen.
+- IA, alias de Anthropic: avisa los de Claude Sonnet 4.5, Opus 4.5 y Haiku 4.5 (`claude-sonnet-4-5`, `claude-opus-4-5`, `claude-haiku-4-5`), escritos enteros entre comillas. Los alias de modelos ya retirados (`claude-3-5-sonnet-latest`, `claude-3-7-sonnet-latest` y otros) todavía no: la documentación actual de Anthropic ya no los nombra.
 - Mercado Pago: migra la creación de pagos con el SDK v2. Las consultas, capturas y reembolsos de pagos existentes se dejan a propósito en Payments API, como indica la guía oficial.
 - Se distribuye como CLI (`npx parche-cli`) + GitHub Action (`Pepo08/parche@v0`). La GitHub App (instalación en un click, PRs automáticos al publicarse un pack nuevo) es el próximo paso.
 - La capa de LLM (redactar packs desde changelogs y resolver casos "falta un dato" leyendo el modelo de datos del cliente) todavía no está incluida; cuando entre, va a pasar por la misma verificación.

package/bin/parche.js

@@ -9,8 +9,9 @@ import { verify } from '../src/verify.js';
 import * as git from '../src/git.js';
 import { parseGithubRemote, openPullRequest } from '../src/github.js';
 import { record } from '../src/ledger.js';
-import { apiLabel } from '../src/inventory/index.js';
+import { apiLabel, noUsesLabel } from '../src/inventory/index.js';
 import { isTestFile } from '../src/paths.js';
+import { stepSummary, annotations, byPack, workspacePrefix } from '../src/actions.js';
 
 const HELP = `parche — Dependabot para APIs
 
@@ -67,7 +68,7 @@ function printInventory(inventory) {
     const ops = api.operations.map((o) => (o.count > 1 ? `${o.op} ×${o.count}` : o.op));
     const shown = ops.length > 4 ? [...ops.slice(0, 4), `+${ops.length - 4} más`] : ops;
     const packs = api.packs.length ? '  · con pack' : '';
-    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || '(declarada, sin usos encontrados)'}${packs}`);
+    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || `(${noUsesLabel(api)})`}${packs}`);
   }
   if (inventory.unresolved.length) {
     console.log(`  + ${inventory.unresolved.length} llamada(s) HTTP con URL dinámica (no se sabe a qué host van; detalle en el reporte)`);
@@ -225,6 +226,9 @@ async function main() {
     const packs = loadPacks().filter((p) => p.codemod && (!packIds || packIds.includes(p.id)));
     // A dónde se pushea: origin, o el fork de quien abre el PR (--push-remote fork). El PR se abre contra origin.
     const pushRemote = typeof args['push-remote'] === 'string' ? args['push-remote'] : 'origin';
+    // Para el resumen del job en GitHub Actions: los PRs de esta corrida y lo que quedó sin PR.
+    const opened = [];
+    const withoutPr = [];
     for (const pack of packs) {
       const preview = run(root, { write: false, packIds: [pack.id] });
       if (!preview.findings.length) continue;
@@ -258,6 +262,7 @@ async function main() {
           console.log(`  ${summary(result.findings)}`);
           console.log(`  ${why[0].toUpperCase()}${why.slice(1)}; queda como issue o reporte: ${bodyPath}`);
           record(root, { type: 'report-only', pack: pack.id, findings: c, reason: why });
+          withoutPr.push({ pack, findings: result.findings });
           continue;
         }
         const draft = !!(c['needs-review'] || c['needs-input'] || c.blocked);
@@ -277,6 +282,7 @@ async function main() {
         } else {
           console.log(`  Modo prueba: no se abrió el PR${draft ? ' (iría como borrador por tener ítems para revisar)' : ''}.`);
         }
+        opened.push({ title, url, draft });
         record(root, { type: 'pr', pack: pack.id, packVersion: pack.version, branch, sha, url, draft, files: changedFiles, findings: c,
           partial: result.findings.filter((f) => f.partial).length });
       } finally {
@@ -285,6 +291,19 @@ async function main() {
         if (!keepBranch) git.deleteBranch(root, branch);
       }
     }
+    // Los packs de solo detección (IA) no abren PR: sus avisos se muestran acá y, en GitHub Actions, en el resumen del
+    // job y como anotaciones, junto con lo que quedó sin PR. Antes `pr` los salteaba y en la Action no se veían (D67).
+    const detectPacks = loadPacks().filter((p) => !p.codemod && (!packIds || packIds.includes(p.id)));
+    const detected = detectPacks.length ? run(root, { write: false, packIds: detectPacks.map((p) => p.id) }) : { packs: [], findings: [] };
+    const notices = byPack(detected);
+    if (notices.length) {
+      console.log('\nAvisos sin PR (solo detección):');
+      printFindings(detected);
+    }
+    if (process.env.GITHUB_ACTIONS === 'true') {
+      if (process.env.GITHUB_STEP_SUMMARY) fs.appendFileSync(process.env.GITHUB_STEP_SUMMARY, stepSummary({ opened, reportOnly: withoutPr, notices }));
+      for (const line of annotations([...notices, ...withoutPr], workspacePrefix(root, process.env.GITHUB_WORKSPACE))) console.log(line);
+    }
     return 0;
   }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "parche-cli",
-  "version": "0.6.7",
+  "version": "0.6.9",
   "description": "Dependabot para APIs: detecta cambios de cualquier API de terceros en tu código (ARCA, Mercado Pago, OpenAI, Anthropic) y abre el PR con el arreglo.",
   "keywords": [
     "api",
@@ -25,7 +25,7 @@
     "type": "git",
     "url": "git+https://github.com/Pepo08/parche.git"
   },
-  "author": "Joaquín González",
+  "author": "Joaquin Gonzalez Menza",
   "license": "MIT",
   "type": "module",
   "bin": {

package/packs/ai.model-retirements.json

@@ -1,6 +1,6 @@
 {
   "id": "ai.model-retirements",
-  "version": "2026.10.21",
+  "version": "2026.10.22",
   "provider": "Modelos de IA",
   "title": "Modelos, endpoints y parámetros de IA retirados o por retirarse",
   "kind": "retirement",
@@ -11,6 +11,10 @@
   "why_es": "Los proveedores de modelos retiran IDs de modelo y endpoints con algunas semanas o meses de aviso. Después de la fecha, las llamadas fallan. Parche no reemplaza el modelo automáticamente porque cambiar de modelo cambia el comportamiento: te avisa, te dice la fecha y el reemplazo que recomienda el proveedor. También avisa los parámetros que los modelos nuevos rechazan, como `temperature`, `top_p` y `top_k` en Claude 4.7 y posteriores.",
   "sources": [
     { "title": "Anthropic: Model deprecations", "url": "https://platform.claude.com/docs/en/about-claude/model-deprecations" },
+    { "title": "Anthropic: Model IDs and versioning (antes de la generación 4.6, el alias apunta al snapshot fechado más reciente)", "url": "https://platform.claude.com/docs/en/about-claude/models/model-ids-and-versions" },
+    { "title": "Anthropic: Claude Sonnet 4.5 (alias claude-sonnet-4-5; se retira el 30/11/2026)", "url": "https://platform.claude.com/docs/en/models/sonnet-4-5/overview" },
+    { "title": "Anthropic: Claude Opus 4.5 (alias claude-opus-4-5)", "url": "https://platform.claude.com/docs/en/models/opus-4-5/overview" },
+    { "title": "Anthropic: Claude Haiku 4.5 (alias claude-haiku-4-5)", "url": "https://platform.claude.com/docs/en/models/haiku-4-5/overview" },
     { "title": "Anthropic: Model deprecations, API parameter deprecations (temperature, top_p y top_k en Claude 4.7 y posteriores)", "url": "https://platform.claude.com/docs/en/about-claude/model-deprecations#api-parameter-deprecations" },
     { "title": "Anthropic: API reference, Messages (valores que se aceptan: temperature 1, top_p desde 0.99, top_k ninguno)", "url": "https://platform.claude.com/docs/en/api/messages/create" },
     { "title": "Anthropic: Claude Haiku 5.5 migration guide (top_p solo 0.99; temperature y top_p juntos dan 400)", "url": "https://platform.claude.com/docs/en/models/haiku-5-5/migration-guide#remove-sampling-parameters" },
@@ -170,6 +174,11 @@
       "ft-babbage-002": { "date": "2026-10-23", "replacement": "gpt-5.6-terra", "bases": ["babbage-002"] },
       "ft-davinci-002": { "date": "2026-10-23", "replacement": "gpt-5.6-terra", "bases": ["davinci-002"] }
     },
+    "model_aliases": {
+      "claude-sonnet-4-5": "claude-sonnet-4-5-20250929",
+      "claude-opus-4-5": "claude-opus-4-5-20251101",
+      "claude-haiku-4-5": "claude-haiku-4-5-20251001"
+    },
     "retirement_floors": {
       "claude-haiku-4-5-20251001": "2026-10-15",
       "claude-opus-4-5-20251101": "2026-11-24"

package/src/actions.js

@@ -0,0 +1,72 @@
+// Lo que se ve en GitHub Actions además de los PRs: el resumen del job ($GITHUB_STEP_SUMMARY) y las anotaciones
+// (::warning) con archivo y línea. Sin esto, los avisos de los packs de solo detección (IA) y lo que queda sin PR
+// (falta un dato, o no hay código para cambiar) se perdían dentro del runner (sesión del 23/10, D67).
+import path from 'node:path';
+import { LABEL } from './report.js';
+
+// Comandos de workflow de GitHub: el mensaje escapa %, \r y \n; las propiedades (file, title), además, ":" y ",".
+export const escapeData = (s) => String(s).replace(/%/g, '%25').replace(/\r/g, '%0D').replace(/\n/g, '%0A');
+export const escapeProperty = (s) => escapeData(s).replace(/:/g, '%3A').replace(/,/g, '%2C');
+
+// GitHub muestra hasta 10 anotaciones de advertencia por paso: las primeras van como anotación y todas en el resumen.
+export const MAX_ANNOTATIONS = 10;
+
+// Grupos { pack, findings } de un resultado del motor, en el orden de los packs y sin los packs vacíos.
+export const byPack = (result) => result.packs
+  .map((pack) => ({ pack, findings: result.findings.filter((f) => f.pack === pack.id) }))
+  .filter((g) => g.findings.length);
+
+// Prefijo para que la ruta del hallazgo (relativa a la carpeta que se revisó) sea relativa a la raíz del checkout,
+// que es lo que espera una anotación. Si la carpeta está fuera del checkout, no hay prefijo válido: null.
+export function workspacePrefix(root, workspace) {
+  if (!workspace) return '';
+  const rel = path.relative(path.resolve(workspace), path.resolve(root));
+  if (rel === '') return '';
+  if (rel.startsWith('..') || path.isAbsolute(rel)) return null;
+  return `${rel.split(path.sep).join('/')}/`;
+}
+
+// Una anotación por hallazgo, hasta MAX_ANNOTATIONS. Sin prefijo válido, el archivo y la línea van en el mensaje.
+export function annotations(groups, prefix = '') {
+  const out = [];
+  for (const { pack, findings } of groups) {
+    for (const f of findings) {
+      if (out.length === MAX_ANNOTATIONS) return out;
+      const where = `${f.file}${f.line ? `:${f.line}` : ''}`;
+      const props = prefix === null ? [] : [`file=${escapeProperty(prefix + f.file)}`, ...(f.line ? [`line=${f.line}`] : [])];
+      props.push(`title=${escapeProperty(`Parche · ${pack.title}`)}`);
+      out.push(`::warning ${props.join(',')}::${escapeData(prefix === null ? `${where}: ${f.message}` : f.message)}`);
+    }
+  }
+  return out;
+}
+
+// El resumen del job: los PRs de esta corrida, lo que quedó sin PR y los avisos de solo detección.
+// opened: [{ title, url, draft }] (url null en modo prueba); reportOnly y notices: grupos { pack, findings }.
+export function stepSummary({ opened = [], reportOnly = [], notices = [] }) {
+  const lines = ['## Parche', ''];
+  if (opened.length) {
+    lines.push('### PRs', '');
+    for (const o of opened) {
+      const draft = o.draft ? ' · borrador' : '';
+      lines.push(o.url ? `- [${o.title}](${o.url})${draft}` : `- ${o.title}${draft} · modo prueba: no se abrió`);
+    }
+    lines.push('');
+  }
+  const section = (title, intro, groups) => {
+    if (!groups.length) return;
+    lines.push(`### ${title}`, '', intro, '');
+    for (const { pack, findings } of groups) {
+      lines.push(`**${pack.title}** · ${pack.provider}`, '');
+      for (const f of findings) lines.push(`- ${LABEL[f.status]} · \`${f.file}${f.line ? `:${f.line}` : ''}\` · ${f.message}`);
+      lines.push('');
+    }
+  };
+  section('Sin PR', 'Parche no abre un PR cuando el arreglo depende de un dato de tu negocio o cuando no hay código para cambiar. Esto es lo que encontró y lo que falta.', reportOnly);
+  section('Avisos', 'Cambios con fecha que afectan a tu código. Parche no los cambia solo: cambiar de modelo, por ejemplo, cambia cómo responde tu producto.', notices);
+  if (!opened.length && !reportOnly.length && !notices.length) {
+    lines.push('Ninguno de los packs verificados tiene cambios que te afecten hoy.', '');
+  }
+  lines.push('El inventario completo de las APIs del repo: `npx parche-cli scan .`');
+  return `${lines.join('\n')}\n`;
+}

package/src/detectors/ai-model-retirements.js

@@ -28,6 +28,17 @@ const entry = (v) => (typeof v === 'string' ? { date: v, replacement: null } : v
 const quoted = (line, id) => line.includes(`'${id}'`) || line.includes(`"${id}"`) || line.includes(`\`${id}\``);
 const replacementText = ({ replacement, replacement_es: prose, note_es: note }) =>
   (replacement ? ` Reemplazo recomendado: \`${replacement}\`.` : prose ? ` Reemplazo recomendado: ${prose}.` : '') + (note ? ` ${note}` : '');
+// `aliasOf`: el snapshot al que apunta un alias de Anthropic (`model_aliases` del pack). Sin alias, el texto es el de siempre.
+const retiredMessage = (model, e, inCall, today, aliasOf) => {
+  const past = e.date <= today;
+  const repl = replacementText(e);
+  const when = past ? `fue retirado el ${e.date}` : `se retira el ${e.date}`;
+  return inCall
+    ? `El modelo \`${model}\`${aliasOf ? ` (alias de \`${aliasOf}\`)` : ''} ${when}${past ? ': las llamadas ya fallan' : ''}.${repl} Corré tus pruebas de prompts antes de cambiarlo.`
+    : `Aparece \`${model}\` (${aliasOf ? `alias de \`${aliasOf}\`, ` : ''}${when}) fuera de una llamada: si es una lista o un catálogo de modelos, actualizalo.${repl}`;
+};
+const floorMessage = (model, date, aliasOf) =>
+  `El modelo \`${model}\`${aliasOf ? ` (alias de \`${aliasOf}\`)` : ''} puede retirarse a partir del ${date} (fecha mínima publicada; hay 60 días de aviso). Planificá el reemplazo.`;
 const endpointHit = (ep, l) => {
   if (ep.pattern) return l.includes(ep.pattern) ? ep.pattern : null;
   const m = l.match(ep.re);
@@ -41,7 +52,7 @@ const milestonesText = (ep, today) => (ep.milestones || [])
 export default function detect({ source, file, pack, today = new Date().toISOString().slice(0, 10), context }) {
   const findings = [];
   const usages = [];
-  const { retired_models: retired, retirement_floors: floors, retired_endpoints: endpoints } = pack.detect;
+  const { retired_models: retired, retirement_floors: floors, retired_endpoints: endpoints, model_aliases: aliases = {} } = pack.detect;
   const fineTunes = new Map();
   for (const [name, e] of Object.entries(pack.detect.retired_fine_tunes || {})) for (const b of e.bases) fineTunes.set(b, { name, ...e });
   const azure = AZURE.test(source);
@@ -53,17 +64,22 @@ export default function detect({ source, file, pack, today = new Date().toISOStr
     const inCall = MODEL_CONTEXT.test(l);
     for (const [model, raw] of Object.entries(retired)) {
       if (!quoted(l, model)) continue;
-      const e = entry(raw);
-      const { date } = e;
-      const past = date <= today;
-      const repl = replacementText(e);
-      const when = past ? `fue retirado el ${date}` : `se retira el ${date}`;
-      const message = inCall
-        ? `El modelo \`${model}\` ${when}${past ? ': las llamadas ya fallan' : ''}.${repl} Corré tus pruebas de prompts antes de cambiarlo.`
-        : `Aparece \`${model}\` (${when}) fuera de una llamada: si es una lista o un catálogo de modelos, actualizalo.${repl}`;
-      findings.push({ pack: PACK, file, line, status: 'detect-only', message });
+      findings.push({ pack: PACK, file, line, status: 'detect-only', message: retiredMessage(model, entry(raw), inCall, today) });
       usages.push({ provider: 'ia', op: `modelo ${model}`, line });
     }
+    // Alias de Anthropic de antes de la generación 4.6 (`claude-sonnet-4-5`): apuntan al snapshot fechado más reciente y
+    // tienen su fecha (Model IDs and versioning). Se comparan enteros entre comillas: `'claude-sonnet-4-5'` no es
+    // `'claude-sonnet-4-5-20250929'` (ese ya se avisa arriba), ni el ID de Bedrock (`anthropic.claude-…`) o el de Google
+    // Cloud (`claude-sonnet-4-5@20250929`), que tienen su propio calendario.
+    for (const [alias, target] of Object.entries(aliases)) {
+      if (!quoted(l, alias)) continue;
+      let message;
+      if (retired[target]) message = retiredMessage(alias, entry(retired[target]), inCall, today, target);
+      else if (floors[target]) message = floorMessage(alias, floors[target], target);
+      else continue;
+      findings.push({ pack: PACK, file, line, status: 'detect-only', message });
+      usages.push({ provider: 'ia', op: `modelo ${alias}`, line });
+    }
     for (const [, base] of l.matchAll(FINE_TUNE)) {
       const ft = fineTunes.get(base);
       if (!ft) continue;
@@ -78,8 +94,7 @@ export default function detect({ source, file, pack, today = new Date().toISOStr
     }
     for (const [model, date] of Object.entries(floors)) {
       if (!l.includes(model)) continue;
-      findings.push({ pack: PACK, file, line, status: 'detect-only',
-        message: `El modelo \`${model}\` puede retirarse a partir del ${date} (fecha mínima publicada; hay 60 días de aviso). Planificá el reemplazo.` });
+      findings.push({ pack: PACK, file, line, status: 'detect-only', message: floorMessage(model, date) });
       usages.push({ provider: 'ia', op: `modelo ${model}`, line });
     }
     for (const ep of eps) {

package/src/inventory/index.js

@@ -126,6 +126,14 @@ export function buildInventory({ repo, manifests, fileScans, packs }) {
 }
 
 // Nombre corto para mostrar una API en el reporte y en la CLI.
+// Qué decir de un SDK sin operaciones: en JS/TS se buscaron los usos y no aparecieron; en PHP y Python los usos todavía
+// no se buscan (solo se lee el manifiesto), y "sin usos encontrados" sonaba a que no se usa (sesión del 23/10).
+const NOT_SCANNED = { composer: ['composer.json', 'PHP'], pypi: ['requirements.txt', 'Python'] };
+export function noUsesLabel(api) {
+  const ns = api.kind === 'sdk' && NOT_SCANNED[api.ecosystem];
+  return ns ? `declarada en ${ns[0]}; los usos en ${ns[1]} todavía no se analizan` : 'declarada, sin usos encontrados';
+}
+
 export function apiLabel(api) {
   if (api.kind === 'sdk') return api.provider ? `${api.provider} · ${api.package}` : api.package;
   if (api.kind === 'http') return api.provider ? `${api.provider} · ${api.host}` : api.host;

package/src/report.js

@@ -1,5 +1,5 @@
 // Reporte del scan y cuerpo del PR, en castellano.
-import { apiLabel } from './inventory/index.js';
+import { apiLabel, noUsesLabel } from './inventory/index.js';
 
 const LABEL ={
   auto: '✅ automático',
@@ -62,7 +62,7 @@ export function scanReport({ inventory, findings, packs, changed, upgrades = nul
     const KIND = { sdk: 'SDK', http: 'HTTP directo', 'ai-model': 'Modelos de IA' };
     out.push('| Tipo | API | Rubro | Confianza | Operaciones (usos) | Pack |', '|---|---|---|---|---|---|');
     for (const api of inventory.apis) {
-      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || 'declarada, sin usos encontrados';
+      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || noUsesLabel(api);
       out.push(`| ${KIND[api.kind]} | ${apiLabel(api)} | ${api.category || '—'} | ${api.confidence} | ${ops} | ${api.packs.length ? 'sí' : '—'} |`);
     }
     out.push('');

package/templates/github-workflow.yml

@@ -25,8 +25,16 @@ jobs:
       - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
         with:
           node-version: 24
-      - name: Instalar dependencias del proyecto (para correr sus tests antes de cada PR)
+      # Las dependencias del proyecto, para correr sus tests antes de cada PR. Cada paso corre solo si el repo tiene
+      # ese archivo: en un repo PHP no hay package-lock.json y `npm ci` fallaría.
+      - name: Instalar dependencias de Node
+        if: hashFiles('package-lock.json') != ''
         run: npm ci
+      # Composer viene instalado en los runners de Ubuntu de GitHub. Si tu proyecto pide otra versión de PHP,
+      # agregá antes un paso que la instale.
+      - name: Instalar dependencias de PHP
+        if: hashFiles('composer.json') != ''
+        run: composer install --no-interaction --no-progress
       # v0 se mueve con cada release 0.x. Para fijar una versión, cambiá v0 por el commit de ese release
       # (https://github.com/Pepo08/parche/releases), por ejemplo: Pepo08/parche@<sha> # v0.6.7
       - uses: Pepo08/parche@v0