parche-cli 0.6.8 → 0.6.9

package/CHANGELOG.md

@@ -2,6 +2,19 @@
 
 Los cambios de cada versión de `parche-cli` y de la Action `Pepo08/parche@v0`. En npm están la 0.1.1, la 0.5.1 y de la 0.6.0 en adelante. La 0.1.0 y de la 0.2.0 a la 0.5.0 no se publicaron en npm; lo que traían está incluido en la 0.5.1. La fecha de cada versión es la del cambio; la de publicación figura en npm y en los [Releases](https://github.com/Pepo08/parche/releases).
 
+## 0.6.9 — 2026-10-23
+
+La Action muestra lo que no abre un PR, y la plantilla del workflow anda en repos PHP. Salió de probar cada comando sobre los ejemplos antes de mandar los primeros mensajes de venta.
+
+### Nuevo
+- **Resumen del job y anotaciones en GitHub Actions:** `parche pr` escribe en el resumen de la corrida (`$GITHUB_STEP_SUMMARY`) los PRs que abrió, lo que quedó sin PR (por ejemplo, una factura A a un CUIT, donde falta la condición frente al IVA del cliente) y los avisos de los packs de solo detección, como un modelo de IA que se retira. Las primeras 10 también salen como anotaciones con el archivo y la línea. Hasta la 0.6.8, `pr` salteaba los packs sin arreglo y la Action no mostraba los avisos de IA.
+- **Fuera de GitHub Actions,** `parche pr` imprime al final los avisos de solo detección ("Avisos sin PR").
+
+### Cambios
+- **Plantilla del workflow (`templates/github-workflow.yml`):** `npm ci` corre solo si hay `package-lock.json`, y `composer install` solo si hay `composer.json`. Antes, en un repo PHP el workflow fallaba en el primer paso.
+- **Inventario en PHP y Python:** un SDK declarado en `composer.json` o `requirements.txt` dice "los usos en PHP (o Python) todavía no se analizan", en vez de "sin usos encontrados", que sonaba a que no se usa.
+- La CI prueba la Action también sobre un repo PHP (copia de `examples/tienda-php`).
+
 ## 0.6.8 — 2026-10-22
 
 Pack de IA: los alias de Claude que apuntan a un modelo con fecha. Antes de la generación 4.6, la API de Claude acepta alias cortos que apuntan al snapshot fechado más reciente de cada versión (página "Model IDs and versioning", verificada el 22/10/2026). La 0.6.7 avisaba `claude-sonnet-4-5-20250929`, que se retira el 30/11/2026, pero no `claude-sonnet-4-5`, que es el mismo modelo.

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Joaquín González
+Copyright (c) 2026 Joaquin Gonzalez Menza
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.md

@@ -91,7 +91,9 @@ Para que corra todas las semanas, copiá [`templates/github-workflow.yml`](templ
     # dry-run: 'true'                          # opcional: armar las ramas sin abrir PRs
 ```
 
-El workflow necesita `permissions: contents: write` y `pull-requests: write`.
+El workflow necesita `permissions: contents: write` y `pull-requests: write`. Antes de Parche, la plantilla instala las dependencias de tu proyecto para que corran sus tests: `npm ci` si hay `package-lock.json` y `composer install` si hay `composer.json` (Composer viene en los runners de Ubuntu de GitHub). Así anda igual en un repo de Node y en uno de PHP.
+
+Lo que no abre un PR también se ve en la corrida: los avisos de solo detección (modelos de IA que se retiran, por ejemplo) y lo que quedó sin PR porque falta un dato de tu negocio aparecen en el **resumen del job** y como **anotaciones** con el archivo y la línea (GitHub muestra las primeras 10; el resumen las tiene todas).
 
 Con el `GITHUB_TOKEN` por defecto, GitHub deja los workflows del PR que abre Parche esperando aprobación: alguien con permiso de escritura tiene que tocar **Approve workflows to run** (el cuerpo del PR lo avisa). Para que tu CI corra sola sobre esos PRs, pasale a la Action un token de una GitHub App o un token personal con permiso de escritura en `contents` y `pull-requests`:
 

package/bin/parche.js

@@ -9,8 +9,9 @@ import { verify } from '../src/verify.js';
 import * as git from '../src/git.js';
 import { parseGithubRemote, openPullRequest } from '../src/github.js';
 import { record } from '../src/ledger.js';
-import { apiLabel } from '../src/inventory/index.js';
+import { apiLabel, noUsesLabel } from '../src/inventory/index.js';
 import { isTestFile } from '../src/paths.js';
+import { stepSummary, annotations, byPack, workspacePrefix } from '../src/actions.js';
 
 const HELP = `parche — Dependabot para APIs
 
@@ -67,7 +68,7 @@ function printInventory(inventory) {
     const ops = api.operations.map((o) => (o.count > 1 ? `${o.op} ×${o.count}` : o.op));
     const shown = ops.length > 4 ? [...ops.slice(0, 4), `+${ops.length - 4} más`] : ops;
     const packs = api.packs.length ? '  · con pack' : '';
-    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || '(declarada, sin usos encontrados)'}${packs}`);
+    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || `(${noUsesLabel(api)})`}${packs}`);
   }
   if (inventory.unresolved.length) {
     console.log(`  + ${inventory.unresolved.length} llamada(s) HTTP con URL dinámica (no se sabe a qué host van; detalle en el reporte)`);
@@ -225,6 +226,9 @@ async function main() {
     const packs = loadPacks().filter((p) => p.codemod && (!packIds || packIds.includes(p.id)));
     // A dónde se pushea: origin, o el fork de quien abre el PR (--push-remote fork). El PR se abre contra origin.
     const pushRemote = typeof args['push-remote'] === 'string' ? args['push-remote'] : 'origin';
+    // Para el resumen del job en GitHub Actions: los PRs de esta corrida y lo que quedó sin PR.
+    const opened = [];
+    const withoutPr = [];
     for (const pack of packs) {
       const preview = run(root, { write: false, packIds: [pack.id] });
       if (!preview.findings.length) continue;
@@ -258,6 +262,7 @@ async function main() {
           console.log(`  ${summary(result.findings)}`);
           console.log(`  ${why[0].toUpperCase()}${why.slice(1)}; queda como issue o reporte: ${bodyPath}`);
           record(root, { type: 'report-only', pack: pack.id, findings: c, reason: why });
+          withoutPr.push({ pack, findings: result.findings });
           continue;
         }
         const draft = !!(c['needs-review'] || c['needs-input'] || c.blocked);
@@ -277,6 +282,7 @@ async function main() {
         } else {
           console.log(`  Modo prueba: no se abrió el PR${draft ? ' (iría como borrador por tener ítems para revisar)' : ''}.`);
         }
+        opened.push({ title, url, draft });
         record(root, { type: 'pr', pack: pack.id, packVersion: pack.version, branch, sha, url, draft, files: changedFiles, findings: c,
           partial: result.findings.filter((f) => f.partial).length });
       } finally {
@@ -285,6 +291,19 @@ async function main() {
         if (!keepBranch) git.deleteBranch(root, branch);
       }
     }
+    // Los packs de solo detección (IA) no abren PR: sus avisos se muestran acá y, en GitHub Actions, en el resumen del
+    // job y como anotaciones, junto con lo que quedó sin PR. Antes `pr` los salteaba y en la Action no se veían (D67).
+    const detectPacks = loadPacks().filter((p) => !p.codemod && (!packIds || packIds.includes(p.id)));
+    const detected = detectPacks.length ? run(root, { write: false, packIds: detectPacks.map((p) => p.id) }) : { packs: [], findings: [] };
+    const notices = byPack(detected);
+    if (notices.length) {
+      console.log('\nAvisos sin PR (solo detección):');
+      printFindings(detected);
+    }
+    if (process.env.GITHUB_ACTIONS === 'true') {
+      if (process.env.GITHUB_STEP_SUMMARY) fs.appendFileSync(process.env.GITHUB_STEP_SUMMARY, stepSummary({ opened, reportOnly: withoutPr, notices }));
+      for (const line of annotations([...notices, ...withoutPr], workspacePrefix(root, process.env.GITHUB_WORKSPACE))) console.log(line);
+    }
     return 0;
   }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "parche-cli",
-  "version": "0.6.8",
+  "version": "0.6.9",
   "description": "Dependabot para APIs: detecta cambios de cualquier API de terceros en tu código (ARCA, Mercado Pago, OpenAI, Anthropic) y abre el PR con el arreglo.",
   "keywords": [
     "api",
@@ -25,7 +25,7 @@
     "type": "git",
     "url": "git+https://github.com/Pepo08/parche.git"
   },
-  "author": "Joaquín González",
+  "author": "Joaquin Gonzalez Menza",
   "license": "MIT",
   "type": "module",
   "bin": {

package/src/actions.js

@@ -0,0 +1,72 @@
+// Lo que se ve en GitHub Actions además de los PRs: el resumen del job ($GITHUB_STEP_SUMMARY) y las anotaciones
+// (::warning) con archivo y línea. Sin esto, los avisos de los packs de solo detección (IA) y lo que queda sin PR
+// (falta un dato, o no hay código para cambiar) se perdían dentro del runner (sesión del 23/10, D67).
+import path from 'node:path';
+import { LABEL } from './report.js';
+
+// Comandos de workflow de GitHub: el mensaje escapa %, \r y \n; las propiedades (file, title), además, ":" y ",".
+export const escapeData = (s) => String(s).replace(/%/g, '%25').replace(/\r/g, '%0D').replace(/\n/g, '%0A');
+export const escapeProperty = (s) => escapeData(s).replace(/:/g, '%3A').replace(/,/g, '%2C');
+
+// GitHub muestra hasta 10 anotaciones de advertencia por paso: las primeras van como anotación y todas en el resumen.
+export const MAX_ANNOTATIONS = 10;
+
+// Grupos { pack, findings } de un resultado del motor, en el orden de los packs y sin los packs vacíos.
+export const byPack = (result) => result.packs
+  .map((pack) => ({ pack, findings: result.findings.filter((f) => f.pack === pack.id) }))
+  .filter((g) => g.findings.length);
+
+// Prefijo para que la ruta del hallazgo (relativa a la carpeta que se revisó) sea relativa a la raíz del checkout,
+// que es lo que espera una anotación. Si la carpeta está fuera del checkout, no hay prefijo válido: null.
+export function workspacePrefix(root, workspace) {
+  if (!workspace) return '';
+  const rel = path.relative(path.resolve(workspace), path.resolve(root));
+  if (rel === '') return '';
+  if (rel.startsWith('..') || path.isAbsolute(rel)) return null;
+  return `${rel.split(path.sep).join('/')}/`;
+}
+
+// Una anotación por hallazgo, hasta MAX_ANNOTATIONS. Sin prefijo válido, el archivo y la línea van en el mensaje.
+export function annotations(groups, prefix = '') {
+  const out = [];
+  for (const { pack, findings } of groups) {
+    for (const f of findings) {
+      if (out.length === MAX_ANNOTATIONS) return out;
+      const where = `${f.file}${f.line ? `:${f.line}` : ''}`;
+      const props = prefix === null ? [] : [`file=${escapeProperty(prefix + f.file)}`, ...(f.line ? [`line=${f.line}`] : [])];
+      props.push(`title=${escapeProperty(`Parche · ${pack.title}`)}`);
+      out.push(`::warning ${props.join(',')}::${escapeData(prefix === null ? `${where}: ${f.message}` : f.message)}`);
+    }
+  }
+  return out;
+}
+
+// El resumen del job: los PRs de esta corrida, lo que quedó sin PR y los avisos de solo detección.
+// opened: [{ title, url, draft }] (url null en modo prueba); reportOnly y notices: grupos { pack, findings }.
+export function stepSummary({ opened = [], reportOnly = [], notices = [] }) {
+  const lines = ['## Parche', ''];
+  if (opened.length) {
+    lines.push('### PRs', '');
+    for (const o of opened) {
+      const draft = o.draft ? ' · borrador' : '';
+      lines.push(o.url ? `- [${o.title}](${o.url})${draft}` : `- ${o.title}${draft} · modo prueba: no se abrió`);
+    }
+    lines.push('');
+  }
+  const section = (title, intro, groups) => {
+    if (!groups.length) return;
+    lines.push(`### ${title}`, '', intro, '');
+    for (const { pack, findings } of groups) {
+      lines.push(`**${pack.title}** · ${pack.provider}`, '');
+      for (const f of findings) lines.push(`- ${LABEL[f.status]} · \`${f.file}${f.line ? `:${f.line}` : ''}\` · ${f.message}`);
+      lines.push('');
+    }
+  };
+  section('Sin PR', 'Parche no abre un PR cuando el arreglo depende de un dato de tu negocio o cuando no hay código para cambiar. Esto es lo que encontró y lo que falta.', reportOnly);
+  section('Avisos', 'Cambios con fecha que afectan a tu código. Parche no los cambia solo: cambiar de modelo, por ejemplo, cambia cómo responde tu producto.', notices);
+  if (!opened.length && !reportOnly.length && !notices.length) {
+    lines.push('Ninguno de los packs verificados tiene cambios que te afecten hoy.', '');
+  }
+  lines.push('El inventario completo de las APIs del repo: `npx parche-cli scan .`');
+  return `${lines.join('\n')}\n`;
+}

package/src/inventory/index.js

@@ -126,6 +126,14 @@ export function buildInventory({ repo, manifests, fileScans, packs }) {
 }
 
 // Nombre corto para mostrar una API en el reporte y en la CLI.
+// Qué decir de un SDK sin operaciones: en JS/TS se buscaron los usos y no aparecieron; en PHP y Python los usos todavía
+// no se buscan (solo se lee el manifiesto), y "sin usos encontrados" sonaba a que no se usa (sesión del 23/10).
+const NOT_SCANNED = { composer: ['composer.json', 'PHP'], pypi: ['requirements.txt', 'Python'] };
+export function noUsesLabel(api) {
+  const ns = api.kind === 'sdk' && NOT_SCANNED[api.ecosystem];
+  return ns ? `declarada en ${ns[0]}; los usos en ${ns[1]} todavía no se analizan` : 'declarada, sin usos encontrados';
+}
+
 export function apiLabel(api) {
   if (api.kind === 'sdk') return api.provider ? `${api.provider} · ${api.package}` : api.package;
   if (api.kind === 'http') return api.provider ? `${api.provider} · ${api.host}` : api.host;

package/src/report.js

@@ -1,5 +1,5 @@
 // Reporte del scan y cuerpo del PR, en castellano.
-import { apiLabel } from './inventory/index.js';
+import { apiLabel, noUsesLabel } from './inventory/index.js';
 
 const LABEL ={
   auto: '✅ automático',
@@ -62,7 +62,7 @@ export function scanReport({ inventory, findings, packs, changed, upgrades = nul
     const KIND = { sdk: 'SDK', http: 'HTTP directo', 'ai-model': 'Modelos de IA' };
     out.push('| Tipo | API | Rubro | Confianza | Operaciones (usos) | Pack |', '|---|---|---|---|---|---|');
     for (const api of inventory.apis) {
-      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || 'declarada, sin usos encontrados';
+      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || noUsesLabel(api);
       out.push(`| ${KIND[api.kind]} | ${apiLabel(api)} | ${api.category || '—'} | ${api.confidence} | ${ops} | ${api.packs.length ? 'sí' : '—'} |`);
     }
     out.push('');

package/templates/github-workflow.yml

@@ -25,8 +25,16 @@ jobs:
       - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
         with:
           node-version: 24
-      - name: Instalar dependencias del proyecto (para correr sus tests antes de cada PR)
+      # Las dependencias del proyecto, para correr sus tests antes de cada PR. Cada paso corre solo si el repo tiene
+      # ese archivo: en un repo PHP no hay package-lock.json y `npm ci` fallaría.
+      - name: Instalar dependencias de Node
+        if: hashFiles('package-lock.json') != ''
         run: npm ci
+      # Composer viene instalado en los runners de Ubuntu de GitHub. Si tu proyecto pide otra versión de PHP,
+      # agregá antes un paso que la instale.
+      - name: Instalar dependencias de PHP
+        if: hashFiles('composer.json') != ''
+        run: composer install --no-interaction --no-progress
       # v0 se mueve con cada release 0.x. Para fijar una versión, cambiá v0 por el commit de ese release
       # (https://github.com/Pepo08/parche/releases), por ejemplo: Pepo08/parche@<sha> # v0.6.7
       - uses: Pepo08/parche@v0