parche-cli 0.7.0 → 0.7.3

package/CHANGELOG.md

@@ -1,6 +1,38 @@
 # Cambios
 
-Los cambios de cada versión de `parche-cli` y de la Action `Pepo08/parche@v0`. En npm están la 0.1.1, la 0.5.1 y de la 0.6.0 en adelante. La 0.1.0 y de la 0.2.0 a la 0.5.0 no se publicaron en npm; lo que traían está incluido en la 0.5.1. La fecha de cada versión es la del cambio; la de publicación figura en npm y en los [Releases](https://github.com/Pepo08/parche/releases).
+Los cambios de cada versión de `parche-cli` y de la Action `Pepo08/parche@v0`. En npm están la 0.1.1, la 0.5.1, de la 0.6.0 a la 0.7.0 y de la 0.7.2 en adelante. La 0.1.0 y de la 0.2.0 a la 0.5.0 no se publicaron en npm; lo que traían está incluido en la 0.5.1. La 0.7.1 tampoco: salió junto con la 0.7.2. La fecha de cada versión es la del cambio; la de publicación figura en npm y en los [Releases](https://github.com/Pepo08/parche/releases).
+
+## 0.7.3 — 2026-10-24
+
+La foto de cada corrida de la Action. Hasta la 0.7.2, el inventario de APIs, los avisos y el registro se escribían dentro del runner y se perdían al terminar el job: de una corrida quedaban solo el resumen del job y los PRs, y el resumen no se puede leer por la API de GitHub.
+
+### Nuevo
+- **La Action guarda la foto de la corrida** como artifact del workflow (`parche`): `scan.json`, que es la salida de `parche scan --json` (el inventario y los avisos), y `ledger.jsonl`, el registro de esa corrida (los PRs que abrió y lo que quedó sin PR). Lleva rutas, números de línea, paquetes, versiones, operaciones y los mensajes de Parche; no lleva código. Se baja con `gh run download <id> -n parche`. Inputs nuevos: `snapshot` (`'true'` por defecto; `'false'` la apaga) y `snapshot-name`, para usar la Action más de una vez en el mismo workflow. Corre aunque `parche pr` haya fallado, y si la foto falla, la corrida no falla: queda un aviso.
+- **Cada aviso tiene un `fingerprint`**, un identificador que sale del pack, el archivo y el texto de la línea, sin el número de línea ni el mensaje. No cambia si se mueven las líneas, se reindenta el código o el archivo pasa a CRLF; sí cambia si cambia el código de esa línea. Sirve para comparar una corrida con la anterior: qué es nuevo, qué sigue y qué se resolvió.
+- **`parche scan --json` dice qué versión de Parche lo generó** (`parcheVersion`).
+
+### Cambios
+- `actions/upload-artifact` (v7.0.2) fijada por SHA, como las demás Actions; un test controla que `action.yml` también las fije.
+
+## 0.7.2 — 2026-10-24
+
+ARCA: lo que pidió el re-escaneo de repos públicos con la 0.7.0. Un PR preparado quedaba parcial sin decirlo, y dos casos podían sacar un PR que no anda.
+
+### Cambios
+- **Clave casi bien escrita en una asignación aparte:** `det.CondicionIVAReceptor = x`, `det['CondicionIVAReceptor'] = x` (JS y TS) y `$det['CondicionIVAReceptor'] = $x` (PHP) se renombran a `CondicionIVAReceptorId` cuando `det` es, en la misma función, un objeto o array con claves de WSFEv1. En un repo real, el informe de comprobantes con CAEA lo hacía así, y la 0.7.0 renombraba las otras tres apariciones y esta ni la nombraba: el PR quedaba parcial en silencio. Si no se puede confirmar que `det` sea el comprobante (por ejemplo, si llega como parámetro), Parche lo avisa para revisar y no lo toca.
+- **El renombre ya no rompe el tipado:** si un `interface` o un `type` del repo declara la clave mal escrita (`CondicionIvaReceptorId?: number`), renombrarla solo en el objeto hacía que TypeScript no compilara, y el chequeo de sintaxis no lo veía. Ahora no se renombra, y el aviso dice en qué archivo y línea está el tipo para cambiar los dos.
+- **Archivos con saltos de línea `\r` sueltos (`\r\r\n`):** en JS y TS, Parche no los edita. El parser cuenta cada `\r` como una línea y la edición caía en otra parte del archivo; en un repo real, dentro de un comentario y con "Sintaxis OK". Ahora el hallazgo pasa a "revisar", con lo que hay que cambiar a mano y la línea que muestra git.
+
+## 0.7.1 — 2026-10-24
+
+La Action, lista para el GitHub Marketplace como "Parche API Changes". No cambia nada de lo que hace Parche.
+
+### Cambios
+- **Ícono de la Action:** `git-pull-request`. El que tenía, `tool`, está en la lista de íconos que el Marketplace no acepta y el panel de publicación lo marcaba como error.
+- **Descripción de la Action en inglés y en menos de 125 caracteres:** es la tarjeta del Marketplace, que ve gente de cualquier país. "Dependabot para APIs" queda como frase de presentación.
+- **README:** un "GitHub Action quick start" en inglés al principio (la página de la Action en el Marketplace es el README): qué hace la plantilla, los permisos y los inputs.
+- **Input `verify`:** la descripción nombra todos los tests que puede correr (`npm test`, `composer test` o `vendor/bin/phpunit`), no solo `npm test`.
+- Un test controla lo que revisa el Marketplace: el nombre, el largo de la descripción, el ícono y el color.
 
 ## 0.7.0 — 2026-10-24
 

package/README.md

@@ -6,7 +6,29 @@
 
 > **In English.** Parche reads your code and inventories every third-party API it uses: SDKs, direct HTTP calls and AI model IDs. When a provider ships a dated change that affects you, it tells you the file and the line, or opens a small PR with a deterministic fix. Every changed file is parsed before the PR, and with `--verify` your own tests run too. What can't be inferred is never made up: the PR asks for it. Today's packs cover Argentina's ARCA e-invoicing change (due December 1, 2026), Mercado Pago Payments → Orders, and OpenAI and Anthropic model and parameter deprecations.
 >
-> Try it with `npx parche-cli scan .` (Node 22+): it runs locally, with no account and no telemetry ([security and data](SECURITY.md)). GitHub Action: `uses: Pepo08/parche@v0`. The rest of this README is in Spanish for now · [getparche.com](https://getparche.com) · hola@getparche.com
+> Try it with `npx parche-cli scan .` (Node 22+): it runs locally, with no account and no telemetry ([security and data](SECURITY.md)). GitHub Action: [quick start below](#github-action-quick-start). The rest of this README is in Spanish for now · [getparche.com](https://getparche.com) · hola@getparche.com
+
+### GitHub Action quick start
+
+Copy [`templates/github-workflow.yml`](templates/github-workflow.yml) to `.github/workflows/parche.yml`. Every Monday it installs your dependencies (so your tests can run) and runs Parche, which opens one PR per API change that affects the repo, as a draft if something needs a human, and lists everything else in the job summary. The job needs `contents: write` and `pull-requests: write`. The key step:
+
+```yaml
+- uses: Pepo08/parche@v0
+  with:
+    verify: 'true'   # run your tests before opening each PR
+```
+
+| Input | Default | What it does |
+|---|---|---|
+| `path` | `.` | Folder to scan. |
+| `pack` | all packs | Run a single pack (list them with `npx parche-cli packs`). |
+| `verify` | `'true'` | Run the repo's tests (`npm test`, `composer test` or `vendor/bin/phpunit`) before opening each PR. |
+| `dry-run` | `'false'` | Build the branches and PR bodies without opening any PR. |
+| `token` | `github.token` | Pushes the branches and opens the PRs. With the default `GITHUB_TOKEN`, GitHub holds the PR's workflows until someone approves them; with a GitHub App token or a personal token they run on their own. |
+| `snapshot` | `'true'` | Save a snapshot of the run (API inventory, findings and the PRs it opened, as JSON; no source code) as a workflow artifact. |
+| `snapshot-name` | `parche` | Artifact name. Use a different one for each step if you call the Action more than once in a workflow. |
+
+`@v0` follows every 0.x release; to pin one, use its release commit: `Pepo08/parche@<sha> # v0.7.2`. PR bodies and the job output are in Spanish for now.
 
 Parche lee tu código y arma el inventario de **todas** las APIs de terceros que usás: SDKs (Stripe, Twilio, OpenAI, AWS, Mercado Pago, ARCA…), llamadas HTTP directas y modelos de IA. Lo cruza contra una base de **cambios de API verificados** y, cuando un proveedor cambia algo que te afecta, te avisa o abre un PR con el arreglo, explica qué cambió y por qué, y marca lo que necesita una persona. Ningún PR sale sin pasar la verificación. Las APIs de pagos y facturación de Latinoamérica son el fuerte, pero el inventario cubre cualquier API.
 
@@ -95,6 +117,8 @@ El workflow necesita `permissions: contents: write` y `pull-requests: write`. An
 
 Lo que no abre un PR también se ve en la corrida: los avisos de solo detección (modelos de IA que se retiran, por ejemplo) y lo que quedó sin PR porque falta un dato de tu negocio aparecen en el **resumen del job** y como **anotaciones** con el archivo y la línea (GitHub muestra las primeras 10; el resumen las tiene todas).
 
+**La foto de la corrida:** además, la Action guarda un artifact del workflow (`parche`, salvo que le pongas otro nombre con `snapshot-name`) con dos archivos. `scan.json` es la salida de `parche scan --json`: el inventario de APIs y los avisos, cada uno con su `fingerprint`, un identificador que no cambia aunque se muevan las líneas, para comparar una semana con la anterior. `ledger.jsonl` es el registro de esa corrida: los PRs que abrió y lo que quedó sin PR. Lleva rutas, números de línea, paquetes, versiones, operaciones y los mensajes de Parche; no lleva código. Lo baja quien puede ver las corridas de Actions del repo (`gh run download <id> -n parche`), y dura lo que diga la retención de artifacts del repo. Si no lo querés: `snapshot: 'false'`. Si la foto falla, la corrida no falla: queda un aviso.
+
 Con el `GITHUB_TOKEN` por defecto, GitHub deja los workflows del PR que abre Parche esperando aprobación: alguien con permiso de escritura tiene que tocar **Approve workflows to run** (el cuerpo del PR lo avisa). Para que tu CI corra sola sobre esos PRs, pasale a la Action un token de una GitHub App o un token personal con permiso de escritura en `contents` y `pull-requests`:
 
 ```yaml
@@ -151,7 +175,7 @@ Parche corre en tu máquina o en tu runner. Tu código no sale de ahí, salvo el
 | **Red** | `scan`, `fix` y `packs` no usan la red. `pr` llama a `api.github.com` para abrir el PR en tu repo y pushea su rama `parche/<pack>` (con `--force`, así solo reemplaza su propio PR anterior). `diff` y `scan --upgrades` bajan metadatos y paquetes de `registry.npmjs.org`, que ve qué paquetes y versiones consultás. Nada más. |
 | **Telemetría** | Ninguna. `parche feedback` escribe en `.parche/ledger.jsonl` de tu repo y queda ahí. |
 | **Qué ejecuta** | `git` y, solo con `--verify`, los tests de tu repo (`npm test`, `composer test` o `vendor/bin/phpunit`). |
-| **Qué escribe** | Tu working copy (solo `fix` y `pr`), `.parche/` (se agrega a `.git/info/exclude`) y, para `diff` y `--upgrades`, un caché en `~/.parche/cache`. |
+| **Qué escribe** | Tu working copy (solo `fix` y `pr`), `.parche/` (se agrega a `.git/info/exclude`) y, para `diff` y `--upgrades`, un caché en `~/.parche/cache`. En GitHub Actions, además, la foto de la corrida como artifact de tu workflow (inventario y avisos en JSON, sin código; se apaga con `snapshot: 'false'`). |
 
 Para reportar una vulnerabilidad, y el detalle de todo esto: [`SECURITY.md`](SECURITY.md). Si te llegó un PR de Parche: [por qué lo recibiste](docs/por-que-recibi-este-pr.md).
 
@@ -175,7 +199,7 @@ Para `afipsdk/afip.php` y sus forks (`fertandil87/afip.php`, `ivanalemunioz/afip
 
 **La versión de la librería importa.** Con `afip.js`/`afip.php` 0.x, `eesnaola/afip.php` y `ts-afip-ws` (un fork de afip.js 0.x; su última versión, la 1.3.2, trae el WSDL sin el campo) el pedido se arma con un WSDL de 2021 que no tiene `CondicionIVAReceptorId`: aunque el campo esté en el código, no llega a ARCA. Parche lee la versión instalada (`composer.lock`, `package-lock.json`, `node_modules`) y, en esos casos, el arreglo sale como **"revisar"** y lo que pide un dato lleva el mismo aviso: qué actualizar para que el campo viaje. También avisa si el repo tiene un `.wsdl` de WSFEv1 sin el campo.
 
-**Clave casi bien escrita.** Si el detalle del comprobante lleva `CondicionIVAReceptor` (sin `Id`), `CondicionIvaReceptorId` o `condicionIVAReceptorId`, ese elemento no existe en el WSDL: el dato nunca llega y el repo parece migrado. Parche renombra la clave a `CondicionIVAReceptorId` sin tocar el valor, en JS y en PHP, y el PR sale **borrador** para revisar que el valor sea un código válido. Solo lo hace dentro de objetos o arrays con al menos dos claves de WSFEv1 (`DocTipo`, `CbteDesde`, `ImpTotal`…), para no tocar modelos propios con un nombre parecido, y nunca en tests.
+**Clave casi bien escrita.** Si el detalle del comprobante lleva `CondicionIVAReceptor` (sin `Id`), `CondicionIvaReceptorId` o `condicionIVAReceptorId`, ese elemento no existe en el WSDL: el dato nunca llega y el repo parece migrado. Parche renombra la clave a `CondicionIVAReceptorId` sin tocar el valor, en JS y en PHP, y el PR sale **borrador** para revisar que el valor sea un código válido. Solo lo hace dentro de objetos o arrays con al menos dos claves de WSFEv1 (`DocTipo`, `CbteDesde`, `ImpTotal`…), para no tocar modelos propios con un nombre parecido, y nunca en tests. También renombra una asignación aparte (`det.CondicionIVAReceptor = x`, `det['CondicionIVAReceptor'] = x` o `$det['CondicionIVAReceptor'] = $x`) cuando `det` es, en la misma función, un objeto o array con esas claves; si no puede confirmarlo, lo avisa sin tocar. Si un `interface` o un `type` del repo declara la clave mal escrita, no renombra, porque TypeScript dejaría de compilar, y el aviso dice dónde está ese tipo.
 
 **Otros lenguajes:** en Python, C#, Java, Go y VB.NET, Parche detecta integraciones SOAP propias y clientes SOAP generados sin el campo (no los reescribe).
 
@@ -207,7 +231,7 @@ Cuando `DocTipo` no es un número fijo (`DocTipo: docTipo`), Parche no puede sab
 ## Límites del MVP
 
 - JS/TS (ESM y CommonJS) y, para ARCA, PHP. Siguen Python y Java.
-- ARCA: cubre `@afipsdk/afip.js`, `@arcasdk/core` (`arca.electronicBillingService.createVoucher` y `createNextVoucher`) y `afipsdk/afip.php` (con sus forks). Las integraciones SOAP propias (en cualquier lenguaje) se detectan pero no se reescriben, salvo el renombre de una clave casi bien escrita.
+- ARCA: cubre `@afipsdk/afip.js`, `@arcasdk/core` (`arca.electronicBillingService.createVoucher` y `createNextVoucher`) y `afipsdk/afip.php` (con sus forks). Las integraciones SOAP propias (en cualquier lenguaje) se detectan pero no se reescriben, salvo el renombre de una clave casi bien escrita. Un archivo JS o TS con saltos de línea `\r` sueltos (por ejemplo `\r\r\n`) no se edita: el aviso dice qué cambiar a mano.
 - IA, parámetros de Claude 4.7 y posteriores: avisa solo si el modelo del pedido se lee en el mismo archivo (un literal, una constante asignada una vez o el valor por defecto de una variable de entorno) y el parámetro es un número escrito en el código. Si el modelo llega de otro archivo o de la configuración, no avisa: no se puede saber si el pedido va a fallar.
 - IA, API version `2026-10-21` de Anthropic: la versión del SDK sale de `package-lock.json`, `node_modules` o el rango de `package.json`, y en Python solo de `requirements.txt` (todavía no de `pyproject.toml`, `poetry.lock` ni `uv.lock`). Un rango sin número (`latest`, `*`) cuenta como versión desconocida. Por HTTP directo avisa solo si el archivo manda `anthropic-version: 2026-10-21`. Los SDKs de Go, Java, .NET, Ruby y PHP no se leen.
 - IA, alias de Anthropic: avisa los de Claude Sonnet 4.5, Opus 4.5 y Haiku 4.5 (`claude-sonnet-4-5`, `claude-opus-4-5`, `claude-haiku-4-5`), escritos enteros entre comillas. Los alias de modelos ya retirados (`claude-3-5-sonnet-latest`, `claude-3-7-sonnet-latest` y otros) todavía no: la documentación actual de Anthropic ya no los nombra.

package/bin/parche.js

@@ -139,12 +139,13 @@ function printFindings(result) {
   }
 }
 
+const VERSION = () => JSON.parse(fs.readFileSync(new URL('../package.json', import.meta.url), 'utf8')).version;
+
 async function main() {
   const args = parseArgs(process.argv.slice(2));
   const [cmd, dirArg] = args._;
   if (args.version || cmd === '-v') {
-    const pkg = JSON.parse(fs.readFileSync(new URL('../package.json', import.meta.url), 'utf8'));
-    console.log(pkg.version);
+    console.log(VERSION());
     return 0;
   }
   if (!cmd || args.help) { console.log(HELP); return 0; }
@@ -187,7 +188,8 @@ async function main() {
     fs.writeFileSync(path.join(root, '.parche', 'inventory.json'), JSON.stringify(result.inventory, null, 2));
     fs.writeFileSync(path.join(root, '.parche', 'report.md'), scanReport({ ...result, changed: [], upgrades }));
     record(root, { type: 'scan', findings: counts(result.findings) });
-    if (args.json) { console.log(JSON.stringify({ inventory: result.inventory, findings: result.findings, skipped: result.skipped }, null, 2)); return 0; }
+    // parcheVersion: qué versión (y por lo tanto qué reglas) generó este JSON; la foto de cada corrida de la Action lo guarda.
+    if (args.json) { console.log(JSON.stringify({ parcheVersion: VERSION(), inventory: result.inventory, findings: result.findings, skipped: result.skipped }, null, 2)); return 0; }
     console.log(`Parche · scan de ${path.basename(root)}\n`);
     printInventory(result.inventory);
     if (upgrades) printUpgrades(upgrades);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "parche-cli",
-  "version": "0.7.0",
+  "version": "0.7.3",
   "description": "Dependabot para APIs: detecta cambios de cualquier API de terceros en tu código (ARCA, Mercado Pago, OpenAI, Anthropic) y abre el PR con el arreglo.",
   "keywords": [
     "api",

package/src/ast.js

@@ -91,6 +91,15 @@ export function lineOf(node) {
   return node && node.loc ? node.loc.start.line : null;
 }
 
+// La línea del archivo (contando \n, como git y GitHub) de una línea del parser, que también cuenta cada \r suelto.
+// Solo difieren en archivos con \r\r\n o \r solos (frente B, punto 22).
+export function fileLine(source, line) {
+  const breaks = /\r\n|[\n\r]/g;
+  let offset = 0;
+  for (let i = 1; i < line && breaks.exec(source); i++) offset = breaks.lastIndex;
+  return source.slice(0, offset).split('\n').length;
+}
+
 // Copia profunda de un nodo sin metadatos de posición, para poder usarlo dos veces.
 export function cloneNode(node) {
   if (Array.isArray(node)) return node.map(cloneNode);

package/src/codemods/arca-rules.js

@@ -98,6 +98,27 @@ export function nearMissBothMessage(key) {
   return `El comprobante tiene \`${key}\` y también \`${FIELD}\`. \`${key}\` no es un campo de WSFEv1: se puede borrar. Revisá que \`${FIELD}\` lleve el valor correcto.`;
 }
 
+// Frente B, punto 25: una asignación aparte (`det.CondicionIVAReceptor = x`) a un objeto que no se puede confirmar
+// como el detalle del comprobante. No se toca, pero se dice: un arreglo parcial nunca queda en silencio.
+export function nearMissUnsureMessage(target, key) {
+  return `\`${target}\`: si es el detalle del comprobante, \`${key}\` no es un campo de WSFEv1 y ARCA espera \`${FIELD}\`. `
+    + 'No lo cambié porque no pude confirmar que sea el comprobante: revisalo a mano.';
+}
+
+// Frente B, punto 23: el tipo del repo declara la clave mal escrita. Renombrar solo el objeto rompe el tipado.
+export function nearMissTypedMessage(key, decl, pack) {
+  return `\`${key}\` no es un campo de WSFEv1: ARCA espera \`${FIELD}\`, así que hoy el dato no llega y desde el ${dmy(pack.deadline)} ARCA rechaza el CAE. `
+    + `No lo renombré porque el tipo de \`${decl.file}:${decl.line}\` declara \`${key}\` y TypeScript dejaría de compilar: renombralo en los dos lugares (y en los tests que lo usen).`;
+}
+
+// Frente B, punto 22: con un \r suelto (\r\r\n) el parser cuenta una línea más que el archivo y la edición caía en
+// otra línea. En esos archivos no se edita: se dice qué cambio hacer a mano.
+export const LOOSE_EOL = /\r(?!\n)|[\u2028\u2029]/;
+export function looseEolMessage(manual) {
+  return 'No edité este archivo: tiene saltos de línea `\\r` sueltos (por ejemplo `\\r\\r\\n`) y Parche no puede ubicar el cambio con certeza. '
+    + `Hacelo a mano: ${manual}.`;
+}
+
 // "El repo ya usa CondicionIVAReceptorId en otro lado": prefijo para bajar a "revisar" lo que no se pudo leer
 // (en repos ya migrados, el objeto suele salir de un builder que sí pone el campo).
 export function alreadyMigratedPrefix(context) {

package/src/codemods/arca-wsfe-condicion-iva-php.js

@@ -8,7 +8,7 @@ import { parsePhp, walkPhp, phpLiteral, phpKey } from '../php.js';
 import {
   PACK, decideCondition, validCodesText, missingMessage, appliedMessage, soapDetection, ARCA_HINT, libraryCaveat, alreadyMigratedPrefix,
   canApplyAtRuntime, PARTIAL_COMMENT, partialAppliedMessage, partialPending, partialLeftMessage,
-  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage,
+  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage, nearMissUnsureMessage,
 } from './arca-rules.js';
 import { emptyContext } from '../context.js';
 import { isTestFile } from '../paths.js';
@@ -134,7 +134,7 @@ export default function transform({ source, file, pack, context = emptyContext()
 
   // Punto 13 del frente B: 'CondicionIVAReceptor' => $x (sin Id) se renombra, como en JS. Solo cambia el texto
   // entre las comillas de la clave; el array queda marcado para que la llamada no reciba un campo nuevo.
-  let renamed = false;
+  let nearMiss = false; // el archivo ya tiene un aviso de la clave: el de SOAP sin el campo sobra
   if (!isTestFile(file)) {
     walkPhp(ast, (node) => {
       if (node.kind !== 'array') return;
@@ -142,15 +142,45 @@ export default function transform({ source, file, pack, context = emptyContext()
       const near = entries.find((e) => isNearMissKey(phpKey(e)));
       if (!near || !isVoucherDetail(entries.map(phpKey))) return;
       edited.add(node);
+      nearMiss = true;
       if (entries.some((e) => phpKey(e) === FIELD)) {
         findings.push(finding(PACK, file, near, 'needs-review', nearMissBothMessage(phpKey(near))));
         return;
       }
       const { start, end } = near.key.loc;
       edits.push({ offset: start.offset + 1, remove: end.offset - start.offset - 2, text: FIELD });
-      renamed = true;
       findings.push(finding(PACK, file, near, 'needs-review', nearMissMessage(phpKey(near), pack) + (caveat ? ` ${caveat}` : '')));
     });
+
+    // Punto 25: $det['CondicionIVAReceptor'] = $x; en una asignación aparte. Se renombra si $det es, en la misma
+    // función, un array literal con claves de WSFEv1 definido una sola vez; si no se puede confirmar, se avisa.
+    for (const s of scopes.values()) {
+      for (const [name, offsets] of s.offsets) {
+        for (const o of offsets) {
+          if (!isNearMissKey(o.key) || o.node.left.offset.kind !== 'string') continue;
+          const defs = s.assigns.get(name) || [];
+          const arr = defs.length === 1 && defs[0].operator === '=' && defs[0].right.kind === 'array' ? defs[0].right : null;
+          const entries = arr ? arr.items.filter((it) => it && it.kind === 'entry') : [];
+          if (!arr || !isVoucherDetail(entries.map(phpKey))) {
+            // Solo con la grafía de WSFEv1 (con mayúscula): $cliente['condicionIvaReceptor'] es un campo propio.
+            if (ARCA_HINT.test(source) && /^Condicion/.test(o.key)) {
+              findings.push(finding(PACK, file, o.node, 'needs-review', nearMissUnsureMessage(`$${name}['${o.key}']`, o.key)));
+              nearMiss = true;
+            }
+            continue;
+          }
+          edited.add(arr);
+          nearMiss = true;
+          if (entries.some((e) => phpKey(e) === FIELD) || offsets.some((x) => x.key === FIELD)) {
+            findings.push(finding(PACK, file, o.node, 'needs-review', nearMissBothMessage(o.key)));
+            continue;
+          }
+          const { start, end } = o.node.left.offset.loc;
+          edits.push({ offset: start.offset + 1, remove: end.offset - start.offset - 2, text: FIELD });
+          findings.push(finding(PACK, file, o.node, 'needs-review', nearMissMessage(o.key, pack) + (caveat ? ` ${caveat}` : '')));
+        }
+      }
+    }
   }
 
   for (const { node: call, scope, method } of calls) {
@@ -199,7 +229,7 @@ export default function transform({ source, file, pack, context = emptyContext()
     findings.push(finding(PACK, file, call, status, appliedMessage(d.status) + (caveat ? ` ${caveat}` : '')));
   }
 
-  const soap = renamed ? null : soapDetection(source, file, context); // ya manda el campo (ver el codemod de JS)
+  const soap = nearMiss ? null : soapDetection(source, file, context); // ya tiene su aviso (ver el codemod de JS)
   if (soap) { findings.push(soap.finding); usages.push(soap.usage); }
 
   return { output: edits.length ? applyEdits(source, edits) : null, findings, usages };

package/src/codemods/arca-wsfe-condicion-iva.js

@@ -2,12 +2,13 @@
 // Agrega CondicionIVAReceptorId a cada pedido de CAE hecho con afip.js cuando se puede inferir
 // sin datos del negocio, y marca el resto para que una persona complete el dato.
 import {
-  jFor, detectQuote, eolOf, offsetAt, applyEdits, getProp, isQuotedKey, isPlainProp, keyName, literalValue, resolveBinding, finding,
+  jFor, detectQuote, eolOf, offsetAt, applyEdits, getProp, isQuotedKey, isPlainProp, keyName, literalValue, resolveBinding, finding, fileLine,
 } from '../ast.js';
 import {
   PACK, decideCondition, validCodesText, missingMessage, appliedMessage, soapDetection, ARCA_HINT, libraryCaveat, alreadyMigratedPrefix,
   canApplyAtRuntime, PARTIAL_COMMENT, partialAppliedMessage, partialPending, partialLeftMessage,
-  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage,
+  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage, nearMissUnsureMessage, nearMissTypedMessage,
+  LOOSE_EOL, looseEolMessage,
 } from './arca-rules.js';
 import { emptyContext } from '../context.js';
 import { isTestFile } from '../paths.js';
@@ -152,10 +153,15 @@ export default function transform({ source, file, pack, context = emptyContext()
   // Objetos ya editados: el mismo `payload` puede ir a dos llamadas (lo vimos en un repo real). Como se edita
   // texto y el árbol no se entera, sin esto se insertaba dos veces → clave duplicada y TypeScript no compila.
   const edited = new Set();
+  // Cada cambio, con cómo hacerlo a mano: si el archivo tiene \r sueltos no se edita y se dice eso (punto 22).
+  const applied = [];
+  const apply = (f, manual) => { findings.push(f); applied.push({ f, manual }); };
+  // Punto 23: si un tipo del repo declara la clave mal escrita, renombrarla solo acá rompe el tipado.
+  const typedConflict = (key) => (/\.[cm]?tsx?$/.test(file) ? (context.nearMissTypes || []).find((t) => t.key === key) : null);
 
   // Punto 13 del frente B: la clave casi bien escrita se renombra; el nombre correcto lo fija el WSDL.
   // Va antes que las llamadas, así el comprobante renombrado no recibe además un CondicionIVAReceptorId nuevo.
-  let renamed = false;
+  let nearMiss = false; // el archivo ya tiene un aviso de la clave: el de SOAP sin el campo sobra
   if (!isTestFile(file)) {
     root.find(j.ObjectExpression).forEach((p) => {
       const obj = p.node;
@@ -163,14 +169,57 @@ export default function transform({ source, file, pack, context = emptyContext()
       const near = props.find((pr) => isNearMissKey(keyName(pr)));
       if (!near || !isVoucherDetail(props.map(keyName))) return;
       edited.add(obj);
+      nearMiss = true;
       if (getProp(obj, 'CondicionIVAReceptorId')) {
         findings.push(finding(PACK, file, near, 'needs-review', nearMissBothMessage(keyName(near))));
         return;
       }
+      const typed = typedConflict(keyName(near));
+      if (typed) {
+        findings.push(finding(PACK, file, near, 'needs-review', nearMissTypedMessage(keyName(near), typed, pack)));
+        return;
+      }
       edits.push(renameKey(source, near));
-      renamed = true;
       changed = true;
-      findings.push(finding(PACK, file, near, 'needs-review', nearMissMessage(keyName(near), pack) + (caveat ? ` ${caveat}` : '')));
+      apply(finding(PACK, file, near, 'needs-review', nearMissMessage(keyName(near), pack) + (caveat ? ` ${caveat}` : '')),
+        `renombrá \`${keyName(near)}\` a \`CondicionIVAReceptorId\``);
+    });
+
+    // Punto 25: la misma clave en una asignación aparte (det.CondicionIVAReceptor = x, det['CondicionIVAReceptor'] = x),
+    // como en el informe de CAEA de un repo real. Se renombra si `det` es, en el mismo scope, un objeto literal con
+    // claves de WSFEv1. Si no se puede confirmar que sea el comprobante, se avisa sin tocar nada.
+    root.find(j.AssignmentExpression).forEach((p) => {
+      const left = unwrap(p.node.left);
+      if (!left || left.type !== 'MemberExpression') return;
+      const key = memberName(left);
+      if (!isNearMissKey(key)) return;
+      const target = unwrap(left.object);
+      const decl = target && target.type === 'Identifier' ? resolveBinding(p, target.name) : null;
+      const obj = unwrap(decl && decl.node.init);
+      if (!obj || obj.type !== 'ObjectExpression' || !isVoucherDetail(obj.properties.filter(isPlainProp).map(keyName))) {
+        // Solo con la grafía de WSFEv1 (con mayúscula): `cliente.condicionIvaReceptor = …` es un campo propio.
+        if (arcaFile && /^Condicion/.test(key)) {
+          const shown = target && target.type === 'Identifier' ? `${target.name}.${key}` : textOf(source, left);
+          findings.push(finding(PACK, file, p.node, 'needs-review', nearMissUnsureMessage(shown, key)));
+          nearMiss = true;
+        }
+        return;
+      }
+      edited.add(obj);
+      nearMiss = true;
+      if (getProp(obj, 'CondicionIVAReceptorId') || fieldAssignedLater(j, root, decl, target.name)) {
+        findings.push(finding(PACK, file, p.node, 'needs-review', nearMissBothMessage(key)));
+        return;
+      }
+      const typed = typedConflict(key);
+      if (typed) {
+        findings.push(finding(PACK, file, p.node, 'needs-review', nearMissTypedMessage(key, typed, pack)));
+        return;
+      }
+      edits.push(renameMember(source, left));
+      changed = true;
+      apply(finding(PACK, file, p.node, 'needs-review', nearMissMessage(key, pack) + (caveat ? ` ${caveat}` : '')),
+        `renombrá \`${target.name}.${key}\` a \`${target.name}.CondicionIVAReceptorId\``);
     });
   }
 
@@ -218,8 +267,9 @@ export default function transform({ source, file, pack, context = emptyContext()
         edits.push(...insertAfterProp(source, anchor, `...(Number(${expr}) === 99 ? { ${keyText}: 5 } : {})`, PARTIAL_COMMENT, { isLast }));
         edited.add(obj);
         changed = true;
-        findings.push(finding(PACK, file, call, 'needs-review', partialAppliedMessage(expr) + (caveat ? ` ${caveat}` : ''),
-          { partial: partialPending(d, pack, suggestionFor(d, pack)) }));
+        apply(finding(PACK, file, call, 'needs-review', partialAppliedMessage(expr) + (caveat ? ` ${caveat}` : ''),
+          { partial: partialPending(d, pack, suggestionFor(d, pack)) }),
+          'agregá `CondicionIVAReceptorId: 5` al comprobante cuando DocTipo es 99 (consumidor final); con otro DocTipo falta la condición frente al IVA del cliente');
         return;
       }
       findings.push(finding(PACK, file, call, 'needs-input', missingMessage(d) + (caveat ? ` ${caveat}` : ''),
@@ -232,16 +282,40 @@ export default function transform({ source, file, pack, context = emptyContext()
     changed = true;
     // Con librería vieja o WSDL viejo el arreglo no alcanza solo: deja de ser "automático".
     const status = caveat && d.status === 'auto' ? 'needs-review' : d.status;
-    findings.push(finding(PACK, file, call, status, appliedMessage(d.status) + (caveat ? ` ${caveat}` : '')));
+    apply(finding(PACK, file, call, status, appliedMessage(d.status) + (caveat ? ` ${caveat}` : '')),
+      `agregá \`CondicionIVAReceptorId: ${d.code}\` al comprobante`);
   });
 
-  // Con la clave renombrada el archivo ya manda el campo: el aviso de SOAP sin CondicionIVAReceptorId sobra.
-  const soap = renamed ? null : soapDetection(source, file, context);
+  // Punto 22: con \r sueltos (\r\r\n) las líneas del parser no son las del archivo: se informan las de git.
+  const looseEol = LOOSE_EOL.test(source);
+  if (looseEol) for (const x of [...findings, ...usages]) if (x.line) x.line = fileLine(source, x.line);
+
+  // Con la clave renombrada (o avisada) el archivo ya tiene su aviso: el de SOAP sin CondicionIVAReceptorId sobra.
+  const soap = nearMiss ? null : soapDetection(source, file, context);
   if (soap) { findings.push(soap.finding); usages.push(soap.usage); }
 
+  // Y la edición caía en otro lado (una vez, dentro de un comentario y con "Sintaxis OK"). No se edita: cada cambio
+  // pasa a "revisar" con lo que hay que hacer a mano.
+  if (changed && looseEol) {
+    for (const { f, manual } of applied) {
+      f.status = 'needs-review';
+      f.message = looseEolMessage(manual);
+      delete f.partial;
+    }
+    return { output: null, findings, usages };
+  }
+
   return { output: changed ? applyEdits(source, edits) : null, findings, usages };
 }
 
+// det.CondicionIVAReceptor → det.CondicionIVAReceptorId; det['CondicionIVAReceptor'] → det['CondicionIVAReceptorId'] (mismas comillas).
+function renameMember(source, member) {
+  const start = offsetAt(source, member.property.loc.start);
+  const end = offsetAt(source, member.property.loc.end);
+  return member.computed ? { offset: start + 1, remove: end - start - 2, text: 'CondicionIVAReceptorId' }
+    : { offset: start, remove: end - start, text: 'CondicionIVAReceptorId' };
+}
+
 // `CondicionIVAReceptor: x` → `CondicionIVAReceptorId: x`, con las mismas comillas y sin tocar el valor.
 // Si era abreviada (`{ CondicionIVAReceptor }`), queda `CondicionIVAReceptorId: CondicionIVAReceptor`.
 function renameKey(source, prop) {

package/src/context.js

@@ -6,9 +6,12 @@
 //   fieldFiles: archivos que ya usan CondicionIVAReceptorId (el repo ya empezó a migrar)
 //   staleWsdl:  WSDL de WSFEv1 del repo que no tienen CondicionIVAReceptorId
 //   arcaLibs:   librerías de ARCA del repo con lo que se sabe de si el campo llega a viajar
+//   nearMissTypes: interfaces y types de TypeScript que declaran la clave casi bien escrita (CondicionIvaReceptorId?: number)
 import fs from 'node:fs';
 import path from 'node:path';
+import { parse as babelParse } from '@babel/parser';
 import { findFiles } from './paths.js';
+import { NEAR_HINT, isNearMissKey } from './codemods/arca-rules.js';
 
 const readJson = (p) => {
   try {
@@ -104,7 +107,33 @@ export function buildContext(root, files, manifests) {
     const text = fs.readFileSync(path.join(root, rel), 'utf8');
     return /FECAESolicitar|FECAEDetRequest/.test(text) && !text.includes('CondicionIVAReceptorId');
   });
-  return { versions, fieldFiles, staleWsdl, arcaLibs: arcaLibraries(versions) };
+  return { versions, fieldFiles, staleWsdl, arcaLibs: arcaLibraries(versions), nearMissTypes: nearMissTypes(root, files) };
 }
 
-export const emptyContext = () => ({ versions: { npm: {}, composer: {}, pypi: {} }, fieldFiles: [], staleWsdl: [], arcaLibs: [] });
+// Frente B, punto 23: si un tipo declara la clave mal escrita, renombrarla solo en el objeto rompe el tipado
+// (TS2353) y el chequeo de sintaxis no lo ve. El codemod de JS no renombra cuando la encuentra acá.
+export function nearMissTypes(root, files) {
+  const out = [];
+  for (const rel of files.filter((f) => /\.[cm]?tsx?$/.test(f))) {
+    let text;
+    try { text = fs.readFileSync(path.join(root, rel), 'utf8'); } catch { continue; }
+    if (!NEAR_HINT.test(text)) continue;
+    let ast;
+    try {
+      ast = babelParse(text, { sourceType: 'unambiguous', plugins: ['typescript', 'decorators-legacy', ...(/x$/.test(rel) ? ['jsx'] : [])], errorRecovery: true });
+    } catch { continue; }
+    const walk = (n) => {
+      if (!n || typeof n !== 'object') return;
+      if (Array.isArray(n)) { n.forEach(walk); return; }
+      if (n.type === 'TSPropertySignature') {
+        const key = n.key && (n.key.type === 'Identifier' ? n.key.name : n.key.type === 'StringLiteral' ? n.key.value : null);
+        if (isNearMissKey(key)) out.push({ file: rel, line: n.loc.start.line, key });
+      }
+      for (const k of Object.keys(n)) if (k !== 'loc' && k !== 'start' && k !== 'end') walk(n[k]);
+    };
+    walk(ast.program);
+  }
+  return out;
+}
+
+export const emptyContext = () => ({ versions: { npm: {}, composer: {}, pypi: {} }, fieldFiles: [], staleWsdl: [], arcaLibs: [], nearMissTypes: [] });

package/src/engine.js

@@ -1,4 +1,5 @@
 // Motor: recorre el repo, arma el inventario de APIs y corre los packs.
+import crypto from 'node:crypto';
 import fs from 'node:fs';
 import path from 'node:path';
 import { loadPacks, transformFor, languageOf } from './packs.js';
@@ -33,6 +34,18 @@ export function listFiles(dir, skipped = []) {
   return out.sort((a, b) => (toPosix(a) < toPosix(b) ? -1 : 1));
 }
 
+// Identificador estable de un aviso (P5 de docs/app-vigilancia.md): el pack, el archivo y el texto de la línea, sin el
+// número de línea ni el mensaje. Así una corrida reconoce el mismo aviso de la anterior aunque se muevan las líneas o
+// cambie el texto del pack, y "nuevo", "sigue" y "resuelto" no dependen de la posición. Los espacios y el \r no cuentan
+// (una reindentación o pasar a CRLF no es otro aviso). Si el mismo texto se repite en el archivo, cuenta el orden.
+export function fingerprint(finding, source, seen) {
+  const text = finding.line ? (source.split('\n')[finding.line - 1] ?? '').replace(/\s+/g, ' ').trim() : '';
+  const key = [finding.pack, finding.file, text].join('\u0000');
+  const n = (seen.get(key) || 0) + 1;
+  seen.set(key, n);
+  return crypto.createHash('sha256').update(`${key}\u0000${n}`).digest('hex').slice(0, 16);
+}
+
 export function run(dir, { write = false, packIds = null, today } = {}) {
   const root = path.resolve(dir);
   const packs = loadPacks().filter((p) => !packIds || packIds.includes(p.id));
@@ -47,6 +60,7 @@ export function run(dir, { write = false, packIds = null, today } = {}) {
   const usages = [];
   const fileScans = []; // inventario de cualquier API (nivel 1), por archivo
   const changed = new Map(); // archivo relativo → [packs]
+  const seen = new Map(); // para fingerprint(): cuántas veces apareció cada pack + archivo + texto
 
   files.forEach((abs, i) => {
     const rel = rels[i];
@@ -60,10 +74,12 @@ export function run(dir, { write = false, packIds = null, today } = {}) {
       try {
         res = t({ source, file: rel, pack, today, context });
       } catch (err) {
-        findings.push({ pack: pack.id, file: rel, line: null, status: 'needs-input', message: `Parche no pudo procesar este archivo: ${err.message}` });
+        const f = { pack: pack.id, file: rel, line: null, status: 'needs-input', message: `Parche no pudo procesar este archivo: ${err.message}` };
+        findings.push({ ...f, fingerprint: fingerprint(f, source, seen) });
         continue;
       }
-      findings.push(...res.findings);
+      // El texto de la línea, del archivo tal como lo leyó este pack (antes de su propio cambio).
+      findings.push(...res.findings.map((f) => ({ ...f, fingerprint: fingerprint(f, source, seen) })));
       usages.push(...res.usages.map((u) => ({ ...u, file: rel, pack: pack.id })));
       if (res.output !== null && res.output !== source) {
         source = res.output;