utn-mcp 0.7.0 → 0.8.0

package/build/oauth/server.js

@@ -2,10 +2,12 @@ import { createHash, randomUUID } from "node:crypto";
 import express from "express";
 import { buildOAuthProtectedResourceMetadata, checkResourceAllowed, getOAuthProtectedResourceMetadataUrl, } from "@modelcontextprotocol/server";
 import { linkAulaAccount } from "../aula-virtual/client/link.js";
+import { availableRegionals, defaultRegional } from "../aula-virtual/client/regionals.js";
 import { InvalidCredentialsError } from "../aula-virtual/client/sso-login.js";
 import { logger } from "../shared/logger.js";
 import { escapeHtml, page } from "../shared/pages.js";
 import { Expiring, RateLimiter } from "./expiring.js";
+import { describeRedirect, redirectTrust } from "./redirects.js";
 /** Duración del access token, en segundos: una baja de acceso se aplica a más tardar en este tiempo. */
 const ACCESS_TTL = 60 * 60;
 /** Duración del refresh token, en segundos. Rota en cada uso. */
@@ -17,14 +19,15 @@ const PENDING_TTL_MS = 10 * 60_000;
 /** Intentos de login por IP cada 15 minutos: que el servidor no sirva para probar contraseñas contra el SSO. */
 const LOGIN_ATTEMPTS = 10;
 const LOGIN_WINDOW_MS = 15 * 60_000;
-/** Esquemas de redirect_uri que nunca aceptamos. */
-const FORBIDDEN_SCHEMES = new Set(["javascript:", "data:", "file:", "vbscript:"]);
+/** Registros de clientes por IP cada hora. */
+const REGISTER_ATTEMPTS = 20;
+const REGISTER_WINDOW_MS = 60 * 60_000;
 /**
  * Servidor de autorización OAuth 2.1 para los clientes MCP: registro dinámico, PKCE obligatorio y
  * clientes públicos. El usuario se identifica con la UTN, y ese mismo login vincula su aula: la
  * contraseña se usa una vez y no se guarda. Devuelve la URL de la metadata del recurso, que va en el 401.
  */
-export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
+export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }) {
     const resource = `${issuer}/mcp`;
     const metadata = {
         issuer,
@@ -47,15 +50,23 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
     const pending = new Expiring(PENDING_TTL_MS);
     const codes = new Expiring(CODE_TTL_MS);
     const limiter = new RateLimiter(LOGIN_ATTEMPTS, LOGIN_WINDOW_MS);
+    const registerLimiter = new RateLimiter(REGISTER_ATTEMPTS, REGISTER_WINDOW_MS);
     const form = express.urlencoded({ extended: false, limit: "16kb" });
+    const regionals = async () => availableRegionals(await store.listVerifiedRegionals());
     app.get("/.well-known/oauth-authorization-server", cors, (_req, res) => void res.json(metadata));
     app.get(["/.well-known/oauth-protected-resource", "/.well-known/oauth-protected-resource/mcp"], cors, (_req, res) => void res.json(resourceMetadata));
     app.options(["/register", "/token", "/revoke"], cors, (_req, res) => void res.sendStatus(204));
     app.post("/register", cors, express.json({ limit: "16kb" }), async (req, res) => {
+        if (!registerLimiter.allow(req.ip ?? "desconocida")) {
+            return void oauthError(res, 429, "too_many_requests", "Demasiados registros desde esta IP. Probá en una hora.");
+        }
         const body = (req.body ?? {});
         const uris = Array.isArray(body.redirect_uris) ? body.redirect_uris : [];
-        if (!uris.length || !uris.every(isAllowedRedirect)) {
-            return void oauthError(res, 400, "invalid_redirect_uri", "Mandá al menos una redirect_uri válida.");
+        if (!uris.length || uris.some((u) => redirectTrust(u, redirects) === "rejected")) {
+            // Queda en el log para poder habilitar el esquema de una app nueva con UTN_MCP_REDIRECT_ALLOW.
+            logger.warn(`OAuth /register rechazado: ${JSON.stringify(uris).slice(0, 300)}`);
+            return void oauthError(res, 400, "invalid_redirect_uri", "Las redirect_uri tienen que ser HTTPS, de loopback o de una app habilitada en este servidor " +
+                "(UTN_MCP_REDIRECT_ALLOW), y sin fragmento.");
         }
         const client = {
             clientId: randomUUID(),
@@ -82,6 +93,10 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
         if (!q.redirect_uri || !client.redirectUris.includes(q.redirect_uri)) {
             return void errorPage(res, 400, "Redirección inválida", "La redirect_uri no es la que registró el cliente.");
         }
+        const trust = redirectTrust(q.redirect_uri, redirects);
+        if (trust === "rejected") {
+            return void errorPage(res, 400, "App no habilitada", "Esta app vuelve a una dirección que este servidor no acepta.");
+        }
         const fail = (error, description) => redirectWith(res, q.redirect_uri, { error, error_description: description, state: q.state });
         if (q.response_type !== "code")
             return void fail("unsupported_response_type", "Solo se acepta response_type=code.");
@@ -95,22 +110,43 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
             clientId: client.clientId,
             clientName: client.clientName,
             redirectUri: q.redirect_uri,
+            unknownRedirect: trust === "unknown",
             codeChallenge: q.code_challenge,
             state: q.state,
             resource: q.resource,
         });
-        res.type("html").send(loginPage({ action: "/authorize", pendingId: id, clientName: client.clientName }));
+        res.type("html").send(loginPage({
+            action: "/authorize",
+            regionals: await regionals(),
+            pendingId: id,
+            clientName: client.clientName,
+            redirectUri: q.redirect_uri,
+            unknownRedirect: trust === "unknown",
+        }));
     });
     app.post("/authorize", sameOrigin, form, async (req, res) => {
         const id = String(req.body?.pedido ?? "");
         const request = pending.get(id);
         if (!request)
             return void errorPage(res, 400, "Pedido vencido", "Pasó demasiado tiempo. Volvé a conectar desde tu app.");
-        const retry = (error) => res.type("html").send(loginPage({ action: "/authorize", pendingId: id, clientName: request.clientName, error }));
-        const account = await login(req, retry);
+        const list = await regionals();
+        const retry = (error) => res.type("html").send(loginPage({
+            action: "/authorize",
+            regionals: list,
+            pendingId: id,
+            clientName: request.clientName,
+            redirectUri: request.redirectUri,
+            unknownRedirect: request.unknownRedirect,
+            regional: req.body?.regional,
+            error,
+        }));
+        if (request.unknownRedirect && req.body?.acepto !== "si") {
+            return void retry("Para conectar una app que no es un cliente conocido tenés que aceptar el aviso.");
+        }
+        const account = await login(req, list, retry);
         if (!account)
             return;
-        const decision = await access({ username: account.username, email: account.email });
+        const decision = await access({ regional: account.regional.id, username: account.username, email: account.email });
         if (!decision.allowed)
             return void deniedPage(res, decision.reason, decision.url);
         pending.take(id);
@@ -120,7 +156,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
             redirectUri: request.redirectUri,
             codeChallenge: request.codeChallenge,
         });
-        logger.info(`OAuth: ${account.username} autorizó a ${request.clientName ?? request.clientId}.`);
+        logger.info(`OAuth: ${account.username} (${account.regional.id}) autorizó a ${request.clientName ?? request.clientId}.`);
         redirectWith(res, request.redirectUri, { code, state: request.state, iss: issuer });
     });
     app.post("/token", cors, form, express.json({ limit: "16kb" }), async (req, res) => {
@@ -154,7 +190,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
                 const user = await store.findUser(found.userId);
                 if (!user)
                     return void oauthError(res, 400, "invalid_grant", "El usuario ya no existe.");
-                const decision = await access({ username: user.utnUsername, email: user.email });
+                const decision = await access({ regional: user.regional, username: user.utnUsername, email: user.email });
                 if (!decision.allowed)
                     return void oauthError(res, 400, "invalid_grant", decision.reason);
                 return void res.json(await issueTokens(store, user.id, clientId));
@@ -174,16 +210,22 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
         res.sendStatus(200);
     });
     // Volver a iniciar sesión cuando vence la sesión del aula: no emite tokens, solo renueva la sesión.
-    app.get("/login", (_req, res) => void res.type("html").send(loginPage({ action: "/login" })));
+    app.get("/login", async (_req, res) => void res.type("html").send(loginPage({ action: "/login", regionals: await regionals() })));
     app.post("/login", sameOrigin, form, async (req, res) => {
-        const account = await login(req, (error) => res.type("html").send(loginPage({ action: "/login", error })));
+        const list = await regionals();
+        const account = await login(req, list, (error) => res.type("html").send(loginPage({
+            action: "/login",
+            regionals: list,
+            regional: req.body?.regional,
+            error,
+        })));
         if (!account)
             return;
-        logger.info(`OAuth: ${account.username} renovó su sesión del aula.`);
+        logger.info(`OAuth: ${account.username} (${account.regional.id}) renovó su sesión del aula.`);
         res.type("html").send(page("Listo", "<p>Ya renovamos tu sesión del aula. Volvé al chat y pedile al agente que reintente.</p>"));
     });
     /** Entra al aula con lo que mandó el formulario; si falla, vuelve a mostrarlo con el error. */
-    async function login(req, retry) {
+    async function login(req, list, retry) {
         if (!limiter.allow(req.ip ?? "desconocida")) {
             retry("Demasiados intentos. Esperá unos minutos y probá de nuevo.");
             return null;
@@ -194,14 +236,28 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin }) {
             retry("Completá usuario y contraseña.");
             return null;
         }
+        const regional = list.find((r) => r.id === String(req.body?.regional ?? ""));
+        if (!regional) {
+            retry("Elegí tu regional de la lista.");
+            return null;
+        }
+        if (regional.support === "unsupported") {
+            retry(`Todavía no hay soporte para ${regional.name}: su aula todavía no funciona con UTN-MCP.`);
+            return null;
+        }
         try {
-            return await linkAulaAccount(store, { username, password });
+            return await linkAulaAccount(store, regional, { username, password });
         }
         catch (e) {
             if (e instanceof InvalidCredentialsError)
                 retry("La UTN rechazó el usuario o la contraseña.");
+            else if (regional.support === "candidate") {
+                // Nadie la había usado acá: lo más probable es que todavía no ande, no que esté caída.
+                logger.warn(`Regional ${regional.id} sin verificar, falló el login de ${username}: ${e.message}`);
+                retry(`No pudimos usar el aula de ${regional.name}: puede que todavía no ande con UTN-MCP.`);
+            }
             else {
-                logger.error(`Login de ${username}: ${e.message}`);
+                logger.error(`Login de ${username} (${regional.id}): ${e.message}`);
                 retry("No pudimos entrar al aula. Puede que esté caída: probá de nuevo en unos minutos.");
             }
             return null;
@@ -215,27 +271,15 @@ async function issueTokens(store, userId, clientId) {
     return { access_token: accessToken, token_type: "Bearer", expires_in: ACCESS_TTL, refresh_token: refreshToken };
 }
 const pkceChallenge = (verifier) => createHash("sha256").update(verifier).digest("base64url");
-/** HTTPS, http solo en loopback (clientes de escritorio) o un esquema propio de una app (`cursor://`). */
-function isAllowedRedirect(uri) {
-    if (typeof uri !== "string")
-        return false;
-    try {
-        const url = new URL(uri);
-        if (FORBIDDEN_SCHEMES.has(url.protocol) || url.hash)
-            return false;
-        if (url.protocol === "http:")
-            return ["localhost", "127.0.0.1", "[::1]"].includes(url.hostname);
-        return true;
-    }
-    catch {
-        return false;
-    }
-}
 /** Los endpoints que llaman los clientes desde el navegador (como el MCP Inspector) aceptan cualquier origen. */
-const cors = (_req, res, next) => {
+export const cors = (_req, res, next) => {
     res.setHeader("Access-Control-Allow-Origin", "*");
-    res.setHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS");
-    res.setHeader("Access-Control-Allow-Headers", "content-type, authorization, mcp-protocol-version");
+    res.setHeader("Access-Control-Allow-Methods", "GET, POST, DELETE, OPTIONS");
+    res.setHeader("Access-Control-Allow-Headers", "content-type, authorization, mcp-protocol-version, mcp-session-id, last-event-id");
+    // Sin exponerlos, el navegador no deja leer el 401 que arranca el OAuth ni la sesión del transporte.
+    res.setHeader("Access-Control-Expose-Headers", "www-authenticate, mcp-session-id");
+    // Un día, en segundos: el navegador no repite el preflight en cada request.
+    res.setHeader("Access-Control-Max-Age", "86400");
     next();
 };
 function redirectWith(res, base, params) {
@@ -256,16 +300,41 @@ function deniedPage(res, reason, url) {
     res.status(403).type("html").send(page("Sin acceso", `<p>${escapeHtml(reason)}</p>${link}`));
 }
 function loginPage(o) {
+    const where = o.redirectUri ? `<strong>${escapeHtml(describeRedirect(o.redirectUri))}</strong>` : "";
+    const destination = where && !o.unknownRedirect ? ` Al terminar vas a volver a ${where}: si no es la app que estás conectando, no sigas.` : "";
+    const warning = o.unknownRedirect
+        ? `<div class=aviso><p><strong>Esta app no es un cliente conocido.</strong> Al terminar vas a volver a ${where}, ` +
+            "y desde ahí van a poder usar tu aula en tu nombre: leer tus cursos y mensajes, entregar tareas y escribir " +
+            "mensajes. Si alguien te pasó este link y no estás conectando un agente tuyo o de alguien en quien confiás, " +
+            "no sigas: puede ser un intento de robarte la sesión.</p></div>"
+        : "";
+    const consent = o.unknownRedirect
+        ? `<label class=acepto><input type="checkbox" name="acepto" value="si" required><span>Entiendo el riesgo y ` +
+            `conecto esta app bajo mi responsabilidad. Quien administra este servidor no se hace responsable de lo que ` +
+            `${where} haga con mi aula ni con mi sesión.</span></label>`
+        : "";
     const intro = o.pendingId
-        ? `<p>${escapeHtml(o.clientName ?? "Una app")} quiere usar UTN-MCP con tu Aula Virtual. Entrá con tu usuario de la UTN para conectarla.</p>`
+        ? `<p>${escapeHtml(o.clientName ?? "Una app")} quiere usar UTN-MCP con tu Aula Virtual. Entrá con tu usuario de la UTN para conectarla.${destination}</p>`
         : "<p>Tu sesión del aula venció. Entrá con tu usuario de la UTN para renovarla.</p>";
     const error = o.error ? `<p class=error>${escapeHtml(o.error)}</p>` : "";
     const hidden = o.pendingId ? `<input type="hidden" name="pedido" value="${escapeHtml(o.pendingId)}">` : "";
+    const selected = o.regional || defaultRegional().id;
+    const option = (r) => `<option value="${escapeHtml(r.id)}"${r.id === selected ? " selected" : ""}>${escapeHtml(r.name)}</option>`;
+    const group = (label, support) => {
+        const items = o.regionals.filter((r) => r.support === support);
+        return items.length ? `<optgroup label="${escapeHtml(label)}">${items.map(option).join("")}</optgroup>` : "";
+    };
+    const options = group("Regionales", "verified") +
+        group("Agregar mi regional (primera vez acá)", "candidate") +
+        group("Todavía sin soporte", "unsupported");
     return page("Entrar con la UTN", intro +
+        warning +
         error +
         `<form method="post" action="${o.action}">${hidden}` +
+        `<label>Regional<select name="regional" required>${options}</select></label>` +
         `<label>Usuario<input name="usuario" autocomplete="username" autocapitalize="none" required></label>` +
         `<label>Contraseña<input name="contrasena" type="password" autocomplete="current-password" required></label>` +
+        consent +
         `<button type="submit">Entrar</button></form>` +
         "<p class=nota>La contraseña se usa una sola vez para entrar al aula y no se guarda. " +
         'El código es abierto: <a href="https://github.com/nialvape/utn-mcp">github.com/nialvape/utn-mcp</a>.</p>', o.pendingId ? "Conectar app · Aula Virtual" : "Renovar sesión · Aula Virtual");

package/build/server.js

@@ -7,7 +7,7 @@ import { registerAulaVirtualTools } from "./aula-virtual/tools.js";
 export function createServer(aula, files) {
     const server = new McpServer({
         name: "UTN-MCP",
-        version: "0.7.0",
+        version: "0.8.0",
     });
     registerAulaVirtualTools(server, aula, files);
     return server;

package/build/shared/input.js

@@ -9,6 +9,66 @@ export async function ask(question) {
         rl.close();
     }
 }
+/**
+ * Elige una de `options` con las flechas (o su número) y Enter; devuelve el índice. Sin terminal
+ * interactiva (stdin redirigido) muestra la lista numerada y pide el número. Enter solo elige `initial`.
+ */
+export async function askChoice(question, options, initial = 0) {
+    if (!stdin.isTTY) {
+        const list = options.map((o, i) => `  ${i + 1}. ${o}`).join("\n");
+        const answer = await ask(`${question}\n${list}\nElegí una [${initial + 1}]: `);
+        if (!answer)
+            return initial;
+        const index = Number(answer) - 1;
+        if (!options[index])
+            throw new Error(`"${answer}" no es una opción: elegí un número del 1 al ${options.length}.`);
+        return index;
+    }
+    return new Promise((resolve, reject) => {
+        let selected = initial;
+        // Reescribe la lista en el lugar: sube tantas líneas como opciones y borra cada una.
+        const render = (redraw) => {
+            if (redraw)
+                stderr.write(`\x1b[${options.length}A`);
+            for (const [i, o] of options.entries())
+                stderr.write(`\x1b[2K${i === selected ? "❯" : " "} ${o}\n`);
+        };
+        const onData = (chunk) => {
+            if (chunk === "\u0003") {
+                done();
+                reject(new Error("Cancelado"));
+                return;
+            }
+            if (chunk === "\r" || chunk === "\n") {
+                done();
+                stderr.write(`\x1b[${options.length + 1}A\x1b[J${question} ${options[selected]}\n`);
+                resolve(selected);
+                return;
+            }
+            if (chunk === "\x1b[A")
+                selected = (selected - 1 + options.length) % options.length;
+            else if (chunk === "\x1b[B")
+                selected = (selected + 1) % options.length;
+            else if (options[Number(chunk) - 1])
+                selected = Number(chunk) - 1;
+            else
+                return;
+            render(true);
+        };
+        const done = () => {
+            stdin.off("data", onData);
+            stdin.setRawMode(false);
+            stdin.pause();
+            stderr.write("\x1b[?25h"); // vuelve a mostrar el cursor
+        };
+        stderr.write(`\x1b[?25l${question} (flechas y Enter)\n`);
+        render(false);
+        stdin.setRawMode(true);
+        stdin.resume();
+        stdin.setEncoding("utf8");
+        stdin.on("data", onData);
+    });
+}
 export function askHidden(question) {
     if (!stdin.isTTY)
         return ask(question);

package/build/shared/load-env.js

@@ -0,0 +1,5 @@
+import { existsSync } from "node:fs";
+// Se evalúa antes que el resto de los módulos: así las variables del `.env` (como UTN_REGIONAL)
+// están definidas desde que arranca el proceso.
+if (existsSync(".env"))
+    process.loadEnvFile(".env");

package/build/shared/pages.js

@@ -2,43 +2,48 @@
  * Los colores del sitio del proyecto: papel milimetrado, tinta y un azul de acento. Oscuro salvo que
  * el sistema pida claro. Sin fuentes externas: la página de login recibe contraseñas.
  */
-const STYLE = `
-:root{--paper:#0a0b0d;--ink:#e9e7e0;--muted:#8b8a84;--line:rgb(233 231 224/.055);--line-faint:rgb(233 231 224/.025);
---line-strong:rgb(233 231 224/.16);--accent:#6b93ff;--err:#f87171;--panel:rgb(20 21 24/.6);color-scheme:dark}
-@media(prefers-color-scheme:light){:root{--paper:#f3f2ec;--ink:#121212;--muted:#6d6c66;--line:rgb(18 18 18/.07);
---line-faint:rgb(18 18 18/.035);--line-strong:rgb(18 18 18/.2);--accent:#1f4fd6;--err:#b91c1c;--panel:rgb(255 255 255/.55);color-scheme:light}}
-*{box-sizing:border-box}
-body{margin:0;min-height:100vh;color:var(--ink);font:15px/1.55 ui-sans-serif,system-ui,-apple-system,"Segoe UI",sans-serif;
-background-color:var(--paper);background-image:linear-gradient(var(--line) 1px,transparent 1px),
-linear-gradient(90deg,var(--line) 1px,transparent 1px),linear-gradient(var(--line-faint) 1px,transparent 1px),
-linear-gradient(90deg,var(--line-faint) 1px,transparent 1px);background-size:80px 80px,80px 80px,16px 16px,16px 16px;
-background-position:-1px -1px}
-.mono,label,button,.kicker,header{font-family:ui-monospace,SFMono-Regular,Menlo,Consolas,monospace}
-header{display:flex;align-items:center;gap:.5rem;height:3.5rem;padding:0 1rem;border-bottom:1px solid var(--line);
-font-size:13px;letter-spacing:-.01em;background:color-mix(in srgb,var(--paper) 75%,transparent)}
-header svg{height:1.5rem;width:auto}
-main{max-width:28rem;margin:3rem auto;padding:0 1rem}
-.card{position:relative;border:1px solid var(--line-strong);background:var(--panel);padding:1.5rem}
-.card::before,.card::after{content:"";position:absolute;width:9px;height:9px;border-color:var(--ink);opacity:.55}
-.card::before{top:-1px;left:-1px;border-top:1px solid;border-left:1px solid}
-.card::after{bottom:-1px;right:-1px;border-bottom:1px solid;border-right:1px solid}
-.kicker{margin:0 0 .5rem;font-size:10px;text-transform:uppercase;letter-spacing:.16em;color:var(--muted)}
-h1{margin:0 0 1rem;font-size:1.5rem;font-weight:600;letter-spacing:-.02em;line-height:1.2}
-p{margin:.75rem 0}
-a{color:var(--accent);text-underline-offset:4px}
-form{display:flex;flex-direction:column;gap:1rem;margin:1.5rem 0}
-label{display:flex;flex-direction:column;gap:.4rem;font-size:10px;text-transform:uppercase;letter-spacing:.16em;color:var(--muted)}
-input{font:inherit;font-size:15px;letter-spacing:normal;text-transform:none;color:var(--ink);background:transparent;
-border:1px solid var(--line-strong);border-radius:0;padding:.65rem .75rem}
-input:focus{outline:none;border-color:var(--accent)}
-input[type=file]{padding:.5rem}
-button{font-size:12px;text-transform:uppercase;letter-spacing:.14em;border:0;border-radius:0;padding:.8rem 1rem;
-background:var(--ink);color:var(--paper);cursor:pointer;transition:background .15s}
-button:hover{background:var(--accent)}
-.nota{font-size:13px;color:var(--muted)}
-.error{border-left:2px solid var(--err);padding-left:.75rem;color:var(--err)}
-ul{padding-left:1.2rem}
-::selection{background:var(--accent);color:var(--paper)}
+const STYLE = `
+:root{--paper:#0a0b0d;--ink:#e9e7e0;--muted:#8b8a84;--line:rgb(233 231 224/.055);--line-faint:rgb(233 231 224/.025);
+--line-strong:rgb(233 231 224/.16);--accent:#6b93ff;--err:#f87171;--panel:rgb(20 21 24/.6);color-scheme:dark}
+@media(prefers-color-scheme:light){:root{--paper:#f3f2ec;--ink:#121212;--muted:#6d6c66;--line:rgb(18 18 18/.07);
+--line-faint:rgb(18 18 18/.035);--line-strong:rgb(18 18 18/.2);--accent:#1f4fd6;--err:#b91c1c;--panel:rgb(255 255 255/.55);color-scheme:light}}
+*{box-sizing:border-box}
+body{margin:0;min-height:100vh;color:var(--ink);font:15px/1.55 ui-sans-serif,system-ui,-apple-system,"Segoe UI",sans-serif;
+background-color:var(--paper);background-image:linear-gradient(var(--line) 1px,transparent 1px),
+linear-gradient(90deg,var(--line) 1px,transparent 1px),linear-gradient(var(--line-faint) 1px,transparent 1px),
+linear-gradient(90deg,var(--line-faint) 1px,transparent 1px);background-size:80px 80px,80px 80px,16px 16px,16px 16px;
+background-position:-1px -1px}
+.mono,label,button,.kicker,header{font-family:ui-monospace,SFMono-Regular,Menlo,Consolas,monospace}
+header{display:flex;align-items:center;gap:.5rem;height:3.5rem;padding:0 1rem;border-bottom:1px solid var(--line);
+font-size:13px;letter-spacing:-.01em;background:color-mix(in srgb,var(--paper) 75%,transparent)}
+header svg{height:1.5rem;width:auto}
+main{max-width:28rem;margin:3rem auto;padding:0 1rem}
+.card{position:relative;border:1px solid var(--line-strong);background:var(--panel);padding:1.5rem}
+.card::before,.card::after{content:"";position:absolute;width:9px;height:9px;border-color:var(--ink);opacity:.55}
+.card::before{top:-1px;left:-1px;border-top:1px solid;border-left:1px solid}
+.card::after{bottom:-1px;right:-1px;border-bottom:1px solid;border-right:1px solid}
+.kicker{margin:0 0 .5rem;font-size:10px;text-transform:uppercase;letter-spacing:.16em;color:var(--muted)}
+h1{margin:0 0 1rem;font-size:1.5rem;font-weight:600;letter-spacing:-.02em;line-height:1.2}
+p{margin:.75rem 0}
+a{color:var(--accent);text-underline-offset:4px}
+form{display:flex;flex-direction:column;gap:1rem;margin:1.5rem 0}
+label{display:flex;flex-direction:column;gap:.4rem;font-size:10px;text-transform:uppercase;letter-spacing:.16em;color:var(--muted)}
+input,select{font:inherit;font-size:15px;letter-spacing:normal;text-transform:none;color:var(--ink);background:transparent;
+border:1px solid var(--line-strong);border-radius:0;padding:.65rem .75rem}
+input:focus,select:focus{outline:none;border-color:var(--accent)}
+select option{background:var(--paper);color:var(--ink)}
+input[type=file]{padding:.5rem}
+button{font-size:12px;text-transform:uppercase;letter-spacing:.14em;border:0;border-radius:0;padding:.8rem 1rem;
+background:var(--ink);color:var(--paper);cursor:pointer;transition:background .15s}
+button:hover{background:var(--accent)}
+.nota{font-size:13px;color:var(--muted)}
+.error{border-left:2px solid var(--err);padding-left:.75rem;color:var(--err)}
+.aviso{border:1px solid var(--err);padding:0 1rem;margin:1rem 0}
+label.acepto{flex-direction:row;align-items:flex-start;gap:.6rem;font:13px/1.5 ui-sans-serif,system-ui,sans-serif;
+text-transform:none;letter-spacing:normal;color:var(--ink)}
+input[type=checkbox]{padding:0;margin:.2rem 0 0;accent-color:var(--accent)}
+ul{padding-left:1.2rem}
+::selection{background:var(--accent);color:var(--paper)}
 `.replace(/\n/g, "");
 /** El emblema del proyecto: el de la UTN con "MCP" en lugar de "UTN". */
 const MARK = '<svg viewBox="0 0 100 132" fill="none" aria-hidden="true"><g stroke="currentColor" stroke-width="11">' +

package/build/shared/paths.js

@@ -9,7 +9,7 @@ export function configDir() {
     }
     return join(process.env.XDG_CONFIG_HOME ?? join(homedir(), ".config"), "utn-mcp");
 }
-/** Token de Moodle + cookies del SSO del modo local. */
+/** Token de Moodle del modo local. */
 export const sessionFile = () => join(configDir(), "session.json");
 /** Base de usuarios, tokens y sesiones del modo HTTP: UTN_MCP_DB o un SQLite en la carpeta de configuración. */
 export const storeFile = () => process.env.UTN_MCP_DB ?? join(configDir(), "utn-mcp.db");