valtech-components 4.0.33 → 4.0.35

package/lib/components/atoms/rights-footer/rights-footer.component.d.ts

@@ -39,11 +39,11 @@ export declare class RightsFooterComponent {
     /**
      * Computed helper for align prop in template.
      */
-    propsAlign: import("@angular/core").Signal<"left" | "center" | "right">;
+    propsAlign: import("@angular/core").Signal<"center" | "left" | "right">;
     /**
      * Computed helper for color prop in template.
      */
-    propsColor: import("@angular/core").Signal<"success" | "medium" | "primary" | "secondary" | "tertiary" | "warning" | "danger" | "light" | "dark">;
+    propsColor: import("@angular/core").Signal<"light" | "dark" | "medium" | "success" | "warning" | "danger" | "primary" | "secondary" | "tertiary">;
     /**
      * Computed helper for withMargin prop in template.
      */

package/lib/components/molecules/username-input/username-input.component.d.ts

@@ -35,7 +35,7 @@ export declare class UsernameInputComponent implements OnInit, OnDestroy {
     availabilityStatus: import("@angular/core").WritableSignal<UsernameAvailabilityStatus>;
     hasError: import("@angular/core").Signal<boolean>;
     showStatusMessage: import("@angular/core").Signal<boolean>;
-    statusColor: import("@angular/core").Signal<"success" | "danger">;
+    statusColor: import("@angular/core").Signal<"danger" | "success">;
     statusMessage: import("@angular/core").Signal<"" | "Username disponible" | "Username ya está en uso">;
     errorMessage: import("@angular/core").Signal<string>;
     ngOnInit(): void;

package/lib/components/organisms/article/article.component.d.ts

@@ -57,7 +57,7 @@ export declare class ArticleComponent implements OnInit {
         linkConfig?: import("valtech-components").LinkProcessorConfig;
         allowPartialBold?: boolean;
         authorColor?: import("@ionic/core").Color;
-        alignment?: "left" | "center" | "right";
+        alignment?: "center" | "left" | "right";
         showQuoteMark?: boolean;
     };
     getHighlightTextProps(element: ArticleElement): {
@@ -76,7 +76,7 @@ export declare class ArticleComponent implements OnInit {
     getHighlightColor(element: ArticleElement): string;
     getButtonProps(element: ArticleElement): {
         actionType?: import("valtech-components").ActionType;
-        expand?: "full" | "block";
+        expand?: "block" | "full";
         link?: string;
         href?: string;
         routerLink?: string | any[];
@@ -92,7 +92,7 @@ export declare class ArticleComponent implements OnInit {
         icon?: import("valtech-components").IconMetada;
         shape?: "round";
         size?: "default" | "small" | "large";
-        fill?: "default" | "clear" | "outline" | "solid";
+        fill?: "default" | "outline" | "clear" | "solid";
         type: "reset" | "submit" | "button";
         token?: string;
         ref?: any;

package/lib/components/organisms/edit-org-modal/edit-org-modal.component.d.ts

@@ -37,6 +37,7 @@ export declare class EditOrgModalComponent implements OnInit {
     i18nNamespace: string;
     private readonly saving;
     protected readonly logoUrl: WritableSignal<string>;
+    protected readonly removingLogo: WritableSignal<boolean>;
     readonly formMeta: WritableSignal<FormMetadata>;
     protected readonly orgInitials: import("@angular/core").Signal<string>;
     constructor();
@@ -46,6 +47,7 @@ export declare class EditOrgModalComponent implements OnInit {
     onFormSubmit(event: FormSubmit): void;
     private save;
     onLogoUploaded(result: AvatarUploadResult): Promise<void>;
+    onRemoveLogo(): Promise<void>;
     dismiss(): void;
     t(key: string): string;
     static ɵfac: i0.ɵɵFactoryDeclaration<EditOrgModalComponent, never>;

package/lib/components/organisms/landing-steps/landing-steps.component.d.ts

@@ -4,7 +4,7 @@ export declare class LandingStepsComponent {
     private readonly props_;
     set props(v: LandingStepsMetadata);
     readonly p: import("@angular/core").Signal<LandingStepsMetadata>;
-    readonly cols: import("@angular/core").Signal<2 | 3 | 4>;
+    readonly cols: import("@angular/core").Signal<4 | 2 | 3>;
     readonly accentColor: import("@angular/core").Signal<string>;
     static ɵfac: i0.ɵɵFactoryDeclaration<LandingStepsComponent, never>;
     static ɵcmp: i0.ɵɵComponentDeclaration<LandingStepsComponent, "val-landing-steps", never, { "props": { "alias": "props"; "required": false; }; }, {}, never, never, true, never>;

package/lib/components/organisms/notification-preferences-view/notification-preferences-view.component.d.ts

@@ -90,7 +90,7 @@ export declare class NotificationPreferencesViewComponent implements OnInit, OnD
     readonly busyLabel: import("@angular/core").Signal<string>;
     readonly contextMessage: import("@angular/core").Signal<string>;
     readonly alertVariant: import("@angular/core").Signal<"warning" | "danger" | "info">;
-    readonly alertIcon: import("@angular/core").Signal<"alert-circle-outline" | "close-circle-outline">;
+    readonly alertIcon: import("@angular/core").Signal<"close-circle-outline" | "alert-circle-outline">;
     readonly toggleProps: import("@angular/core").Signal<ToggleInputMetadata>;
     readonly retryButtonProps: import("@angular/core").Signal<Partial<ButtonMetadata>>;
     readonly tokenPreview: import("@angular/core").Signal<string>;

package/lib/components/organisms/organization-view/organization-view.component.d.ts

@@ -54,6 +54,8 @@ export declare class OrganizationViewComponent {
     /** Namespace i18n resuelto (capturado para llamadas no-reactivas). */
     private get ns();
     readonly org: import("@angular/core").WritableSignal<Organization>;
+    /** Logo de org que falló al cargar → oculta el bloque (cae a la card sin logo). */
+    readonly logoFailed: import("@angular/core").WritableSignal<boolean>;
     readonly loading: import("@angular/core").WritableSignal<boolean>;
     readonly leaving: import("@angular/core").WritableSignal<boolean>;
     readonly permissionsOpen: import("@angular/core").WritableSignal<boolean>;

package/lib/components/organisms/switch-org-modal/switch-org-modal.component.d.ts

@@ -37,6 +37,11 @@ export declare class SwitchOrgModalComponent {
     readonly query: import("@angular/core").WritableSignal<string>;
     readonly switchingId: import("@angular/core").WritableSignal<string>;
     protected readonly user: import("@angular/core").Signal<import("valtech-components").AuthUser>;
+    /** Avatar de usuario que falló al cargar → cae a iniciales. */
+    protected readonly userAvatarFailed: import("@angular/core").WritableSignal<boolean>;
+    /** IDs de orgs cuyo logo falló al cargar → caen al ícono business-outline. */
+    protected readonly failedLogos: import("@angular/core").WritableSignal<Set<string>>;
+    protected onLogoError(orgId: string): void;
     protected readonly userInitials: import("@angular/core").Signal<string>;
     readonly activeOrgId: import("@angular/core").Signal<string>;
     readonly filteredOrgs: import("@angular/core").Signal<Organization[]>;

package/lib/services/auth/oauth-callback.component.d.ts

@@ -25,6 +25,12 @@ import * as i0 from "@angular/core";
  */
 export declare class OAuthCallbackComponent implements OnInit {
     message: string;
+    /**
+     * Nonce que el opener generó y pasó por el flujo (round-trip backend). Se
+     * reenvía al opener en cada mensaje para que verifique el origen del callback
+     * y rechace un oauth_callback_data forjado en localStorage por XSS (M-07).
+     */
+    private clientNonce;
     ngOnInit(): void;
     private processCallback;
     private sendToParent;

package/lib/services/auth/oauth.service.d.ts

@@ -44,6 +44,13 @@ export declare class OAuthService {
     private popup;
     private messageHandler;
     private checkClosedInterval;
+    /**
+     * Nonce del flujo OAuth en curso (M-07). Vive SOLO en memoria — un XSS no lo
+     * puede leer de localStorage/sessionStorage. Viaja al backend (client_nonce),
+     * vuelve en el callback, y se verifica acá → rechaza un oauth_callback_data
+     * forjado por XSS.
+     */
+    private expectedNonce;
     constructor(config: ValtechAuthConfig | null, http: HttpClient, ngZone: NgZone);
     /**
      * Inicia flujo OAuth en popup.
@@ -94,6 +101,27 @@ export declare class OAuthService {
      * Limpia recursos del popup.
      */
     private cleanup;
+    /**
+     * Genera un nonce aleatorio (CSPRNG) url-safe para el flujo OAuth (M-07).
+     */
+    private generateNonce;
+    /**
+     * Verifica que el callback traiga el nonce del flujo actual (M-07).
+     *
+     * Estricto: si el opener generó un nonce (siempre, en clientes nuevos) exige
+     * que el callback lo traiga y coincida. Un payload forjado en localStorage por
+     * XSS no conoce el nonce (vive solo en memoria) → se rechaza.
+     *
+     * ⚠️ Requiere que el backend ya eche `client_nonce` en el callback. Deploy:
+     * backend ANTES que el frontend, si no este check rechaza callbacks legítimos
+     * (sin nonce) durante la ventana de transición.
+     */
+    private isNonceValid;
+    /**
+     * Valida la forma del payload del callback (M-07): debe ser un error o tokens
+     * como objeto. Bloquea inyecciones malformadas (primitivos, shapes basura).
+     */
+    private isCallbackShapeValid;
     static ɵfac: i0.ɵɵFactoryDeclaration<OAuthService, [{ optional: true; }, null, null]>;
     static ɵprov: i0.ɵɵInjectableDeclaration<OAuthService>;
 }

package/lib/services/auth/storage.service.d.ts

@@ -23,7 +23,7 @@ export declare class AuthStorageService {
     /**
      * Guarda el refresh token (token rotation).
      */
-    saveRefreshToken(token: string): void;
+    saveRefreshToken(_token: string): void;
     /**
      * Guarda los permisos actualizados.
      */

package/lib/services/auth/types.d.ts

@@ -852,6 +852,12 @@ export interface OAuthCallbackData {
     tokens?: OAuthResult;
     /** Error (si falló) */
     error?: OAuthError;
+    /**
+     * Nonce del opener (M-07). El popup lo recibe del backend (round-trip por el
+     * OAuthState firmado) y lo reenvía; el opener lo verifica contra el que generó
+     * en memoria → rechaza un oauth_callback_data forjado en localStorage por XSS.
+     */
+    nonce?: string;
 }
 /**
  * Proveedor OAuth vinculado al usuario.

package/lib/services/link-processor.service.d.ts

@@ -65,6 +65,18 @@ export declare class LinkProcessorService {
      * ```
      */
     processLinks(text: string, config?: LinkProcessorConfig): SafeHtml | string;
+    /**
+     * Devuelve un valor seguro para el atributo href. Como processLinks usa
+     * bypassSecurityTrustHtml (desactiva la sanitización automática de Angular),
+     * cada URL se valida explícitamente: el sanitizador de Angular neutraliza
+     * esquemas peligrosos (javascript:, data:, vbscript:) prefijándolos con
+     * `unsafe:`, y luego se escapa el resultado para el contexto de atributo —
+     * evitando que una URL como `[x](javascript:alert(1))` o `http://a" onx="..."`
+     * inyecte script o atributos.
+     */
+    private safeHref;
+    /** Escapa los caracteres especiales de HTML (texto y valores de atributo). */
+    private escapeHtml;
     /**
      * Detecta si un texto contiene enlaces (URLs, rutas internas o enlaces Markdown).
      *

package/lib/services/org/types.d.ts

@@ -31,6 +31,8 @@ export interface UpdateOrgRequest {
     name?: string;
     description?: string;
     logoUrl?: string;
+    /** Borra el logo de la org. Distinto de logoUrl vacío (= "no cambiar"). */
+    clearLogo?: boolean;
 }
 export interface InviteUserRequest {
     email?: string;

package/lib/services/requests/request-visibility.d.ts

@@ -0,0 +1,35 @@
+import { RequestTypeConfig } from './types';
+/**
+ * Contexto del viewer para decidir qué tipos de solicitud puede ver/enviar.
+ * Lo arma la app desde su estado de auth (AuthService).
+ */
+export interface RequestViewerContext {
+    /** Hay sesión activa. */
+    isAuthenticated: boolean;
+    /**
+     * Usuario activo/verificado (claim `verified` del token = Status ACTIVE).
+     * Solo relevante si isAuthenticated. Si se omite, se asume verificado
+     * (en la práctica el signin solo emite tokens a cuentas ACTIVE).
+     */
+    isVerified?: boolean;
+    /** Org activa del usuario (para tipos ORG/INTERNAL). */
+    activeOrg?: string;
+}
+/**
+ * ¿Este viewer puede ENVIAR una solicitud de este tipo? Espeja el gate
+ * server-side (`backend/.../request: submissionTargetOrg`). Es solo UX — el
+ * backend siempre valida —, pero evita que cada app reimplemente (mal) el filtro:
+ *
+ *  - PUBLIC        → cualquiera (anónimo solo si allowAnonymous).
+ *  - AUTHENTICATED → logueado + verificado (cross-org).
+ *  - ORG/INTERNAL  → miembro de la org dueña (activeOrg === type.orgId).
+ */
+export declare function canSubmitRequestType(type: RequestTypeConfig, ctx: RequestViewerContext): boolean;
+/** Filtra el catálogo a los tipos que el viewer puede enviar. */
+export declare function selectableRequestTypes(types: RequestTypeConfig[], ctx: RequestViewerContext): RequestTypeConfig[];
+/**
+ * Modo de envío a usar: `'anonymous'` solo para tipos PUBLIC + allowAnonymous sin
+ * sesión; en el resto `'authenticated'`. Mapea a
+ * `RequestService.createAnonymousRequest` vs `createRequest`.
+ */
+export declare function requestSubmitMode(type: RequestTypeConfig, ctx: RequestViewerContext): 'anonymous' | 'authenticated';

package/lib/services/requests/types.d.ts

@@ -49,7 +49,7 @@ export interface FieldSchemaDef {
     order: number;
 }
 /** Quién puede leer un tipo de solicitud (y sus solicitudes públicas). */
-export type RequestVisibility = 'PUBLIC' | 'ORG' | 'INTERNAL';
+export type RequestVisibility = 'PUBLIC' | 'AUTHENTICATED' | 'ORG' | 'INTERNAL';
 export interface RequestTypeConfig {
     typeId: string;
     appId: string;
@@ -58,7 +58,12 @@ export interface RequestTypeConfig {
     labelEn: string;
     fieldSchema: FieldSchemaDef[];
     allowAnonymous: boolean;
-    /** PUBLIC: cualquiera · ORG/INTERNAL: solo miembros de la org. Default ORG. */
+    /**
+     * Quién puede leer/enviar este tipo (debe coincidir con el backend):
+     *  - PUBLIC        cualquiera, incluso sin login (anónimo si allowAnonymous).
+     *  - AUTHENTICATED cualquier usuario logueado + verificado, cross-org.
+     *  - ORG/INTERNAL  solo miembros de la org dueña. Default ORG.
+     */
     visibility?: RequestVisibility;
     createdAt: string;
     updatedAt: string;

package/lib/version.d.ts

@@ -2,4 +2,4 @@
  * Current version of valtech-components.
  * This is automatically updated during the publish process.
  */
-export declare const VERSION = "4.0.33";
+export declare const VERSION = "4.0.35";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "valtech-components",
-  "version": "4.0.33",
+  "version": "4.0.35",
   "private": false,
   "bin": {
     "valtech-firebase-config": "./src/lib/services/firebase/scripts/generate-sw-config.js"

package/public-api.d.ts

@@ -429,6 +429,7 @@ export * from './lib/services/requests/types';
 export * from './lib/services/requests/request.service';
 export * from './lib/services/requests/request-form-builder.service';
 export * from './lib/services/requests/request-firestore.service';
+export * from './lib/services/requests/request-visibility';
 export * from './lib/components/organisms/article-strip/article-strip.component';
 export * from './lib/components/organisms/article-strip/types';
 export * from './lib/components/molecules/metric-card/metric-card.component';

package/src/lib/services/firebase/firebase-messaging-sw.js

@@ -0,0 +1,145 @@
+/**
+ * Firebase Messaging Service Worker
+ *
+ * Service Worker estático para Firebase Cloud Messaging.
+ * Carga la configuración dinámicamente desde /firebase-config.js.
+ *
+ * CONFIGURACIÓN:
+ * 1. Crea firebase.config.json con tu configuración de Firebase
+ * 2. Ejecuta: npm run generate:firebase-config
+ *    Esto genera /firebase-config.js con: self.FIREBASE_CONFIG = {...}
+ * 3. Agrega este SW y firebase-config.js a los assets de angular.json
+ *
+ * Ver README.md para documentación completa.
+ */
+
+// Importar Firebase scripts
+importScripts('https://www.gstatic.com/firebasejs/10.7.0/firebase-app-compat.js');
+importScripts('https://www.gstatic.com/firebasejs/10.7.0/firebase-messaging-compat.js');
+
+// Importar configuración desde archivo externo (generado en build)
+// Este archivo define: self.FIREBASE_CONFIG = { ... }
+try {
+  importScripts('/firebase-config.js');
+} catch (e) {
+  console.error('[SW] No se pudo cargar firebase-config.js:', e);
+}
+
+// Verificar que la configuración existe
+if (!self.FIREBASE_CONFIG) {
+  console.error('[SW] FIREBASE_CONFIG no está definido.');
+  console.error('[SW] Ejecuta: npm run generate:firebase-config');
+} else {
+  // Inicializar Firebase
+  firebase.initializeApp(self.FIREBASE_CONFIG);
+
+  // Obtener instancia de messaging
+  const messaging = firebase.messaging();
+
+  /**
+   * Handler para mensajes en background.
+   */
+  messaging.onBackgroundMessage((payload) => {
+    console.log('[SW] Mensaje recibido en background:', payload);
+
+    // Web push usa mensajes data-only (sin bloque `notification`) para que el
+    // navegador NO auto-muestre una notificación duplicada — el SW es el único
+    // que la pinta. Title/body/icon llegan dentro de `data`. Se mantiene el
+    // fallback a `payload.notification` por compatibilidad con mensajes
+    // legacy o nativos que sí traen el bloque.
+    const data = payload.data || {};
+    const notificationTitle =
+      payload.notification?.title || data.title || 'Nueva notificación';
+    const notificationBody = payload.notification?.body || data.body || '';
+    const notificationIcon =
+      payload.notification?.icon || data.icon || '/assets/icon/favicon.ico';
+
+    const notificationOptions = {
+      body: notificationBody,
+      icon: notificationIcon,
+      image: payload.notification?.image,
+      badge: '/assets/icon/badge.png',
+      tag: payload.messageId || data.messageId || 'default',
+      data: {
+        ...data,
+        messageId: payload.messageId || data.messageId,
+        title: notificationTitle,
+        body: notificationBody,
+      },
+      vibrate: [200, 100, 200],
+      requireInteraction: data.require_interaction === 'true',
+    };
+
+    return self.registration.showNotification(notificationTitle, notificationOptions);
+  });
+
+  /**
+   * Handler para clicks en notificaciones.
+   */
+  self.addEventListener('notificationclick', (event) => {
+    console.log('[SW] Click en notificación:', event);
+    event.notification.close();
+
+    const data = event.notification.data || {};
+    let targetUrl = '/';
+
+    if (data.route) {
+      targetUrl = data.route;
+    } else if (data.url) {
+      targetUrl = data.url;
+    }
+
+    if (data.query_params) {
+      const separator = targetUrl.includes('?') ? '&' : '?';
+      targetUrl += separator + data.query_params;
+    }
+
+    const notificationPayload = {
+      type: 'NOTIFICATION_CLICK',
+      notification: {
+        title: data.title,
+        body: data.body,
+        data: data,
+        messageId: data.messageId,
+      },
+    };
+
+    event.waitUntil(
+      clients
+        .matchAll({ type: 'window', includeUncontrolled: true })
+        .then((clientList) => {
+          // Siempre enviar postMessage para que la app pueda reaccionar
+          for (const client of clientList) {
+            client.postMessage(notificationPayload);
+          }
+
+          // Navegar si hay route o url
+          if (targetUrl !== '/') {
+            for (const client of clientList) {
+              if ('navigate' in client) {
+                return client.navigate(targetUrl).then((c) => c?.focus());
+              }
+            }
+            // Si no hay cliente abierto, abrir nueva ventana
+            if (clients.openWindow) {
+              return clients.openWindow(targetUrl);
+            }
+          }
+
+          // Solo hacer focus si no hay navegación
+          for (const client of clientList) {
+            if ('focus' in client) {
+              return client.focus();
+            }
+          }
+          if (clients.openWindow) {
+            return clients.openWindow('/');
+          }
+        })
+    );
+  });
+
+  self.addEventListener('notificationclose', (event) => {
+    console.log('[SW] Notificación cerrada:', event.notification.tag);
+  });
+}