valtech-components 4.0.34 → 4.0.35

package/lib/components/atoms/rights-footer/rights-footer.component.d.ts

@@ -43,7 +43,7 @@ export declare class RightsFooterComponent {
     /**
      * Computed helper for color prop in template.
      */
-    propsColor: import("@angular/core").Signal<"dark" | "primary" | "secondary" | "tertiary" | "success" | "warning" | "danger" | "light" | "medium">;
+    propsColor: import("@angular/core").Signal<"light" | "dark" | "medium" | "success" | "warning" | "danger" | "primary" | "secondary" | "tertiary">;
     /**
      * Computed helper for withMargin prop in template.
      */

package/lib/components/atoms/text/text.component.d.ts

@@ -11,7 +11,7 @@ export declare class TextComponent {
      */
     displayContent: import("@angular/core").Signal<string>;
     propsColor: import("@angular/core").Signal<import("@ionic/core").Color>;
-    propsSize: import("@angular/core").Signal<"medium" | "small" | "large" | "xlarge">;
+    propsSize: import("@angular/core").Signal<"small" | "medium" | "large" | "xlarge">;
     propsBold: import("@angular/core").Signal<boolean>;
     propsProcessLinks: import("@angular/core").Signal<boolean>;
     propsAllowPartialBold: import("@angular/core").Signal<boolean>;

package/lib/components/atoms/user-avatar/user-avatar.component.d.ts

@@ -38,7 +38,7 @@ export declare class UserAvatarComponent {
     readonly imageUrl: import("@angular/core").Signal<string>;
     /** Iniciales — 1-2 chars derivados de name (preferred) o email prefix. */
     readonly initials: import("@angular/core").Signal<string>;
-    readonly sizeClass: import("@angular/core").Signal<"medium" | "small" | "large" | "xlarge" | "xsmall">;
+    readonly sizeClass: import("@angular/core").Signal<"small" | "medium" | "large" | "xlarge" | "xsmall">;
     readonly shapeClass: import("@angular/core").Signal<"circle" | "square">;
     /** Background — explicito o derivado deterministicamente del user. */
     readonly bgColor: import("@angular/core").Signal<string>;

package/lib/components/molecules/cta-card/cta-card.component.d.ts

@@ -35,7 +35,7 @@ export declare class CtaCardComponent {
     /** Emitted with the token of the clicked action button */
     onAction: EventEmitter<string>;
     /** Merged configuration with defaults */
-    config: import("@angular/core").Signal<CtaCardMetadata & Required<Pick<CtaCardMetadata, "padding" | "borderRadius" | "bordered" | "shadowed" | "align">>>;
+    config: import("@angular/core").Signal<CtaCardMetadata & Required<Pick<CtaCardMetadata, "borderRadius" | "bordered" | "shadowed" | "align" | "padding">>>;
     getBackground(): string;
     getColor(): string | null;
     static ɵfac: i0.ɵɵFactoryDeclaration<CtaCardComponent, never>;

package/lib/components/molecules/features-list/features-list.component.d.ts

@@ -41,7 +41,7 @@ export declare class FeaturesListComponent {
         iconColor: string;
         iconSize: number;
         mode: "horizontal" | "vertical";
-        gap: "medium" | "small" | "large";
+        gap: "small" | "medium" | "large";
         alignment: "center" | "start";
         imageShape: "circle" | "square";
         maxVisible: number;

package/lib/components/molecules/metric-card/metric-card.component.d.ts

@@ -28,7 +28,7 @@ export declare class MetricCardComponent {
     /** Emitted with the token of the clicked action */
     onAction: EventEmitter<string>;
     /** Merged configuration with defaults */
-    config: import("@angular/core").Signal<MetricCardMetadata & Required<Pick<MetricCardMetadata, "padding" | "borderRadius" | "bordered" | "shadowed">>>;
+    config: import("@angular/core").Signal<MetricCardMetadata & Required<Pick<MetricCardMetadata, "borderRadius" | "bordered" | "shadowed" | "padding">>>;
     static ɵfac: i0.ɵɵFactoryDeclaration<MetricCardComponent, never>;
     static ɵcmp: i0.ɵɵComponentDeclaration<MetricCardComponent, "val-metric-card", never, { "props": { "alias": "props"; "required": false; "isSignal": true; }; }, { "onAction": "onAction"; }, never, never, true, never>;
 }

package/lib/components/molecules/username-input/username-input.component.d.ts

@@ -35,7 +35,7 @@ export declare class UsernameInputComponent implements OnInit, OnDestroy {
     availabilityStatus: import("@angular/core").WritableSignal<UsernameAvailabilityStatus>;
     hasError: import("@angular/core").Signal<boolean>;
     showStatusMessage: import("@angular/core").Signal<boolean>;
-    statusColor: import("@angular/core").Signal<"success" | "danger">;
+    statusColor: import("@angular/core").Signal<"danger" | "success">;
     statusMessage: import("@angular/core").Signal<"" | "Username disponible" | "Username ya está en uso">;
     errorMessage: import("@angular/core").Signal<string>;
     ngOnInit(): void;

package/lib/components/organisms/article/article.component.d.ts

@@ -45,7 +45,7 @@ export declare class ArticleComponent implements OnInit {
     getVideoElement(element: ArticleElement): ArticleVideoElement;
     getCustomElement(element: ArticleElement): ArticleCustomElement;
     getQuoteTextProps(element: ArticleElement): {
-        size: "medium" | "small" | "large" | "xlarge";
+        size: "small" | "medium" | "large" | "xlarge";
         color: import("@ionic/core").Color;
         content?: string;
         bold: boolean;
@@ -61,7 +61,7 @@ export declare class ArticleComponent implements OnInit {
         showQuoteMark?: boolean;
     };
     getHighlightTextProps(element: ArticleElement): {
-        size: "medium" | "small" | "large" | "xlarge";
+        size: "small" | "medium" | "large" | "xlarge";
         color: import("@ionic/core").Color;
         content?: string;
         bold: boolean;
@@ -92,8 +92,8 @@ export declare class ArticleComponent implements OnInit {
         icon?: import("valtech-components").IconMetada;
         shape?: "round";
         size?: "default" | "small" | "large";
-        fill?: "default" | "solid" | "clear" | "outline";
-        type: "submit" | "button" | "reset";
+        fill?: "default" | "outline" | "clear" | "solid";
+        type: "reset" | "submit" | "button";
         token?: string;
         ref?: any;
         handler?: (value: any) => any;

package/lib/components/organisms/auth-cta/auth-cta.component.d.ts

@@ -35,7 +35,7 @@ export declare class AuthCtaComponent {
     onRegister: EventEmitter<void>;
     constructor();
     /** Merged configuration with defaults */
-    config: import("@angular/core").Signal<AuthCtaMetadata & Required<Pick<AuthCtaMetadata, "padding" | "borderRadius" | "align">>>;
+    config: import("@angular/core").Signal<AuthCtaMetadata & Required<Pick<AuthCtaMetadata, "borderRadius" | "align" | "padding">>>;
     loginLabel: import("@angular/core").Signal<string>;
     registerLabel: import("@angular/core").Signal<string>;
     resolvedBg: import("@angular/core").Signal<string>;

package/lib/components/organisms/landing-steps/landing-steps.component.d.ts

@@ -4,7 +4,7 @@ export declare class LandingStepsComponent {
     private readonly props_;
     set props(v: LandingStepsMetadata);
     readonly p: import("@angular/core").Signal<LandingStepsMetadata>;
-    readonly cols: import("@angular/core").Signal<2 | 3 | 4>;
+    readonly cols: import("@angular/core").Signal<4 | 2 | 3>;
     readonly accentColor: import("@angular/core").Signal<string>;
     static ɵfac: i0.ɵɵFactoryDeclaration<LandingStepsComponent, never>;
     static ɵcmp: i0.ɵɵComponentDeclaration<LandingStepsComponent, "val-landing-steps", never, { "props": { "alias": "props"; "required": false; }; }, {}, never, never, true, never>;

package/lib/services/auth/oauth-callback.component.d.ts

@@ -25,6 +25,12 @@ import * as i0 from "@angular/core";
  */
 export declare class OAuthCallbackComponent implements OnInit {
     message: string;
+    /**
+     * Nonce que el opener generó y pasó por el flujo (round-trip backend). Se
+     * reenvía al opener en cada mensaje para que verifique el origen del callback
+     * y rechace un oauth_callback_data forjado en localStorage por XSS (M-07).
+     */
+    private clientNonce;
     ngOnInit(): void;
     private processCallback;
     private sendToParent;

package/lib/services/auth/oauth.service.d.ts

@@ -44,6 +44,13 @@ export declare class OAuthService {
     private popup;
     private messageHandler;
     private checkClosedInterval;
+    /**
+     * Nonce del flujo OAuth en curso (M-07). Vive SOLO en memoria — un XSS no lo
+     * puede leer de localStorage/sessionStorage. Viaja al backend (client_nonce),
+     * vuelve en el callback, y se verifica acá → rechaza un oauth_callback_data
+     * forjado por XSS.
+     */
+    private expectedNonce;
     constructor(config: ValtechAuthConfig | null, http: HttpClient, ngZone: NgZone);
     /**
      * Inicia flujo OAuth en popup.
@@ -94,6 +101,27 @@ export declare class OAuthService {
      * Limpia recursos del popup.
      */
     private cleanup;
+    /**
+     * Genera un nonce aleatorio (CSPRNG) url-safe para el flujo OAuth (M-07).
+     */
+    private generateNonce;
+    /**
+     * Verifica que el callback traiga el nonce del flujo actual (M-07).
+     *
+     * Estricto: si el opener generó un nonce (siempre, en clientes nuevos) exige
+     * que el callback lo traiga y coincida. Un payload forjado en localStorage por
+     * XSS no conoce el nonce (vive solo en memoria) → se rechaza.
+     *
+     * ⚠️ Requiere que el backend ya eche `client_nonce` en el callback. Deploy:
+     * backend ANTES que el frontend, si no este check rechaza callbacks legítimos
+     * (sin nonce) durante la ventana de transición.
+     */
+    private isNonceValid;
+    /**
+     * Valida la forma del payload del callback (M-07): debe ser un error o tokens
+     * como objeto. Bloquea inyecciones malformadas (primitivos, shapes basura).
+     */
+    private isCallbackShapeValid;
     static ɵfac: i0.ɵɵFactoryDeclaration<OAuthService, [{ optional: true; }, null, null]>;
     static ɵprov: i0.ɵɵInjectableDeclaration<OAuthService>;
 }

package/lib/services/auth/storage.service.d.ts

@@ -23,7 +23,7 @@ export declare class AuthStorageService {
     /**
      * Guarda el refresh token (token rotation).
      */
-    saveRefreshToken(token: string): void;
+    saveRefreshToken(_token: string): void;
     /**
      * Guarda los permisos actualizados.
      */

package/lib/services/auth/types.d.ts

@@ -852,6 +852,12 @@ export interface OAuthCallbackData {
     tokens?: OAuthResult;
     /** Error (si falló) */
     error?: OAuthError;
+    /**
+     * Nonce del opener (M-07). El popup lo recibe del backend (round-trip por el
+     * OAuthState firmado) y lo reenvía; el opener lo verifica contra el que generó
+     * en memoria → rechaza un oauth_callback_data forjado en localStorage por XSS.
+     */
+    nonce?: string;
 }
 /**
  * Proveedor OAuth vinculado al usuario.

package/lib/services/link-processor.service.d.ts

@@ -65,6 +65,18 @@ export declare class LinkProcessorService {
      * ```
      */
     processLinks(text: string, config?: LinkProcessorConfig): SafeHtml | string;
+    /**
+     * Devuelve un valor seguro para el atributo href. Como processLinks usa
+     * bypassSecurityTrustHtml (desactiva la sanitización automática de Angular),
+     * cada URL se valida explícitamente: el sanitizador de Angular neutraliza
+     * esquemas peligrosos (javascript:, data:, vbscript:) prefijándolos con
+     * `unsafe:`, y luego se escapa el resultado para el contexto de atributo —
+     * evitando que una URL como `[x](javascript:alert(1))` o `http://a" onx="..."`
+     * inyecte script o atributos.
+     */
+    private safeHref;
+    /** Escapa los caracteres especiales de HTML (texto y valores de atributo). */
+    private escapeHtml;
     /**
      * Detecta si un texto contiene enlaces (URLs, rutas internas o enlaces Markdown).
      *

package/lib/services/requests/request-visibility.d.ts

@@ -0,0 +1,35 @@
+import { RequestTypeConfig } from './types';
+/**
+ * Contexto del viewer para decidir qué tipos de solicitud puede ver/enviar.
+ * Lo arma la app desde su estado de auth (AuthService).
+ */
+export interface RequestViewerContext {
+    /** Hay sesión activa. */
+    isAuthenticated: boolean;
+    /**
+     * Usuario activo/verificado (claim `verified` del token = Status ACTIVE).
+     * Solo relevante si isAuthenticated. Si se omite, se asume verificado
+     * (en la práctica el signin solo emite tokens a cuentas ACTIVE).
+     */
+    isVerified?: boolean;
+    /** Org activa del usuario (para tipos ORG/INTERNAL). */
+    activeOrg?: string;
+}
+/**
+ * ¿Este viewer puede ENVIAR una solicitud de este tipo? Espeja el gate
+ * server-side (`backend/.../request: submissionTargetOrg`). Es solo UX — el
+ * backend siempre valida —, pero evita que cada app reimplemente (mal) el filtro:
+ *
+ *  - PUBLIC        → cualquiera (anónimo solo si allowAnonymous).
+ *  - AUTHENTICATED → logueado + verificado (cross-org).
+ *  - ORG/INTERNAL  → miembro de la org dueña (activeOrg === type.orgId).
+ */
+export declare function canSubmitRequestType(type: RequestTypeConfig, ctx: RequestViewerContext): boolean;
+/** Filtra el catálogo a los tipos que el viewer puede enviar. */
+export declare function selectableRequestTypes(types: RequestTypeConfig[], ctx: RequestViewerContext): RequestTypeConfig[];
+/**
+ * Modo de envío a usar: `'anonymous'` solo para tipos PUBLIC + allowAnonymous sin
+ * sesión; en el resto `'authenticated'`. Mapea a
+ * `RequestService.createAnonymousRequest` vs `createRequest`.
+ */
+export declare function requestSubmitMode(type: RequestTypeConfig, ctx: RequestViewerContext): 'anonymous' | 'authenticated';

package/lib/services/requests/types.d.ts

@@ -49,7 +49,7 @@ export interface FieldSchemaDef {
     order: number;
 }
 /** Quién puede leer un tipo de solicitud (y sus solicitudes públicas). */
-export type RequestVisibility = 'PUBLIC' | 'ORG' | 'INTERNAL';
+export type RequestVisibility = 'PUBLIC' | 'AUTHENTICATED' | 'ORG' | 'INTERNAL';
 export interface RequestTypeConfig {
     typeId: string;
     appId: string;
@@ -58,7 +58,12 @@ export interface RequestTypeConfig {
     labelEn: string;
     fieldSchema: FieldSchemaDef[];
     allowAnonymous: boolean;
-    /** PUBLIC: cualquiera · ORG/INTERNAL: solo miembros de la org. Default ORG. */
+    /**
+     * Quién puede leer/enviar este tipo (debe coincidir con el backend):
+     *  - PUBLIC        cualquiera, incluso sin login (anónimo si allowAnonymous).
+     *  - AUTHENTICATED cualquier usuario logueado + verificado, cross-org.
+     *  - ORG/INTERNAL  solo miembros de la org dueña. Default ORG.
+     */
     visibility?: RequestVisibility;
     createdAt: string;
     updatedAt: string;

package/lib/version.d.ts

@@ -2,4 +2,4 @@
  * Current version of valtech-components.
  * This is automatically updated during the publish process.
  */
-export declare const VERSION = "4.0.34";
+export declare const VERSION = "4.0.35";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "valtech-components",
-  "version": "4.0.34",
+  "version": "4.0.35",
   "private": false,
   "bin": {
     "valtech-firebase-config": "./src/lib/services/firebase/scripts/generate-sw-config.js"

package/public-api.d.ts

@@ -429,6 +429,7 @@ export * from './lib/services/requests/types';
 export * from './lib/services/requests/request.service';
 export * from './lib/services/requests/request-form-builder.service';
 export * from './lib/services/requests/request-firestore.service';
+export * from './lib/services/requests/request-visibility';
 export * from './lib/components/organisms/article-strip/article-strip.component';
 export * from './lib/components/organisms/article-strip/types';
 export * from './lib/components/molecules/metric-card/metric-card.component';