encino-orm 0.2.2__tar.gz → 0.2.4__tar.gz

{encino_orm-0.2.2 → encino_orm-0.2.4}/.github/workflows/publish-testpypi.yml

@@ -2,8 +2,6 @@ name: Publish to TestPyPI
 
 on:
   workflow_dispatch:
-  push:
-    branches: [main]
 
 permissions:
   contents: read

{encino_orm-0.2.2 → encino_orm-0.2.4}/CHANGELOG.md

@@ -8,6 +8,39 @@ en `0.x`, **no hay garantía de estabilidad** (ver `README.md`).
 
 ## [Unreleased]
 
+## [0.2.4] - 2026-09-10
+
+### Añadido
+
+- Extra opcional `cache` (`redis`) para `CachedModel` con `RedisCacheBackend`
+  probado contra Redis real; servicio `redis` en `docker-compose.yml` y tests de
+  caché (`tests/test_redis_cache.py`).
+
+### Seguridad
+
+- `Model.search(columns=...)` y `QueryBuilder.sum(column)` validan los
+  identificadores de columna antes de incrustarlos en SQL.
+- `columns_of` de SQLite y MySQL valida el nombre de tabla antes de interpolarlo.
+- SQL Server conecta con TLS por defecto (`Encrypt=yes`,
+  `TrustServerCertificate=no`); configurable con `encrypt`/
+  `trust_server_certificate`.
+- Codegen (`generate_model`) emite `_table` y `name=` con `repr`, evitando
+  inyección de código desde nombres de tabla/columna.
+- JWT: separación access/refresh mediante el claim `type` y lista permitida de
+  algoritmos (rechaza `"none"`).
+- Los nombres de `SAVEPOINT` se validan antes de interpolar en SQL.
+- El `PUT` de REST ignora los campos de solo lectura (`id`, `enabled`,
+  `created_at`, `updated_at`).
+
+## [0.2.3] - 2026-09-08
+
+### Corregido
+
+- Compatibilidad con Python 3.10: se elimina el *starred unpacking* dentro de
+  subíndices `Annotated[...]` (sintaxis PEP 646, sólo válida en Python 3.11+) en
+  `encino_orm/model/model.py` y `encino_orm/model/constraint.py`. Ahora el
+  paquete funciona realmente con `requires-python = ">=3.10"`.
+
 ## [0.2.2] - 2026-09-08
 
 ### Añadido

{encino_orm-0.2.2 → encino_orm-0.2.4}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.5
 Name: encino-orm
-Version: 0.2.2
+Version: 0.2.4
 Summary: Librería asíncrona de interfaz unificada para SQLite, MySQL y PostgreSQL
 Project-URL: Repository, https://github.com/hvalles/encinorm
 Project-URL: Documentation, https://hvalles.github.io/encinorm/
@@ -16,6 +16,8 @@ Provides-Extra: all-db
 Requires-Dist: aioodbc>=0.5; extra == 'all-db'
 Requires-Dist: oracledb>=2.0; extra == 'all-db'
 Requires-Dist: pyodbc>=5.0; extra == 'all-db'
+Provides-Extra: cache
+Requires-Dist: redis>=5.0; extra == 'cache'
 Provides-Extra: graphql
 Requires-Dist: strawberry-graphql>=0.200; extra == 'graphql'
 Provides-Extra: http
@@ -30,7 +32,7 @@ Requires-Dist: fastapi>=0.110; extra == 'security'
 Requires-Dist: pyjwt<2.13,>=2.8; extra == 'security'
 Description-Content-Type: text/markdown
 
-# encino_orm · v0.2.2
+# encino_orm · v0.2.4
 
 ORM asíncrono de interfaz unificada para **SQLite**, **MySQL**, **MariaDB**,
 **PostgreSQL**, **SQL Server** y **Oracle**, construido sobre `pydantic`. Proporciona un modelo de datos declarativo, CRUD
@@ -39,7 +41,7 @@ migraciones, y capas opcionales de producto: REST (FastAPI), GraphQL
 (Strawberry), seguridad (RBAC + JWT) y generación de código desde la base de
 datos.
 
-> **Estado: experimental (v0.2.2).** encino_orm se encuentra en **fase
+> **Estado: experimental (v0.2.4).** encino_orm se encuentra en **fase
 > experimental**: la API pública y su comportamiento pueden cambiar **sin previo
 > aviso** en versiones posteriores, **sin garantía de compatibilidad
 > retroactiva**. El núcleo ORM está probado sobre los tres motores (más de 350
@@ -85,6 +87,9 @@ pip install -e .
 # con extras opcionales
 pip install -e ".[http,security,graphql]"
 
+# caché en Redis (CachedModel + RedisCacheBackend)
+pip install -e ".[cache]"
+
 # motores opcionales (SQL Server / Oracle)
 pip install -e ".[mssql,oracle]"
 ```
@@ -96,6 +101,7 @@ Extras disponibles:
 | `http`     | `fastapi` (REST CRUD)                                 |
 | `security` | `fastapi` + `PyJWT` (RBAC + JWT)                      |
 | `graphql`  | `strawberry-graphql` (GraphQL)                        |
+| `cache`    | `redis` (`CachedModel` + `RedisCacheBackend`)          |
 | `mssql`    | `aioodbc` + `pyodbc` (SQL Server, requiere ODBC Driver 18) |
 | `oracle`   | `oracledb` (Oracle, modo *thin*)                      |
 | `all-db`   | `mssql` + `oracle`                                    |

{encino_orm-0.2.2 → encino_orm-0.2.4}/README.md

@@ -1,4 +1,4 @@
-# encino_orm · v0.2.2
+# encino_orm · v0.2.4
 
 ORM asíncrono de interfaz unificada para **SQLite**, **MySQL**, **MariaDB**,
 **PostgreSQL**, **SQL Server** y **Oracle**, construido sobre `pydantic`. Proporciona un modelo de datos declarativo, CRUD
@@ -7,7 +7,7 @@ migraciones, y capas opcionales de producto: REST (FastAPI), GraphQL
 (Strawberry), seguridad (RBAC + JWT) y generación de código desde la base de
 datos.
 
-> **Estado: experimental (v0.2.2).** encino_orm se encuentra en **fase
+> **Estado: experimental (v0.2.4).** encino_orm se encuentra en **fase
 > experimental**: la API pública y su comportamiento pueden cambiar **sin previo
 > aviso** en versiones posteriores, **sin garantía de compatibilidad
 > retroactiva**. El núcleo ORM está probado sobre los tres motores (más de 350
@@ -53,6 +53,9 @@ pip install -e .
 # con extras opcionales
 pip install -e ".[http,security,graphql]"
 
+# caché en Redis (CachedModel + RedisCacheBackend)
+pip install -e ".[cache]"
+
 # motores opcionales (SQL Server / Oracle)
 pip install -e ".[mssql,oracle]"
 ```
@@ -64,6 +67,7 @@ Extras disponibles:
 | `http`     | `fastapi` (REST CRUD)                                 |
 | `security` | `fastapi` + `PyJWT` (RBAC + JWT)                      |
 | `graphql`  | `strawberry-graphql` (GraphQL)                        |
+| `cache`    | `redis` (`CachedModel` + `RedisCacheBackend`)          |
 | `mssql`    | `aioodbc` + `pyodbc` (SQL Server, requiere ODBC Driver 18) |
 | `oracle`   | `oracledb` (Oracle, modo *thin*)                      |
 | `all-db`   | `mssql` + `oracle`                                    |

{encino_orm-0.2.2 → encino_orm-0.2.4}/docker-compose.yml

@@ -33,4 +33,8 @@ services:
     image: gvenzl/oracle-xe:21-slim
     environment:
       ORACLE_PASSWORD: admin
-    ports: ["1521:1521"]
+    ports: ["1521:1521"]
+
+  redis:
+    image: redis:latest
+    ports: ["6379:6379"]

{encino_orm-0.2.2 → encino_orm-0.2.4}/docs/docker.md

@@ -21,6 +21,7 @@ cada prueba se alimentan por variables de entorno `ENCINO_ORM_*` (ver
 | PostgreSQL | `postgres:16-alpine` | 5432 | ~111 MB | Usado en CI. |
 | SQL Server Express | `mcr.microsoft.com/mssql/server:2022-latest` | 1433 | ~596 MB | Requiere EULA + contraseña `sa` compleja + ≥ 2 GB RAM. |
 | Oracle XE | `gvenzl/oracle-xe:21-slim` | 1521 | ~720 MB | En Docker Hub (sin `docker login`). |
+| Redis | `redis:latest` | 6379 | ~30 MB | Para `RedisCacheBackend` (extra `cache`). |
 
 > Los tamaños son los **comprimidos** medidos con `docker manifest inspect`
 > (linux/amd64); el consumo en disco es mayor. Detalle completo en
@@ -120,6 +121,13 @@ docker run -d --name mssql-test -p 1433:1433 \
 
 Instalar el extra: `pip install -e ".[mssql]"`.
 
+> **TLS (por defecto seguro):** el motor conecta con `Encrypt=yes` y
+> `TrustServerCertificate=no`. El contenedor local usa un **certificado
+> autofirmado**, por lo que las pruebas activan
+> `ENCINO_ORM_MSSQL_TRUST_CERT=true` para confiar en él. En producción, usa un
+> certificado válido o pasa `trust_server_certificate=True`/`encrypt=False`
+> explícitamente a `MssqlDb.connect(...)`.
+
 ### 5.1. Instalar el driver ODBC en el host
 
 Además del extra de Python (`aioodbc`/`pyodbc`), el host necesita el
@@ -191,6 +199,19 @@ Instalar el extra: `pip install -e ".[oracle]"`.
 
 ---
 
+## 7. Redis
+
+```bash
+docker run -d --name redis-test -p 6379:6379 redis:latest
+```
+
+**Conexión para las pruebas** (`tests/test_redis_cache.py`): URL
+`redis://127.0.0.1:6379`.
+
+Instalar el extra: `pip install -e ".[cache]"`.
+
+---
+
 ## Variables de entorno
 
 Cada `tests/test_<motor>.py` lee estas variables (con los valores por defecto de
@@ -201,8 +222,9 @@ la tabla). En CI se exportan en el paso *Run tests*.
 | MySQL | `ENCINO_ORM_MYSQL_HOST/PORT/USER/PASSWORD/DB` | `127.0.0.1` / `3306` / `root` / `admin` / `encino_orm_test` |
 | MariaDB | `ENCINO_ORM_MARIADB_HOST/PORT/USER/PASSWORD/DB` | `127.0.0.1` / `3306` / `root` / `admin` / `encino_orm_test` |
 | PostgreSQL | `ENCINO_ORM_POSTGRES_HOST/PORT/USER/PASSWORD/DB` | `127.0.0.1` / `5432` / `postgres` / `admin` / `encino_orm_test` |
-| SQL Server | `ENCINO_ORM_MSSQL_HOST/PORT/USER/PASSWORD/DB/DRIVER` | `127.0.0.1` / `1433` / `sa` / `Admin_123` / `encino_orm_test` / `ODBC Driver 18 for SQL Server` |
+| SQL Server | `ENCINO_ORM_MSSQL_HOST/PORT/USER/PASSWORD/DB/DRIVER/TRUST_CERT` | `127.0.0.1` / `1433` / `sa` / `Admin_123` / `encino_orm_test` / `ODBC Driver 18 for SQL Server` / `true` |
 | Oracle | `ENCINO_ORM_ORACLE_HOST/PORT/SERVICE/USER/PASSWORD` | `127.0.0.1` / `1521` / `XEPDB1` / `system` / `admin` |
+| Redis | `ENCINO_ORM_REDIS_URL` | `redis://127.0.0.1:6379` |
 
 Ejemplo (Linux/macOS):
 
@@ -252,6 +274,10 @@ services:
     environment:
       ORACLE_PASSWORD: admin
     ports: ["1521:1521"]
+
+  redis:
+    image: redis:latest
+    ports: ["6379:6379"]
 ```
 
 > MariaDB y MySQL comparten protocolo; si se levantan ambos a la vez, usa puertos

{encino_orm-0.2.2 → encino_orm-0.2.4}/docs/getting-started.md

@@ -7,6 +7,7 @@ Guía rápida para instalar encino_orm y crear tu primer modelo funcional.
 ```bash
 pip install -e .                 # núcleo
 pip install -e ".[http,security,graphql]"   # capas opcionales (REST, GraphQL, seguridad)
+pip install -e ".[cache]"        # caché en Redis (CachedModel + RedisCacheBackend)
 pip install -e ".[mssql,oracle]" # motores SQL Server y Oracle
 pip install -e ".[all-db]"       # o todos los motores opcionales de golpe
 ```

{encino_orm-0.2.2 → encino_orm-0.2.4}/docs/guide.md

@@ -484,6 +484,23 @@ await u.load(duration=300)              # cachea 300 s; invalida al actualizar/b
 Backends: `MemoryCacheBackend`, `RedisCacheBackend(url=...)`, o cualquiera que
 implemente el `Protocol` `CacheBackend`.
 
+### Caché en Redis
+
+`RedisCacheBackend` requiere la dependencia opcional `redis`
+(`pip install -e ".[cache]"`) y un Redis en ejecución:
+
+```python
+from encino_orm.model import CachedModel, RedisCacheBackend
+
+cache = RedisCacheBackend(url="redis://localhost:6379")
+u = User(db, cache=cache, id=1)
+await u.load(duration=300)              # GET/SET sobre Redis con TTL
+```
+
+La clave se deriva de un `sha1` de `tabla:[clave=valor&...]` y el valor se
+serializa a JSON (`model_dump(mode="json")`). La URL se puede configurar con la
+variable de entorno `ENCINO_ORM_REDIS_URL` en las pruebas.
+
 ## 11. Esquema y migraciones
 
 ```python

{encino_orm-0.2.2 → encino_orm-0.2.4}/docs/integrations.md

@@ -32,6 +32,9 @@ Endpoints generados por modelo (tabla `users`):
   (`/api/memberships/{tenant_id}/{code}`).
 - `create_crud` acepta `get_db` para inyectar una dependency propia; por defecto
   usa `session(pool)`.
+- El `PUT` ignora los campos de solo lectura `id`, `enabled`, `created_at` y
+  `updated_at` (no se pueden modificar por esta vía; el soft-delete se gestiona
+  con `DELETE`).
 
 ## 2. GraphQL (Strawberry)
 
@@ -60,9 +63,29 @@ from encino_orm.security import (
 )
 
 token = emit_token("user-1", SECRET)
-payload = verify_token(token, SECRET)      # {"sub": "user-1", ...}
+payload = verify_token(token, SECRET)      # {"sub": "user-1", "type": "access", ...}
 ```
 
+### Access vs refresh tokens
+
+`emit_token`/`verify_token` gestionan tokens de **acceso** y
+`emit_refresh`/`verify_refresh` tokens de **refresco**. Ambos se distinguen por el
+claim `type` (`"access"`/`"refresh"`): `verify_token` **rechaza** un token de
+refresco y `verify_refresh` **exige** que lo sea, de modo que un access token
+robado no sirve para emitir nuevos tokens:
+
+```python
+from encino_orm.security import emit_refresh, verify_refresh
+
+refresh = emit_refresh("user-1", SECRET, expires_seconds=604800)
+payload = verify_refresh(refresh, SECRET)   # solo acepta type == "refresh"
+```
+
+Los algoritmos se validan contra una lista permitida (`HS256`, `RS256`, `ES256`,
+…) y se rechaza `"none"` tanto al emitir como al verificar. Por compatibilidad,
+`verify_token` sigue aceptando tokens legados **sin** `type` (pero no podrán
+usarse como refresh).
+
 ### Roles y permisos
 
 Las tablas de seguridad se crean con `create_tables(db)` y se siembran con
@@ -113,7 +136,9 @@ encino_orm generate models mysql --host localhost --user root --password s3cret
 ```
 
 Las claves primarias compuestas y los nombres de columna reservados se detectan
-y se emiten automáticamente (`_primary_key`, `name="..."`).
+y se emiten automáticamente (`_primary_key`, `name='...'`). El `_table` y el
+`name=` se generan con `repr`, por lo que los nombres con caracteres especiales
+quedan correctamente escapados en el código generado.
 
 ## 5. Observabilidad
 

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/base.py

@@ -1,6 +1,7 @@
 import asyncio
 import logging
 import random
+import re
 from abc import ABC, abstractmethod
 from contextlib import asynccontextmanager
 
@@ -8,6 +9,8 @@ from .query import Query
 
 logger = logging.getLogger("encino_orm")
 
+_IDENTIFIER_RE = re.compile(r"^[A-Za-z_][A-Za-z0-9_]*$")
+
 
 class Db(ABC):
     MAX_TRIES = 9
@@ -53,6 +56,13 @@ class Db(ABC):
     @abstractmethod
     async def save_point(self, name: str): ...
 
+    @staticmethod
+    def _check_identifier(value: str, label: str) -> str:
+        """Valida que `value` sea un identificador SQL seguro (evita inyección en SAVEPOINT)."""
+        if not isinstance(value, str) or not _IDENTIFIER_RE.match(value):
+            raise ValueError(f"{label} inválido: {value!r}")
+        return value
+
     @staticmethod
     async def wait(waiter: int = -1):
         """Mecanismo de espera en caso de bloqueo por deadlock en la base de datos."""

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/http/routes.py

@@ -46,6 +46,8 @@ def _build_path_handler(model, get_db, op):
             "    if not obj._exists:\n"
             "        raise HTTPException(404, detail='no encontrado')\n"
             "    for k, v in data.model_dump(exclude_unset=True).items():\n"
+            "        if k in ('id', 'enabled', 'created_at', 'updated_at'):\n"
+            "            continue\n"
             "        setattr(obj, k, v)\n"
             "    await obj.update()\n"
             f"    return await _cursor(model, db, {kwargs}).load()\n"

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/introspection/codegen.py

@@ -76,7 +76,7 @@ async def generate_model(db, table: str, *, folder: str,
         _DOMAIN_IMPORT,
         "",
         f"class {cls}(Model):",
-        f'    _table = "{table}"',
+        f"    _table = {table!r}",
     ]
     if missing:
         lines.append(f"    _fields_disabled = {missing!r}")
@@ -95,7 +95,7 @@ async def generate_model(db, table: str, *, folder: str,
         if not c.nullable:
             args.append("required=True")
         if fname != c.name:
-            args.append(f'name="{c.name}"')
+            args.append(f"name={c.name!r}")
         suffix = f"({', '.join(args)})" if args else "()"
         lines.append(f"    {fname}: {type_expr}{suffix}")
     lines.append("")

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/model/constraint.py

@@ -109,11 +109,8 @@ def make_constraint(py_type, *, datatype=None, required=False, name=None,
             field_kwargs=field_kwargs,
             validators=validators,
         )
-        return Annotated[
-            t,
-            constraint,
-            constraint.to_field(),
-            *(AfterValidator(v) for v in validators),
-        ]
+        return Annotated.__class_getitem__(
+            (t, constraint, constraint.to_field(), *(AfterValidator(v) for v in validators))
+        )
 
     return build

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/model/model.py

@@ -436,7 +436,10 @@ class Model(BaseModel):
         if adapter is None:
             info = cls.model_fields[field]
             metadata = getattr(info, "metadata", None) or []
-            annotation = Annotated[info.annotation, *metadata] if metadata else info.annotation
+            if metadata:
+                annotation = Annotated.__class_getitem__((info.annotation, *metadata))
+            else:
+                annotation = info.annotation
             adapter = TypeAdapter(annotation)
             per_class[field] = adapter
         return adapter
@@ -738,6 +741,9 @@ class Model(BaseModel):
     async def search(self, filter=None, columns=None, limit=None, page: int = 1,
                      sort_by: list | None = None, include_deleted: bool = False) -> list:
         columns = columns or ["*"]
+        for c in columns:
+            if c != "*" and not _IDENTIFIER_RE.match(c):
+                raise ValueError(f"columna inválida: {c!r}")
         cols_sql = ", ".join(columns)
         filter = self._effective_filter(filter, include_deleted)
         where = ""

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/model/query_builder.py

@@ -241,6 +241,7 @@ class QueryBuilder:
 
     async def sum(self, column: str):
         self._ensure_db()
+        column = _safe_column(column)
         sql, params = self._build_base()
         sql = f"SELECT SUM({column}) {sql}"
         row = await self._db.fetch_one(Query(sql, params))

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/mssql.py

@@ -73,10 +73,13 @@ class MssqlDb(Db):
         user = kwargs["user"]
         password = kwargs["password"]
         database = kwargs.get("db") or kwargs.get("database") or "master"
+        encrypt = kwargs.get("encrypt", True)
+        trust_cert = kwargs.get("trust_server_certificate", False)
         conn_str = (
             f"DRIVER={{{driver}}};SERVER={host},{port};"
             f"UID={user};PWD={password};DATABASE={database};"
-            "Encrypt=no;TrustServerCertificate=yes;"
+            f"Encrypt={'yes' if encrypt else 'no'};"
+            f"TrustServerCertificate={'yes' if trust_cert else 'no'};"
         )
         self._connection = await aioodbc.connect(dsn=conn_str)
         self._connection.autocommit = False
@@ -114,6 +117,7 @@ class MssqlDb(Db):
         if self._connection is None:
             return
         if save_point:
+            save_point = self._check_identifier(save_point, "savepoint")
             await self._execute_raw(f"ROLLBACK TRANSACTION {save_point}")
         else:
             await self._connection.rollback()
@@ -121,6 +125,7 @@ class MssqlDb(Db):
 
     async def save_point(self, name: str):
         if self._connection is not None:
+            name = self._check_identifier(name, "savepoint")
             await self._execute_raw(f"SAVE TRANSACTION {name}")
 
     def _ensure_connected(self):

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/mysql.py

@@ -12,6 +12,7 @@ from .observability import current_trace_id
 from .query import Query
 
 _PLACEHOLDER_RE = re.compile(r"%\(([A-Za-z0-9_]+)\)s")
+_IDENTIFIER_RE = re.compile(r"^[A-Za-z_][A-Za-z0-9_]*$")
 _MIGRATIONS_TABLE = "_encino_orm_migrations"
 
 
@@ -87,12 +88,14 @@ class MysqlDb(Db):
         if self._connection is None:
             return
         if save_point:
+            save_point = self._check_identifier(save_point, "savepoint")
             await self._execute_raw(f"ROLLBACK TO SAVEPOINT {save_point}")
         else:
             await self._connection.rollback()
 
     async def save_point(self, name: str):
         if self._connection is not None:
+            name = self._check_identifier(name, "savepoint")
             await self._execute_raw(f"SAVEPOINT {name}")
 
     def _ensure_connected(self):
@@ -110,6 +113,8 @@ class MysqlDb(Db):
         )
 
     async def columns_of(self, table: str) -> list[ColumnSpec]:
+        if not _IDENTIFIER_RE.match(table):
+            raise ValueError(f"nombre de tabla inválido: {table!r}")
         rows = await self.fetch_all(Query(f"SHOW COLUMNS FROM {table}", []))
         return [
             ColumnSpec(

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/oracle.py

@@ -111,6 +111,7 @@ class OracleDb(Db):
         if self._connection is None:
             return
         if save_point:
+            save_point = self._check_identifier(save_point, "savepoint")
             await self._execute_raw(f"ROLLBACK TO {save_point}")
         else:
             await self._connection.rollback()
@@ -118,6 +119,7 @@ class OracleDb(Db):
 
     async def save_point(self, name: str):
         if self._connection is not None:
+            name = self._check_identifier(name, "savepoint")
             await self._execute_raw(f"SAVEPOINT {name}")
 
     def _ensure_connected(self):

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/postgresql.py

@@ -96,12 +96,14 @@ class PostgresDb(Db):
         if self._connection is None:
             return
         if save_point:
+            save_point = self._check_identifier(save_point, "savepoint")
             await self._connection.execute(f"ROLLBACK TO SAVEPOINT {save_point}")
         else:
             await self._connection.execute("ROLLBACK")
 
     async def save_point(self, name: str):
         if self._connection is not None:
+            name = self._check_identifier(name, "savepoint")
             await self._connection.execute(f"SAVEPOINT {name}")
 
     def _ensure_connected(self):

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/security/jwt.py

@@ -14,6 +14,20 @@ def _now() -> int:
     return int(time.time())
 
 
+_ALLOWED_ALGORITHMS = frozenset({
+    "HS256", "HS384", "HS512",
+    "RS256", "RS384", "RS512",
+    "ES256", "ES384", "ES512",
+    "PS256", "PS384", "PS512",
+})
+
+
+def _check_algorithm(algorithm: str) -> str:
+    if algorithm not in _ALLOWED_ALGORITHMS:
+        raise ValueError(f"algoritmo JWT no permitido: {algorithm!r}")
+    return algorithm
+
+
 def _jwt():
     try:
         import jwt
@@ -28,29 +42,56 @@ def _jwt():
 def emit_token(user_id: str, secret: str, expires_seconds: int = 900,
                algorithm: str = "HS256", **claims) -> str:
     jwt = _jwt()
-    payload = {"sub": user_id, "iat": _now(), "exp": _now() + expires_seconds, **claims}
+    _check_algorithm(algorithm)
+    payload = {"sub": user_id, "type": "access", "iat": _now(),
+               "exp": _now() + expires_seconds, **claims}
     return jwt.encode(payload, secret, algorithm=algorithm)
 
 
+def _filter_algorithms(algorithms: list[str] | None) -> list[str]:
+    algorithms = algorithms or ["HS256"]
+    for a in algorithms:
+        if a not in _ALLOWED_ALGORITHMS:
+            raise ValueError(f"algoritmo JWT no permitido: {a!r}")
+    return list(algorithms)
+
+
 def verify_token(token: str, secret: str, algorithms: list[str] | None = None) -> dict:
     jwt = _jwt()
-    algorithms = algorithms or ["HS256"]
+    algorithms = _filter_algorithms(algorithms)
     try:
-        return jwt.decode(
+        payload = jwt.decode(
             token, secret, algorithms=algorithms, options={"require": ["exp"]}
         )
     except jwt.ExpiredSignatureError as exc:
         raise AuthenticationError("token caducado") from exc
     except jwt.InvalidTokenError as exc:
         raise AuthenticationError("token inválido") from exc
+    if payload.get("type") == "refresh":
+        raise AuthenticationError("token de refresco no válido como access")
+    return payload
 
 
 def emit_refresh(user_id: str, secret: str, expires_seconds: int = 604800,
                  algorithm: str = "HS256", **claims) -> str:
     jwt = _jwt()
-    payload = {"sub": user_id, "iat": _now(), "exp": _now() + expires_seconds, **claims}
+    _check_algorithm(algorithm)
+    payload = {"sub": user_id, "type": "refresh", "iat": _now(),
+               "exp": _now() + expires_seconds, **claims}
     return jwt.encode(payload, secret, algorithm=algorithm)
 
 
 def verify_refresh(token: str, secret: str, algorithms: list[str] | None = None) -> dict:
-    return verify_token(token, secret, algorithms)
+    jwt = _jwt()
+    algorithms = _filter_algorithms(algorithms)
+    try:
+        payload = jwt.decode(
+            token, secret, algorithms=algorithms, options={"require": ["exp"]}
+        )
+    except jwt.ExpiredSignatureError as exc:
+        raise AuthenticationError("token caducado") from exc
+    except jwt.InvalidTokenError as exc:
+        raise AuthenticationError("token inválido") from exc
+    if payload.get("type") != "refresh":
+        raise AuthenticationError("token no es de refresco")
+    return payload

{encino_orm-0.2.2 → encino_orm-0.2.4}/encino_orm/sqlite.py

@@ -10,6 +10,7 @@ from .observability import current_trace_id
 from .query import Query
 
 _PLACEHOLDER_RE = re.compile(r"%\(([A-Za-z0-9_]+)\)s")
+_IDENTIFIER_RE = re.compile(r"^[A-Za-z_][A-Za-z0-9_]*$")
 _MIGRATIONS_TABLE = "_encino_orm_migrations"
 
 
@@ -80,12 +81,14 @@ class SqliteDb(Db):
         if not self._connection:
             return
         if save_point:
+            save_point = self._check_identifier(save_point, "savepoint")
             await self._connection.execute(f"ROLLBACK TO SAVEPOINT {save_point}")
         else:
             await self._connection.rollback()
 
     async def save_point(self, name: str):
         if self._connection:
+            name = self._check_identifier(name, "savepoint")
             await self._connection.execute(f"SAVEPOINT {name}")
 
     def _ensure_connected(self):
@@ -103,6 +106,8 @@ class SqliteDb(Db):
         )
 
     async def columns_of(self, table: str) -> list[ColumnSpec]:
+        if not _IDENTIFIER_RE.match(table):
+            raise ValueError(f"nombre de tabla inválido: {table!r}")
         rows = await self.fetch_all(Query(f"PRAGMA table_info({table})", []))
         return [
             ColumnSpec(

{encino_orm-0.2.2 → encino_orm-0.2.4}/pyproject.toml

@@ -7,7 +7,7 @@ packages = ["encino_orm"]
 
 [project]
 name = "encino-orm"
-version = "0.2.2"
+version = "0.2.4"
 description = "Librería asíncrona de interfaz unificada para SQLite, MySQL y PostgreSQL"
 requires-python = ">=3.10"
 license = "MIT"
@@ -26,6 +26,7 @@ dependencies = [
 security = ["fastapi>=0.110", "PyJWT>=2.8,<2.13"]
 http = ["fastapi>=0.110"]
 graphql = ["strawberry-graphql>=0.200"]
+cache = ["redis>=5.0"]
 mssql = ["aioodbc>=0.5", "pyodbc>=5.0"]
 oracle = ["oracledb>=2.0"]
 all-db = ["aioodbc>=0.5", "pyodbc>=5.0", "oracledb>=2.0"]

{encino_orm-0.2.2 → encino_orm-0.2.4}/tests/test_from_db.py

@@ -220,4 +220,4 @@ class TestGenerateModel:
         text = path.read_text(encoding="utf-8")
         assert "class LineaDetalle(Model):" in text
         # "order" es palabra reservada -> atributo con sufijo y name= mapeado
-        assert 'name="order"' in text
+        assert "name='order'" in text

{encino_orm-0.2.2 → encino_orm-0.2.4}/tests/test_mssql.py

@@ -15,6 +15,9 @@ MSSQL_CONFIG = {
     "password": os.getenv("ENCINO_ORM_MSSQL_PASSWORD", "Admin_123"),
     "db": os.getenv("ENCINO_ORM_MSSQL_DB", "encino_orm_test"),
     "driver": os.getenv("ENCINO_ORM_MSSQL_DRIVER", "ODBC Driver 18 for SQL Server"),
+    # El contenedor local usa certificado autofirmado; se confía solo en pruebas.
+    "trust_server_certificate": os.getenv("ENCINO_ORM_MSSQL_TRUST_CERT", "true").lower()
+    in ("1", "true", "yes"),
 }