[Leon64721]

Resumen

PR acumulado de la rama fix/post-audit-rbac. Empezó como la corrección RBAC de generarPlantillaAsignacionCSV y se extendió durante esta sesión a una investigación y reparación completa de la migración a arquitectura multi-spreadsheet de septiembre, que había dejado varios módulos silenciosamente desconectados, además de hallazgos de seguridad y UI encontrados en el camino.

Cambios por área

Seguridad de RBAC (origen del PR):

• Guardia RBAC en generarPlantillaAsignacionCSV y 5 funciones de reportes.
• Migración de IDs sensibles a Script Properties (nunca en código versionado).

PAC desconectado tras la migración:

• LOGS_ASIGNACION resuelto desde Script Properties en vez de placeholder.
• pac_getSpreadsheet() ya no cae a getActiveSpreadsheet()/SS_PADRE_ID (el archivo de permisos) — ahora exige PAC_DESTINO_SPREADSHEET_ID explícito.
• pac_verificarDestino() nuevo, de solo lectura.
• Sync seguro de PAC: _pac_compararYGenerarBorrador() deduplica por RT antes de construir el borrador; sincronizarPAC() nunca autoaprueba si el borrador eliminaría más del 20% de PAC_Vigente (devuelve requiereRevision:true); aprobarBorradorPAC() respalda PAC_Vigente en una hoja oculta antes de sobrescribirla (conserva los 3 respaldos más recientes); el frontend muestra el resumen del borrador antes de ofrecer aprobar.
• Mensaje de error del sync corregido: el backend devolvía el fallo en mensaje, el frontend leía error ("Error en sync: undefined").

Permisos:

• guardarPermiso() normaliza proyectos (arreglo → texto) en vez de guardar literales corruptos tipo [Ljava.lang.Object;@....
• Arreglo vacío (único caso real de la UI hoy) se trata como ALL explícitamente, no por accidente.
• auditarProyectosPermisos() nuevo, de solo lectura.

Diagnóstico y restauración post-migración (diagnostico_estructura.js, nuevo archivo):

• diagnosticarEstructuraArchivos(), diagnosticarPACVigente(), restaurarHojasDesdeOrigen() — ya ejecutados en real sobre CONFIG_REGLAS, ASIGNACIONES_EQUIPOS, ReportesGuardados, LOGS_AUDITORIA y ALERTAS_ACTIVAS, con resultados verificados.

UI:

• El modal de detalle de RT mostraba la ficha "Acerca de" — ambas funciones compartían el mismo modal/contenedor y "Acerca de" lo destruía al reemplazar su HTML. Corregido para restaurarlo al cerrar.

Saneamiento de IDs (hallazgo adicional, más allá del pedido original):

• organizar_en_carpeta.js tenía los 5 IDs reales hardcodeados en código versionado — corregido para resolver desde Script Properties, y su mapeo de PAC corregido (apuntaba a la clave equivocada).
• migracion_automatica_v2.js tenía el mismo problema en ARCHIVO_ORIGEN.
• app_core_js.html tenía un ID de spreadsheet distinto (herramienta de Normalización) hardcodeado en el frontend, visible a cualquiera sin importar su rol — movido al backend con verificación RBAC de rol Administrador.
• config.js/datos.js ya no imprimen IDs completos ni parciales en logs de ejecución.
• DOCUMENTACION_TECNICA_VIVA.md y URLS_SISTEMA.md: los IDs en texto plano se sustituyeron por el nombre de cada archivo.

Pendientes manuales (no resueltos en este PR)

• El repositorio es público y los IDs ya estuvieron en texto plano en el historial de git (no reescrito, por decisión explícita). Revisar permisos de compartición en Drive de cada archivo migrado y decidir si el repo pasa a privado.
• Crear la Script Property NORMALIZACION_URL antes de que alguien use ese botón, o mostrará un mensaje de "no configurada".
• Compartir la fuente externa real de PAC con la cuenta del script y actualizar PAC_SPREADSHEET_ID, luego ejecutar pac_verificarAccesoExterno() antes de cualquier sync real.
• Decidir si LOGS_AUDITORIA y Permisos se quedan en Principal o se repuntan a sus archivos dedicados.
• Decidir arquitectura de almacenamiento a largo plazo para LOGS_AUDITORIA (volumen esperado en millones de filas).
• Agregar guardia RBAC a ejecutarEvaluadorAlertas(), solo después de validar que el motor funciona en el navegador.
• Revisar si 17Syj1... (scriptId de main, proyecto abandonado) tiene triggers o deployments activos.

Nota

Ningún ID real de spreadsheet aparece en este PR ni en sus commits — todos viven exclusivamente en Script Properties del proyecto de Apps Script.

🤖 Generated with Claude Code

---

Note

High Risk
Touches authentication routing (doGet), RBAC on sensitive endpoints, Gmail scopes/thread replies, and large alert-email/report flows that affect production data and external recipients.

Overview
This branch retargets clasp to the single work Apps Script (18vY9…), adds .claspignore and Cursor/agent rules (graphify, one-script policy), and marks ARCHITECTURE_V5 as historical while extending DOCUMENTACION_TECNICA_VIVA.md with RBAC, migration, and alert-motor notes.

Security & RBAC: Server-side guards on report CRUD, initializeSystem, getUserLogs, and logAction (identity from Session, not client). New obtenerUrlNormalizacion() serves the normalization URL only to Administrators via Script Property. Dashboard alert summaries use resumirAlertasActivasParaDashboard_ with ROJO/NARANJA/AMARILLO severities. procesarReporteAlertas requires Admin and routes sends through despacharCorreoAlertas_ with full RT listings, optional jefatura XLSX/email, FECHA_VENCIMIENTO, and ?sa= deep links to seguimiento_formulario instead of the full tablero.

Alertas UX & motor (UI + Codigo.js): Index.html gets admin-only motor/report controls, dynamic alert badge, rules constructor modal, retroalimentación, and app_reglas_editor_js / app_seguimiento_alertas_js. appsscript.json adds gmail.modify and calendar.readonly. datos.js / gestion_equipos_backend.js stop logging spreadsheet ID fragments; LOGS_ASIGNACION reads from Script Properties.

Several PLAN_*.md files document follow-up email/form/jefatura work; implementation for much of that already landed in Codigo.js in this diff.

^{Reviewed by Cursor Bugbot for commit f121b69. Bugbot is set up for automated code reviews on this repo. Configure here.}

[cursor]

Stale Bugbot comment from a previous run.

[cursor]

Report RBAC guards never execute

High Severity

The new RBAC checks on saveReport, executeReport, and deleteReport live only in Codigo.js. The same globals in reportes.js still have no validarPermiso and, with empty filePushOrder, load later and replace the guarded copies. Codigo.js already documents this shadowing for savePermission. As a result the report endpoints stay callable without the new permission checks, and eliminarReporte still deactivates any report by id.

 

^{Reviewed by Cursor Bugbot for commit 8d6372b. Configure here.}

[cursor]

Stale Bugbot comment from a previous run.

[cursor]

Parse error skips rules UI refresh

Medium Severity

The new early return in cargarJSONenPantalla after a JSON parse failure empties motorReglasData and then skips the editor, cards, and admin-visibility refresh that used to run. The screen still shows the previous rules while memory is empty, so a later save or toggle can persist an empty ReglasDeNegocio list.

 

^{Reviewed by Cursor Bugbot for commit eb6defc. Configure here.}

[cursor]

Conflict leaves retro form stale

Medium Severity

On version conflicto, persistirConfigReglas reloads motorReglasData but leaves #modalRetroalimentacion on the old index-based fields. A retry reads seguimientoDesdeRetro(index) from that stale DOM and writes it onto the newly loaded rule list, so notes can land on the wrong rule or getElementById(...).checked throws if the count changed.

Additional Locations (1)

• app_reglas_editor_js.html#L514-L541

 

^{Reviewed by Cursor Bugbot for commit eb6defc. Configure here.}

[cursor]

Stale Bugbot comment from a previous run.

[cursor]

Zero remaining days shown as missing

Medium Severity

The new email lines treat a remaining-days value of 0 as missing. procesarReporteAlertas maps DIAS RESTANTES with || '', so a numeric zero becomes an empty string before _diasVigenciaTexto_ runs. Those RTs then show sin dato and sort last instead of 0 días de vigencia at the front of the list.

Additional Locations (1)

• Codigo.js#L2287-L2288

 

^{Reviewed by Cursor Bugbot for commit 9496f73. Configure here.}

[cursor]

Mail failure warning gets overwritten

Medium Severity

After a save where the sheet is written but replyAll fails, the form reloads the token and replaces the “quedó guardada” warning with “Este enlace ya no tiene observaciones pendientes.” The user never keeps the mail-failure notice, so they cannot tell that the thread was not answered.

Additional Locations (1)

• seguimiento_formulario.html#L56-L73

 

^{Reviewed by Cursor Bugbot for commit 9496f73. Configure here.}

[cursor]

Stale Bugbot comment from a previous run.

[cursor]

Uploads escape the sheet lock

Medium Severity

guardarSeguimientoAlertas now writes the informe to Drive in _blobAnexoSeguimiento_ before taking the script lock and re-reading pending rows. If the lock times out or the re-check finds those rows already CERRADA/VENCIDA, the file stays in the Seguimiento folder with no sheet row pointing to it. Retries upload again, so legal anexos accumulate as orphans.

Additional Locations (1)

• seguimiento_alertas.js#L402-L414

 

^{Reviewed by Cursor Bugbot for commit ad99cc1. Configure here.}

[cursor]

Old informes attach to new alerts

Medium Severity

_xlsxInformeJefatura_ maps ARCHIVO_JURIDICO_URL from the whole SEGUIMIENTO_ALERTAS historial by RT||REGLA only, then writes that URL on this send’s Detalle rows. A later report therefore shows a previous cycle’s informe on alerts that nobody has answered yet. Token and estado are ignored, so the last sheet row wins.

Additional Locations (1)

• Codigo.js#L2282-L2306

 

^{Reviewed by Cursor Bugbot for commit ad99cc1. Configure here.}

[cursor]

Cursor Bugbot has reviewed your changes using high effort and found 1 potential issue.

There are 8 total unresolved issues (including 7 from previous reviews).

^{❌ Bugbot Autofix is OFF. To automatically fix reported issues with cloud agents, enable autofix in the Cursor dashboard.}

^{Reviewed by Cursor Bugbot for commit f121b69. Configure here.}

[cursor]

Jefatura counts stale prior answers

Medium Severity

_historialSeguimientoInforme_ now claims counts are for this send, but a clave is marked respondida if any historical RESPONDIDA exists for that RT+regla, ignoring TOKEN. A new send expires old PENDIENTE rows as VENCIDA and inserts fresh ones, yet an earlier answer still subtracts that clave from pendientes. The summary can show already answered while the same Excel lists the new pending rows, so later weekly sends under-count work that was just requested.

 

^{Reviewed by Cursor Bugbot for commit f121b69. Configure here.}