364 lines
24 KiB
Markdown
364 lines
24 KiB
Markdown
# worst-scan-web — Portal Web del Fansub (Next.js 16)
|
||
|
||
Portal web público + panel admin del fansub de manga **worst-scan** (escaneado y traducción automática JP/EN/KR/CN → ES). Este repo es SOLO el frontend web (Next.js). El pipeline de traducción (descarga, OCR, LLM, inpainting, render, MOBI, bot de Telegram) vive en un repo aparte y expone una API REST FastAPI en `:8080` (`API_BASE_URL`), que esta web consume vía proxy.
|
||
|
||
**Dominio de producción:** `manga.cbcren.online` (vía Caddy con auto-HTTPS)
|
||
**Doc de arquitectura original:** ver `agy.md` (AGY = Arquitectura, Galerías, Yapa)
|
||
|
||
---
|
||
|
||
## Stack
|
||
|
||
| Capa | Tecnología |
|
||
|------|-----------|
|
||
| Framework | Next.js **16.2.11** (App Router, Turbopack, `output: standalone`) |
|
||
| UI | React **19.2.4**, Tailwind CSS **4**, iconos lucide-react |
|
||
| Datos | SQLite vía `better-sqlite3` ^13 (modo WAL), SWR ^2.4.2 en cliente |
|
||
| Auth | JWT HS256 vía `jose` ^6 (cookie `session`, expiración 7d) |
|
||
| Utilidades | JSZip ^3 (parseo CBZ en cliente), TypeScript 5 |
|
||
| Deploy | Docker (multi-stage Node 22-alpine) o systemd + Node directo; Caddy como reverse proxy |
|
||
|
||
---
|
||
|
||
## Arquitectura General
|
||
|
||
```
|
||
┌─────────────────────────────────────┐
|
||
│ Caddy (manga.cbcren.online) │
|
||
│ auto-HTTPS + TLS │
|
||
└──────────────┬──────────────────────┘
|
||
│
|
||
┌──────────────▼──────────────────────┐
|
||
│ worst-scan-web (Next.js) │
|
||
│ puerto 3000 (container) │
|
||
│ │
|
||
│ ┌─────────────────────────────┐ │
|
||
│ │ Sitio PÚBLICO (server-side)│ │
|
||
│ │ / /p/[slug] /tag/[tag] │ │
|
||
│ │ → SQLite directo (posts) │ │
|
||
│ └─────────────────────────────┘ │
|
||
│ ┌─────────────────────────────┐ │
|
||
│ │ Panel PRIVADO (client-side)│ │
|
||
│ │ /feed /queue /search │ │
|
||
│ │ /submit /admin/posts │ │
|
||
│ │ → SWR → /api/proxy/* │ │
|
||
│ └─────────────────────────────┘ │
|
||
│ ┌─────────────────────────────┐ │
|
||
│ │ API propia: /api/auth, │ │
|
||
│ │ /api/posts, /api/cover, │ │
|
||
│ │ /api/cron, /api/setup, │ │
|
||
│ │ /api/webhooks/manga, │ │
|
||
│ │ /api/proxy/[...path] │ │
|
||
│ └─────────────────────────────┘ │
|
||
└──────────────┬──────────────────────┘
|
||
│ API_BASE_URL (proxy)
|
||
┌──────────────▼──────────────────────┐
|
||
│ Pipeline REST (FastAPI :8080) │
|
||
│ /api/v1/health|status|galleries │
|
||
│ /summary|artifacts|cover|pages │
|
||
└─────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## Estructura de Archivos
|
||
|
||
```
|
||
src/
|
||
├── lib/
|
||
│ ├── db.ts # SQLite: tabla posts + capa de datos completa
|
||
│ ├── auth.ts # JWT HS256: createSession / verifySession
|
||
│ ├── api.ts # Cliente del pipeline REST (API_BASE_URL)
|
||
│ ├── types.ts # Interfaces (GallerySummary, etc.)
|
||
│ ├── cbz.ts # loadPagesFromCbz (JSZip) — cliente
|
||
│ ├── cover-cache.ts # cacheCover / getCoverPath (disco, por gid)
|
||
│ ├── poller.ts # startPoller / pollOnce — sync pipeline→posts
|
||
│ ├── settings.ts # initSettings / get / saveSettings (JSON)
|
||
│ ├── slug.ts # slugify / cleanTitle
|
||
│ └── utils.ts # formatSize, extractTag, cn, etc.
|
||
├── middleware.ts # Auth por prefijo de path (ver §Auth)
|
||
├── instrumentation.ts # register() → initSettings + startPoller (1 vez)
|
||
├── app/
|
||
│ ├── layout.tsx # Root: <html lang="es">, metadata, Inter
|
||
│ ├── globals.css # Tema oscuro + @utility Tailwind v4
|
||
│ ├── (public)/ # GRUPO PÚBLICO — server-side, sin login
|
||
│ │ ├── layout.tsx # Header sticky + nav "Buscar"
|
||
│ │ ├── page.tsx # / grid de posts publicados
|
||
│ │ ├── p/[slug]/page.tsx # detalle de post (fansub)
|
||
│ │ └── tag/[tag]/page.tsx # posts por tag
|
||
│ ├── (app)/ # GRUPO PRIVADO — client-side, login requerido
|
||
│ │ ├── layout.tsx # Sidebar desktop + bottom-nav móvil
|
||
│ │ ├── feed/page.tsx # /feed galleries del pipeline
|
||
│ │ ├── gallery/[gid]/page.tsx # detalle gallery
|
||
│ │ ├── gallery/[gid]/read/page.tsx # lector (paged/webtoon)
|
||
│ │ ├── queue/page.tsx # /queue estado pipeline
|
||
│ │ ├── search/page.tsx # /search nhentai/e-hentai
|
||
│ │ ├── submit/page.tsx # /submit encolar URLs
|
||
│ │ └── admin/posts/page.tsx + [id]/page.tsx # CRUD posts
|
||
│ ├── login/page.tsx # /login (password)
|
||
│ ├── setup/page.tsx # /setup primer arranque (4 campos)
|
||
│ └── api/ # Route handlers (ver §API)
|
||
├── components/ # cover-image, gallery-card, gallery-grid,
|
||
│ │ # post-card, tag-badge, filter-bar,
|
||
│ │ # search-form, submit-form, empty-state,
|
||
│ │ # layout/sidebar
|
||
├── hooks/ # use-galleries, use-queue, use-status
|
||
data/ # worst-scan.db (SQLite), covers/, (runtime)
|
||
deploy/ # Caddyfile, setup.sh, worst-scan-web.service
|
||
scripts/ # start.js, setup.sh
|
||
```
|
||
|
||
---
|
||
|
||
## Base de Datos (`src/lib/db.ts`)
|
||
|
||
SQLite vía `better-sqlite3`. Ruta: `process.env.DB_PATH` o `data/worst-scan.db`. WAL + `foreign_keys = ON`.
|
||
|
||
**Tabla `posts`:**
|
||
|
||
| Columna | Tipo | Notas |
|
||
|---------|------|-------|
|
||
| `id` | INTEGER | PK AUTOINCREMENT |
|
||
| `gid` | TEXT | NOT NULL, UNIQUE — id de la gallery del pipeline |
|
||
| `title` | TEXT | NOT NULL |
|
||
| `title_jpn` | TEXT | nullable |
|
||
| `artist` | TEXT | nullable |
|
||
| `parody` | TEXT | nullable |
|
||
| `tags` | TEXT | JSON serializado (`string[]`) |
|
||
| `num_pages` | INTEGER | DEFAULT 0 |
|
||
| `source` | TEXT | `nhentai` / `ehentai` |
|
||
| `cover_url` | TEXT | nullable |
|
||
| `url` | TEXT | nullable |
|
||
| `summary` | TEXT | nullable |
|
||
| `slug` | TEXT | UNIQUE NOT NULL — URL amigable `/p/{slug}` |
|
||
| `published` | INTEGER | DEFAULT 0 |
|
||
| `created_at` | TEXT | `datetime('now')` |
|
||
| `updated_at` | TEXT | `datetime('now')` |
|
||
| `published_at` | TEXT | nullable |
|
||
|
||
**Índices:** `idx_posts_gid`, `idx_posts_slug` (redundantes con UNIQUE), `idx_posts_published`, `idx_posts_created(created_at DESC)`.
|
||
|
||
**Funciones de la capa de datos:** `getDb()`, `migrate()`, `rowToPost()`, `getAllPosts(publishedOnly)`, `getPostById()`, `getPostByGid()`, `getPostBySlug()`, `createPost()`, `updatePost()`, `publishPost()`, `deletePost()`, `getPostsByTag()` (usa `json_each`), `getPostCount()`, `getGidsNotInPosts()` (**stub — devuelve `[]`**).
|
||
|
||
> ⚠️ **`createPost` publica por defecto** (`published = input.published ?? 1`) — todo post nuevo sale publicado.
|
||
> ⚠️ **`updatePost` interpola los nombres de columna del body sin whitelist** → riesgo de SQL injection (ver §Bugs).
|
||
|
||
---
|
||
|
||
## Autenticación (`src/lib/auth.ts` + `src/middleware.ts`)
|
||
|
||
- **Cookie:** `session` (httpOnly, `secure` en production, sameSite lax, 7d).
|
||
- **Token:** JWT HS256, payload `{ authenticated: true, timestamp }`, expiración `7d`.
|
||
- **Secret:** `process.env.JWT_SECRET || process.env.WEB_PASSWORD || "worst-scan-web-dev-secret"` ⚠️ fallback predecible.
|
||
- **Login:** `POST /api/auth/login` con `{ password }` → compara con `WEB_PASSWORD`. **Si no hay `WEB_PASSWORD` configurada, emite sesión sin verificar nada.**
|
||
- **Logout:** `POST /api/auth/logout` borra la cookie (el JWT no se revoca, solo expira).
|
||
- **Middleware** (`src/middleware.ts`): paths en `publicPaths` → allow; páginas `/`, `/p/`, `/tag/` → allow; **sin `WEB_PASSWORD` → TODO abierto**; si no, exige cookie válida → redirect `/login`.
|
||
|
||
**`publicPaths`:** `/login`, `/api/auth/login`, `/api/auth/logout`, `/api/health`, `/api/proxy/health`, `/api/posts`, `/api/cover`, `/api/cron`, `/api/setup`, `/setup`, `/_next`, `/favicon.ico`, `/fonts`.
|
||
|
||
> ⚠️ **BUG:** la coincidencia es por **prefijo** (`pathname.startsWith(p)`): `/api/posts` también destapa `/api/posts/[id]` y `/api/posts/[id]/publish`; `/api/cron` destapa `/api/cron/poll`. Consecuencia: crear/editar/borrar/publicar posts y disparar el cron **nunca requieren auth**.
|
||
|
||
---
|
||
|
||
## API Propia (route handlers)
|
||
|
||
| Ruta | Métodos | Auth | Función |
|
||
|------|---------|------|---------|
|
||
| `/api/auth/login` | POST | pública | Valida password → setea cookie `session` |
|
||
| `/api/auth/logout` | POST | pública | Borra cookie |
|
||
| `/api/health` | GET | pública | `{status:"ok", uptime}` — healthcheck |
|
||
| `/api/cover/[gid]` | GET | pública | Sirve portada cacheada (`Cache-Control: public, max-age=86400`); si falta, self-cachea desde `/api/proxy/galleries/{gid}/cover`; 404 si no hay |
|
||
| `/api/cron/poll` | GET | pública (bug) | Invoca `pollOnce()` → `{ok, newPosts}` |
|
||
| `/api/posts` | GET/POST | pública (bug) | GET: lista posts (`?published=1` filtra); POST: crea (409 si el gid existe) |
|
||
| `/api/posts/[id]` | GET/PATCH/DELETE | pública (bug) | GET detalle; PATCH `updatePost` (⚠️ SQLi); DELETE borra + cover |
|
||
| `/api/posts/[id]/publish` | POST | pública (bug) | `{publish: bool}` → `publishPost` |
|
||
| `/api/proxy/[...path]` | GET/POST/PUT/DELETE/PATCH | protegida* | Proxy inverso al pipeline (`API_BASE_URL` + `/` + subpath) |
|
||
| `/api/setup` | GET/POST | pública | GET: `{configured}`; POST: guarda allowlist `["API_BASE_URL","API_KEY","WEB_PASSWORD","WEBHOOK_SECRET"]` en `data/settings.json` ⚠️ sin auth |
|
||
| `/api/webhooks/manga` | POST | firma HMAC* | Crea/actualiza post desde el pipeline + cachea cover |
|
||
|
||
\* cuando `WEB_PASSWORD`/`WEBHOOK_SECRET` están configurados; si no, abiertos.
|
||
|
||
---
|
||
|
||
## Proxy (`src/app/api/proxy/[...path]/route.ts`)
|
||
|
||
- Target: `API_BASE = process.env.API_BASE_URL || "http://127.0.0.1:8080/api/v1"`.
|
||
- Autentica upstream con `X-API-Key: process.env.API_KEY` si está set.
|
||
- Mapeo: `/api/proxy/galleries/123?x=1` → `{API_BASE}/galleries/123?x=1` (query string se pasa tal cual).
|
||
- Reenvía body (blob) solo en métodos no-GET/HEAD; copia `Content-Type` de vuelta; descarta `content-encoding/content-length/transfer-encoding`.
|
||
- Errores upstream → `502 {error:{code:"proxy_error", message}}`.
|
||
- `GET /api/proxy/health` público (allowlist); el resto protegido por sesión (si `WEB_PASSWORD` set).
|
||
|
||
---
|
||
|
||
## Poller (`src/lib/poller.ts` + `src/instrumentation.ts`)
|
||
|
||
- `POLL_INTERVAL_MS = 60_000` — corre cada 1 minuto (más una vez al arranque).
|
||
- Arranque: `instrumentation.ts` → `register()` (solo `NEXT_RUNTIME === "nodejs"`) llama `initSettings()` + `startPoller()`.
|
||
- **`pollOnce()`:**
|
||
1. Lista `api.galleries.list("completed", 1, 100)` + `api.galleries.translated()` del pipeline.
|
||
2. Por cada gid: `api.galleries.summary(gid)`.
|
||
3. `cleanTitle()` + `slugify(cleanT, gid)`; sintetiza summary (`synopsis` o `generateSummary()`).
|
||
4. **Auto-publica todo:** no existe → `createPost({..., published: 1})`; existe → `updatePost`.
|
||
5. `cacheCover(gid, "http://127.0.0.1:{PORT||3000}/api/proxy/galleries/{gid}/cover")`.
|
||
|
||
> ⚠️ **BLOQUEANTE CONOCIDO:** el endpoint `/galleries` del pipeline solo lista las galleries del UrlQueue activo (~6), no las traducidas en `output/artifacts/` (~38 invisibles). El poller no puede descubrirlas. Solución: que `/galleries` escanee `output/artifacts/` o use `/galleries/translated`.
|
||
|
||
> ⚠️ **BUG self-fetch:** `cacheCover` fetchea `/api/proxy/...` (protegido por middleware); sin cookie de servidor, con `WEB_PASSWORD` set el fetch recibe redirect 307 a `/login` y **guarda HTML de login como portada**.
|
||
|
||
---
|
||
|
||
## Webhook (`src/app/api/webhooks/manga/route.ts`)
|
||
|
||
- **Solo POST.** Firma HMAC-SHA256 del raw body; header `x-signature-256` o `X-Signature-256`. Secret: `WEBHOOK_SECRET || FANSUB_WEBHOOK_SECRET`. **Sin secret configurado → verificación omitida, endpoint abierto.**
|
||
- **Payload:** `gid` (req), `title` (req), `tags[]`, `num_pages|pages`, `synopsis`, `url`, `source`, `title_jpn`, `artist`, `parody`, `cover_url`.
|
||
- **Acción:** no existe → `createPost({..., published: 1})`; existe → `updatePost`. Luego `cacheCover(...)` (mismo bug de self-fetch).
|
||
- Respuesta `{success, gid, post}`; 401 firma mala; 400 sin gid/title.
|
||
|
||
---
|
||
|
||
## Caché de Portadas (`src/lib/cover-cache.ts`)
|
||
|
||
- Storage: `process.env.COVERS_DIR || data/covers/`. Archivo por gid: `{gid}.{ext}` (sin hash).
|
||
- `cacheCover(gid, proxyUrl)`: fetch con timeout 15s → buffer a disco; falla silenciosa (`null`).
|
||
- `getCoverPath(gid)`: `readdirSync().filter(f => f.startsWith(gid + "."))`. `getCoverContentType`, `deleteCover`.
|
||
|
||
---
|
||
|
||
## CBZ (`src/lib/cbz.ts`) — solo cliente
|
||
|
||
- `loadPagesFromCbz(url, signal?)` → `{pages, pageCount}`: fetch → JSZip → filtra imágenes (`.jpg/.jpeg/.png/.webp/.gif/.bmp`) → ordena por primer número en el nombre → `URL.createObjectURL` por página.
|
||
- `revokePageUrls(urls)` libera los object URLs.
|
||
- No hay lectura de CBZ en servidor ni endpoints de páginas reales (plan: `/api/pages/[gid]`).
|
||
|
||
---
|
||
|
||
## Frontend — Grupos y Páginas
|
||
|
||
### `(public)` — server-side, sin login (lee SQLite directo)
|
||
- `/` — grid de posts publicados (`getAllPosts(true)`), `PostCard`, `grid-cols-2 sm:3 md:4 xl:5`.
|
||
- `/p/[slug]` — detalle de post: portada `/api/cover/{gid}`, título + `title_jpn`, badge "Antología/Tomo" si `isAnthology` (tags anthology/compilation/tankoubon o `num_pages >= 100`), `TagBadge` (artist/parody → `/tag/...`), sinopsis solo si `isRealSynopsis` (no empieza con `**`/`Fuente:` y >50 chars), "Más publicaciones" (4 compact). Botones: Leer Manga (`/gallery/[gid]/read` — **privado**), Ver en nhentai/e-hentai, Archivos (desktop).
|
||
- `/tag/[tag]` — posts por tag (`getPostsByTag`), `decodeURIComponent(tag)` ⚠️ sin try/catch.
|
||
|
||
### `(app)` — client-side, login requerido (SWR → `/api/proxy/*`)
|
||
- `/feed` — galleries del pipeline (`useGalleries(status, 1)` → SWR `/api/proxy/galleries?page=1&per_page=50&status=...`, refresh 30s/10s), `FilterBar` + `GalleryGrid` + skeletons.
|
||
- `/gallery/[gid]` — detalle: SWR `/summary` + `/artifacts`, `CoverImage`, tags, badge ESP, lista de archivos colapsable, botones Leer/Original/Eliminar.
|
||
- `/gallery/[gid]/read` — **lector**: modos `paged` (zoom 0.5–3, flechas, slider, tap zones, swipe >40px, precarga 2 págs) y `webtoon` (scroll continuo, lazy desde 5ª); controles auto-ocultos 3.5s; fullscreen (`f`); keyboard `←→`, `+/-/0`; cascada de fallback para páginas: `/pages` → `/summary` (num_pages) → `/artifacts` → HEAD `/cover` → error. Root `fixed inset-0 z-50 bg-[#09090b] text-white touch-none`.
|
||
- `/queue` — estado pipeline: SWR `/api/proxy/queue?status=...&per_page=100` + `/api/proxy/status` (refresh 10s), `SlotGauge`, `StatBox`, botón Retry.
|
||
- `/search` — `SearchForm`: POST `/api/proxy/search` `{query, source}` → grid con estado `blocked`; "Encolar" / "Encolar todo (N)" → POST `/api/proxy/galleries`.
|
||
- `/submit` — `SubmitForm`: textarea URLs → POST `/api/proxy/galleries` por línea.
|
||
- `/admin/posts` — CRUD posts: toggle publicar (POST `/api/posts/{id}/publish`), eliminar (confirm), links a `/p/{slug}` y `/gallery/{gid}`; editor `[id]`: PATCH `{title, summary, slug}`.
|
||
- Layout: `Sidebar` desktop fija (`w-56`, 5 links + Salir) + bottom-nav móvil (`h-14`, sin Salir); logo apunta a `/` (público).
|
||
|
||
### Standalone
|
||
- `/login` — password → POST `/api/auth/login` → `/feed`.
|
||
- `/setup` — primer arranque: GET `/api/setup` → si `configured` va a `/feed`; si no, 4 campos (`API_BASE_URL`, `API_KEY`, `WEB_PASSWORD` min 6, `WEBHOOK_SECRET`) → POST `/api/setup`.
|
||
|
||
### Hooks
|
||
`useGalleries(status, page)` (usado), `useGallery` (muerto), `useQueue`/`useQueueStats` (muertos), `useStatus`/`useSystemStatus` (muerto). QueuePage y GalleryDetailPage reimplementan SWR inline con fetcher duplicado.
|
||
|
||
---
|
||
|
||
## Estilos (Tailwind CSS 4)
|
||
|
||
- `@import "tailwindcss" source("../../src")` en `globals.css`. Sin CSS modules.
|
||
- **Tema oscuro exclusivo** (`html { color-scheme: dark }`): `--background:#09090b`, `--surface:#18181b`, `--border:#27272a`, `--foreground:#fafafa`, `--muted:#a1a1aa`, `--accent:#6366f1` (indigo), `--success:#22c55e`, `--warning:#eab308`, `--error:#ef4444` (+ variantes `-subtle`), `--radius:.5rem`.
|
||
- `@utility` custom: `card`, `card-hover`, `tag-pill`, `btn`, `btn-primary`, `btn-ghost`, `btn-danger`, `input`, `skeleton` (+ shimmer).
|
||
- Fuente **Inter** (`@font-face` woff2 de fonts.gstatic.com, fallback system-ui). Iconos lucide-react. Scrollbars finos.
|
||
- Hardcodeos menores: lector `bg-[#09090b]` fijo; badge ESP emerald fijo.
|
||
|
||
---
|
||
|
||
## Variables de Entorno (`.env` / `.env.example`)
|
||
|
||
| Variable | Default | Propósito |
|
||
|----------|---------|-----------|
|
||
| `API_BASE_URL` | `http://host.docker.internal:8080/api/v1` | Base URL del pipeline REST (bare-metal: `127.0.0.1`) |
|
||
| `API_KEY` | *(vacío)* | API key del pipeline (vacío = sin auth upstream) |
|
||
| `WEB_PASSWORD` | *(vacío)* | Password del panel admin (vacío = todo abierto) |
|
||
| `WEBHOOK_SECRET` | *(vacío)* | Validación HMAC del webhook |
|
||
| `DB_PATH` | `data/worst-scan.db` | Ruta SQLite |
|
||
| `COVERS_DIR` | `data/covers` | Directorio de portadas |
|
||
| `JWT_SECRET` | — | (usado por auth.ts si existe; si no, cae a `WEB_PASSWORD`) |
|
||
| `PORT` | 3000 | Puerto del server (Dockerfile/systemd) |
|
||
| `HOSTNAME` | 0.0.0.0 | Bind (Docker/systemd) |
|
||
|
||
---
|
||
|
||
## Despliegue
|
||
|
||
**Dos estrategias documentadas, MUTUAMENTE EXCLUYENTES:**
|
||
|
||
### A) Docker (agy.md — la real en producción)
|
||
- Multi-stage Node 22-alpine: `deps` (python3/make/g++ para better-sqlite3 + `npm ci`) → `builder` (`npm run build`) → `runner` (usuario `nextjs` uid 1001, `EXPOSE 3000`, `ENV PORT=3000 HOSTNAME=0.0.0.0 DB_PATH=/app/data/worst-scan.db COVERS_DIR=/app/data/covers`, `VOLUME /app/data`, HEALTHCHECK `wget /api/health`).
|
||
- Compose: `expose: 3000` (sin mapeo), `env_file: .env`, `extra_hosts: host.docker.internal:host-gateway`, red `caddy` (external), volumen `data:/app/data`, `restart: unless-stopped`.
|
||
- Caddy en contenedor `caddy-ingress` con auto-HTTPS para `manga.cbcren.online`; recarga: `docker exec caddy-ingress caddy reload --config /etc/caddy/Caddyfile`. Caddyfile canónico del host: `/home/ren/immich/Caddyfile`.
|
||
|
||
### B) systemd + Node directo (`install.sh` / `deploy/setup.sh`)
|
||
- Instala Node 22 + Caddy, `npm run build`, corre `.next/standalone/server.js` bajo systemd (`Type=exec`, `Restart=always`, `HOSTNAME=127.0.0.1`, `PORT=3000`).
|
||
- ⚠️ `install.sh` **desinstala Docker** a propósito — no conviven con la estrategia A.
|
||
- ⚠️ `deploy/setup.sh` escribe `WorkingDirectory=$APP_DIR/standalone` (falta `.next/`).
|
||
- ⚠️ **`deploy/setup.sh:22` contiene la contraseña de sudo hardcodeada en texto plano** — CRÍTICO, parametrizar.
|
||
|
||
### Scripts
|
||
- `npm start` → `scripts/start.js`: sincroniza `.next/static` → standalone, `NODE_ENV=production`, spawn `node server.js` con `PORT`/`HOSTNAME`.
|
||
- `install.sh`: swap 1GB si <512MB → git/curl → **Docker cleanup** → Node 22 (nodesource) → mirror npm si China → Caddy (cloudsmith) → clone `gitea.cbcren.online/renato97/worst-scan-web` (reset --hard) → `.env` (nunca sobreescribe) → build → systemd unit → bloque Caddy `:80` → health wait → resumen con `http://IP/setup`.
|
||
|
||
---
|
||
|
||
## Bugs Conocidos & Deuda Técnica
|
||
|
||
### 🔴 Seguridad
|
||
1. **SQL injection en `updatePost`** (`db.ts:148-170`) — nombres de columna del body interpolados sin whitelist; permite sobrescribir `published`/`published_at` y columnas arbitrarias.
|
||
2. **Middleware por prefijo** (`middleware.ts:23`) — `/api/posts*` y `/api/cron*` públicos en la práctica (PATCH/DELETE/publish/cron sin auth).
|
||
3. **Sin `WEB_PASSWORD` → app 100% abierta**, incluidas rutas admin.
|
||
4. **`/api/setup` sin auth** — cualquiera configura la app y fija secrets (guardados en texto plano en `data/settings.json`).
|
||
5. **Webhook sin `WEBHOOK_SECRET` → abierto** (crear/modificar posts arbitrarios).
|
||
6. **JWT fallback predecible** (`worst-scan-web-dev-secret`); si se usa `WEB_PASSWORD` como clave, quien la conozca forja tokens.
|
||
7. **Password de sudo hardcodeada** en `deploy/setup.sh:22`.
|
||
8. Logout no revoca el JWT (solo expira); sin refresh/rotación.
|
||
|
||
### 🐛 Funcionales
|
||
9. **~38 galerías invisibles** — `/galleries` del pipeline solo lista las del UrlQueue (~6); el poller no descubre las traducidas. Bloqueante para la web.
|
||
10. **Cover self-cache rota con auth** — fetch de servidor sin cookie recibe 307 → guarda HTML de login como portada.
|
||
11. **`createPost` publica todo por defecto** — no hay flujo de borrador real.
|
||
12. `getGidsNotInPosts()` es un **stub** (`return []`).
|
||
13. `ALTER TABLE posts ADD COLUMN url` en `migrate()` es **código muerto** (columna ya existe → siempre lanza y se traga).
|
||
14. **Enlaces rotos público→privado**: "Buscar" (`/search`) y "Leer Manga" (`/gallery/[gid]/read`) llevan a rutas con login.
|
||
15. **Bug de conteo en `SubmitForm`** — `"X de Y ok"` inflado (cuenta todo menos `"?"`); criterio de fila inconsistente con el contador.
|
||
16. **Hooks muertos**: `useGallery`, `useQueue`, `useQueueStats`, `useStatus` — sin uso; fetcher SWR duplicado en 6 archivos.
|
||
17. **Overlap bottom-nav móvil** — el layout `(app)` no compensa la nav fija (`p-0` sin `pb-14`).
|
||
18. **Logo del sidebar → `/`** (saca al usuario del panel al sitio público); **sin logout en móvil**.
|
||
19. **`decodeURIComponent(tag)` sin try/catch** → 500 con `%` literal en el tag.
|
||
20. **Sin paginación** — `per_page=50/100` fijos, sin UI de página pese a que la API devuelve `meta`.
|
||
21. Lector: zoom solo desktop; tap zones inertes en webtoon; `touch-none`+`touch-pan-y` pueden trabar scroll; título `g/{gid}` si falla summary.
|
||
22. `window.location.href = "/feed"` tras eliminar (recarga completa); errores silenciosos en editor de posts, retry y search.
|
||
|
||
### 🟡 Docs / Infra
|
||
23. `README.md` es boilerplate de create-next-app; `AGENTS.md` (viejo) documentaba el pipeline Python que no está en este repo — esta versión lo reemplaza.
|
||
24. Docker vs systemd contradictorios (`install.sh` desinstala Docker).
|
||
25. `.env.example` con paths Docker (`/app/data`, `host.docker.internal`) que en bare-metal hay que sobreescribir.
|
||
26. CORS `*` en la API del pipeline (lockear en producción).
|
||
27. `dominios-disponibles.md` desactualizado (`manga.cbcren.online` figura libre).
|
||
|
||
---
|
||
|
||
## Roadmap / Plan Pendiente (de `agy.md`, 7 pasos)
|
||
|
||
1. Columnas `pages_count`, `mobi_stored`, `cbz_path` en `posts`.
|
||
2. Nuevo `src/lib/gallery-store.ts` (downloadAndExtractCbz con JSZip, downloadMobi, getPagePath…).
|
||
3. Rewrite del poller (que descubra galleries traducidas).
|
||
4. Endpoints `/api/pages/*` y `/api/download/*/mobi`.
|
||
5. Mover lector a grupo `(reader)/` (fuera del layout admin).
|
||
6. 6 UI fixes (enlaces públicos, paginación, hooks, bottom-nav…).
|
||
7. Cover fallback a `pages/001.jpg`.
|
||
|
||
---
|
||
|
||
## What NOT to Add
|
||
|
||
- No CI/CD pipelines, no pre-commit hooks, no linter/formatter configs nuevos (seguir el espíritu del repo).
|
||
- No escribir raw SQL fuera de `db.ts`.
|
||
- No exponer secrets en texto plano (ni en scripts ni en `settings.json`).
|
||
- No nuevos entry points sin discusión previa.
|