FERR FERNANDA

Cómo usé cada tecnología

Spring Boot 3

Estructura en capas (controller → service → repository), DTOs y un manejador global de errores con respuestas consistentes.

Spring Security + JWT

El login entrega un token y cada endpoint exige un rol con @PreAuthorize; las contraseñas se guardan con BCrypt.

PostgreSQL + Flyway

El esquema vive en migraciones versionadas (tablas, índices y datos de desarrollo), así la base se recrea igual en cualquier entorno.

Spring Data JPA

Búsqueda paginada de pacientes por RUT, nombre o email sin escribir SQL a mano.

Docker Compose

Levanta API y PostgreSQL con un comando; imagen multi-stage con usuario no-root, y Compose se detiene si falta un secreto.

JUnit 5 + Mockito

22 tests: validador de RUT, servicio de pacientes y un test de regresión de seguridad.

SpringDoc OpenAPI

Swagger UI para documentar y probar cada endpoint.

Decisiones y seguridad

• Detecté que el registro de usuarios era público y permitía crearse una cuenta ADMIN: ahora solo un admin puede registrar usuarios, con un test que lo comprueba.
• Sin credenciales ni JWT secret por defecto: todo se lee de variables de entorno (.env.example).
• El admin inicial se crea desde una variable de entorno y su contraseña ya no se imprime en los logs.

Cómo usé cada tecnología

Flask + Jinja2

Rutas, plantillas y filtros propios (edad, IMC y estado de cada signo vital) usados directamente en el HTML.

SQLite

Persistencia sin servidor externo; todas las consultas van parametrizadas con ?.

Flask-WTF

Protección CSRF en todos los formularios que envían datos.

JavaScript vanilla

Validación en vivo y confirmación de borrado sin scripts inline, compatible con una CSP estricta.

pytest

19 tests: creación de consultas, campos obligatorios, rechazo sin token CSRF, headers de seguridad y configuración.

gunicorn

Servidor de producción para el despliegue (Procfile).

Decisiones y seguridad

• Debug apagado por defecto y servidor en 127.0.0.1: debug=True en 0.0.0.0 expone la consola de Werkzeug a la red.
• La app no arranca en producción sin SECRET_KEY.
• Headers CSP, X-Frame-Options, X-Content-Type-Options y Referrer-Policy en todas las respuestas.
• Proyecto educativo: no está pensado para datos clínicos reales.

Cómo usé cada tecnología

React

Componentes reutilizables: cronología desplegable, pestañas de la tríada CIA y filtro vulnerabilidad → medidas que la mitigan.

JSON + node:test

Todo el contenido vive en un JSON y los tests verifican que cada referencia a una fuente y cada vínculo vulnerabilidad → medida existan.

Vite + GitHub Actions

Build de producción y despliegue automático en GitHub Pages en cada push.

WAI-ARIA

Pestañas navegables con flechas, acordeón con aria-expanded y filtros con aria-pressed y aria-live.

CSS propio

Estética terminal, estilos de impresión para exportar a PDF y prefers-reduced-motion.

Decisiones y seguridad

• Contrastar fuentes corrigió la versión original: el malware fue un wiper (KillDisk), no WannaCry, y se quitaron cifras sin respaldo.
• Verificada con axe-core: 0 violaciones WCAG 2.1 AA.

Cómo usé cada tecnología

Python (biblioteca estándar)

Una clase por principio: control de acceso por roles con log de auditoría, integridad de notas e impacto de un DDoS con plan de continuidad.

hashlib (SHA-256)

Un hash por registro académico detecta cualquier cambio hecho por fuera del sistema; los cambios no autorizados se revierten.

HTML + JavaScript

Versión interactiva para probar roles y recursos desde el navegador.

pytest + ruff

16 tests y lint con reglas de seguridad (bandit) en CI.

Decisiones y seguridad

• Los tests revelaron que el control de acceso permitía recursos desconocidos (fail-open); ahora deniega por defecto.
• Un hash sin clave detecta cambios accidentales, pero contra un atacante haría falta un HMAC: queda documentado como mejora.

Cómo usé cada tecnología

React + Vite

Siete secciones navegables, búsqueda global con Ctrl/Cmd + K, modo claro/oscuro persistente y exportación a PDF.

Simulador propio

Muestra token a token cómo seis payloads clásicos alteran una consulta, sin conectarse a ninguna base de datos.

CSS responsive

Diseño para móvil, tablet y escritorio sin librerías de UI.

Decisiones y seguridad

• Enseñar el concepto sin publicar material ofensivo funcional.
• La prevención se centra en consultas parametrizadas; la validación y el escape son capas extra.

Cómo usé cada tecnología

HTML semántico + CSS

Layout responsive con custom properties y menú hamburguesa en móvil.

JavaScript vanilla

Las tarjetas de servicios se generan desde un arreglo de datos, el formulario se valida en el cliente y las animaciones respetan prefers-reduced-motion.

Vercel

Despliegue con headers de seguridad: CSP, X-Frame-Options, Referrer-Policy y Permissions-Policy.

Decisiones y seguridad

• Para que la CSP prohíba estilos inline, el encuadre de las imágenes pasó de style="..." a CSSOM.
• El navbar translúcido sobre la aurora animada no cumplía el contraste AA: se le dio fondo oscuro.

Cómo usé cada tecnología

Express

API REST separada en rutas, controladores y middleware; la validación en el servidor (nombre, categoría, precio > 0, stock ≥ 0) es la fuente de verdad.

Middleware propio

Un logger registra método, ruta y hora de cada petición.

React

Componentes (formulario, tabla, estadísticas, notificaciones) con useState, useMemo para las métricas y useCallback para los manejadores.

Axios

Una capa services/api.js centraliza las llamadas y convierte los errores en mensajes legibles para el usuario.

Vercel

Frontend y API desplegados juntos: los rewrites envían /productos a una función serverless que reutiliza la app Express.

node:test

6 tests de la API sin dependencias extra: CRUD completo, validaciones, JSON malformado y headers.

Decisiones y seguridad

• CORS restringible con la variable FRONTEND_URL y sin la cabecera X-Powered-By.
• El manejador de errores ya no devuelve err.message al cliente en producción.
• listen() solo se ejecuta al correr el servidor directamente, para poder testear la app.

Cómo usé cada tecnología

Django (vistas genéricas)

ListView, CreateView, UpdateView y DeleteView cubren el CRUD; la vista de listado calcula las métricas del inventario.

Django Forms

clean_fecha_vencimiento rechaza fechas pasadas antes de guardar.

ORM + migraciones

SQLite en local y PostgreSQL vía DATABASE_URL en producción, sin cambiar el código.

WhiteNoise

Sirve los archivos estáticos (incluido el admin) en el entorno serverless.

Vercel

Al arrancar se aplican las migraciones y se crea el superusuario desde variables de entorno.

Tests de Django

Listado, creación, eliminación y rechazo de fechas vencidas.

Decisiones y seguridad

• SECRET_KEY obligatoria en producción: antes, si faltaba, se usaba una clave insegura.
• Cookies Secure, HSTS y Referrer-Policy cuando DEBUG está apagado; el CI corre manage.py check --deploy.