Estándares de Revisión de Código

## Lista de Verificación de Revisión de PR de Node
 
### Bloqueadores (deben corregirse)
- [ ] No hay promesas flotantes (`@typescript-eslint/no-floating-promises`)
- [ ] Consultas de DB parametrizadas (sin SQL de concatenación de cadenas)
- [ ] No hay secretos, tokens o PII en los logs
- [ ] `try/finally` o `using` para conexiones/streams adquiridos
- [ ] Migraciones compatibles con la implementación N-1
- [ ] Comprobación de AuthZ en cada ruta de mutación
 
### Debería corregirse
- [ ] Tiempos de espera en HTTP saliente (`AbortSignal.timeout`)
- [ ] Límite de tasa en endpoints públicos
- [ ] Pruebas para rutas de error, no solo para la ruta feliz
 
### Nits (opcional)
- [ ] Nomenclatura, claridad de los comentarios

// BLOQUEO: promesa flotante - el manejador devuelve antes de que el trabajo se complete
app.get("/bad", (req, res) => {
  fetchData().then((d) => res.json(d)); // sin .catch
});
 
// OK: manejador asíncrono con propagación explícita de errores (Express 5 pasa al middleware de errores)
app.get("/good", async (req, res) => {
  const data = await fetchData();
  res.json(data);
});

// BLOQUEO: inyección SQL
const id = req.params.id;
await pool.query(`SELECT * FROM users WHERE id = ${id}`);
 
// OK: parametrizado
await pool.query("SELECT * FROM users WHERE id = $1", [id]);

// BLOQUEO: PII en logs
req.log.info({ email: user.email, ssn: user.ssn });
 
// OK: identificadores redactados
req.log.info({ userId: user.id, action: "login" });

// BLOQUEO: fuga de conexión en la ruta de error
const client = await pool.connect();
const result = await client.query("SELECT 1");
client.release();
 
// OK: siempre liberar
const client = await pool.connect();
try {
  return await client.query("SELECT 1");
} finally {
  client.release();
}

const REDACT = ["password", "token", "email", "ssn", "authorization"];
// Usar rutas de redacción de pino: ['req.headers.authorization', 'body.password']

[ ] ¿Expandir el paso solo en este PR?
[ ] ¿Existe una migración inversa O está documentada una corrección hacia adelante?
[ ] ¿Indexar CONCURRENTLY para tablas grandes?
[ ] ¿La carga útil del trabajo del worker sigue siendo compatible?