feat: serialization audit and implementation

[GallaGit]

Resumen

• Auditoría y cierre del hito de serialización de la API HealthCore: los 31 endpoints quedan clasificados como Ya serializado en docs/audit/serialization-audit.md.
• Cada ruta JSON declara un response_model Pydantic explícito; se separan esquemas de entrada y salida (p. ej. SupplierResponse vs SupplierCreate, RegisterResponse sin email).
• Auth endurecida: login solo token; forgot/reset/change solo message; registro sin email; GET /auth/me puede devolver el email del llamante.
• Listados más ligeros (IncidentListItem, InventoryOrderListItem) y evidencias de auditoría reubicadas en docs/audit/.

Objetivo y alcance

Cerrar contratos de respuesta indefinidos en FastAPI para que el backend no exponga ORM/dict crudos ni campos sensibles, alineado con el consumo del backoffice.

Archivos principales

• Backend: services/app/models/*, routers/*, schemas.py, domain/supplier_service.py, domain/user_service.py
• Docs: docs/audit/serialization-audit.md, docs/audit/README.md, services/README(.es).md, memory-bank/*, bitacora.md
• Front (tipos): uis/backoffice/types/auth.ts, incidentManager.ts, inventory.ts, lib/services/authApi.ts

Validación

• Smoke API post-docker compose up --build: register sin email, login token-only, /auth/me con email, suppliers, incidents lean, OpenAPI
• Postman: POST /auth/login + GET /auth/me con Bearer
• Checklist de auditoría 31/31 Ya serializado

Riesgos / seguimiento

• Rebuild de Docker necesario tras merge para que contenedores viejos no sirvan schemas antiguos.
• docs/telemetry/ no forma parte de esta PR (otro hito).
• TODO opcional: unificar deletes en MessageResponse.message en lugar de DetailResponse.detail.

Plan de prueba

• Levantar API (docker compose up --build o uvicorn local)
• POST /users → body sin email
• POST /auth/login → solo token; GET /auth/me → email del usuario
• Revisar schemas en http://127.0.0.1:8000/docs
• Smoke rápido: GET /suppliers, GET /api/incidents con Bearer

Made with Cursor