Registro de café

Método 4:6 de Tetsu Kasuya, una variable por extracción. App y API en el mismo Worker, datos en D1, fotos en R2 y sesión por cookie HttpOnly.

La regla del experimento es cambiar una sola variable entre extracciones y ver qué pasa; el software solo existe para que esa regla se pueda cumplir. El servidor calcula lo que puede calcular —el reparto escalado a partir de la receta y el agua real, el ratio, los días de tueste— y el cliente no manda nada de eso: si lo mandara, dos bitácoras acabarían discrepando.

Que la app y la API compartan origen no es cosmético: elimina CORS de raíz y es lo que permitió sacar el token de `localStorage` y meterlo en una cookie `HttpOnly`, `SameSite=Strict`. El JavaScript ya no puede leerla, así que un XSS no se lleva el token, y otro sitio no puede provocar una escritura desde tu navegador. Sin secreto configurado, el Worker falla cerrado: no autoriza a nadie.