Local D2 Troubleshooting

Troubleshooting local D2

Usa esta pagina cuando algo no cuadra despues de levantar backend y frontend local.

Primer diagnostico

Si ves Authorization en Network, la causa mas probable es una de estas:

Arrancaste legacy manualmente.
Una terminal vieja sigue corriendo.
El navegador conserva residuos de una sesion legacy.
Frontend y backend no estan apuntando al mismo modo.
El backend no esta leyendo AUTH_COOKIE_MODE=d2.
El frontend no esta leyendo VUE_APP_BROWSER_AUTH_TRANSPORT=cookie.

La regla simple:

En desarrollo local normal, Authorization no debe aparecer en peticiones del frontend web.

Tabla de sintomas

Sintoma	Causa probable	Como resolver
Veo `Authorization` en Network	Estas usando legacy	Usa `npm run dev` y `npm run serve`, no legacy
Veo `Authorization` aunque uso `npm run serve`	Frontend viejo o terminal vieja	Cierra terminal, borra proceso Node viejo, vuelve a levantar
No aparecen cookies	Backend no esta en D2 o CORS/credentials mal	Verifica env y backend `npm run dev`
Aparece CORS error	Puerto frontend no esta en allowlist	Agregar origin local correcto o usar puerto documentado
Login devuelve tokens en JSON	Backend esta en legacy	Verificar `AUTH_COOKIE_MODE=d2`
Refresh manda body con token	Frontend legacy	Verificar `VUE_APP_BROWSER_AUTH_TRANSPORT=cookie`
`document.cookie` muestra access/refresh	Cookies no son HttpOnly	Bug critico
localStorage tiene token	Estas en legacy o hay residuo viejo	Clear site data y revisar scripts

Paso 1: confirma los comandos

Backend correcto:

cd F:\HemiaAssistantGlobal\hemia-assistance-back-legacy
npm run dev

Frontend correcto:

cd F:\HemiaAssistantGlobal\hemia-assistance-front-legacy
npm run serve

Estos tambien son correctos:

npm run dev:d2
npm run serve:d2

Estos son legacy y no son desarrollo normal:

npm run dev:legacy
npm run serve:legacy

Si usaste legacy, ver Authorization es esperado.

Paso 2: cierra procesos viejos

Cierra terminales viejas primero.

Luego revisa puertos:

netstat -ano | findstr :3009
netstat -ano | findstr :8080
netstat -ano | findstr :8081

No mates procesos automaticamente. Identifica el PID y confirma que es un Node local tuyo antes de cerrarlo desde Task Manager o con el comando aprobado por el equipo.

Paso 3: limpia navegador

En Chrome o Edge:

DevTools.
Application.
Storage.
Clear site data.
Repite para los origenes locales que hayas usado:
- http://localhost:8080
- http://127.0.0.1:8080
- http://localhost:8081
- http://127.0.0.1:8081
- el puerto que muestre tu frontend.
Cierra pestana.
Abre pestana nueva.
Login otra vez.

Consola util:

localStorage.clear()
sessionStorage.clear()
document.cookie

Recuerda: document.cookie no puede borrar cookies HttpOnly. Si quieres limpiar todo sin pensar demasiado, usa Clear site data.

Paso 4: revisa DevTools sin interpretar de mas

Network

En una peticion normal a la API:

Authorization: no debe existir
Cookie: puede existir
X-CSRF-Token: debe existir en POST/PUT/PATCH/DELETE

Si la peticion es GET, puede no llevar X-CSRF-Token. Eso no es error.

Application > Cookies

Debe existir:

medsync_at_dev
medsync_rt_dev
medsync_csrf_dev

Debe verse:

medsync_at_dev    HttpOnly = true
medsync_rt_dev    HttpOnly = true
medsync_csrf_dev  HttpOnly = false

Console

document.cookie

Esperado:

Puede aparecer medsync_csrf_dev.
No deben aparecer medsync_at_dev ni medsync_rt_dev.

Storage

Busca en localStorage y sessionStorage:

token
access_token
refresh_token
refreshtoken
jwt
Authorization
permissions
business
tenantOperational

Si aparece cualquiera de esos como dato auth real, limpia navegador y repite. Si vuelve a aparecer despues de limpiar y levantar D2, tratalo como bug.

Paso 5: valida por comando

Backend:

cd F:\HemiaAssistantGlobal\hemia-assistance-back-legacy
node scripts\qa\d2-auth-cookie-config.js validate
node scripts\qa\d2-refresh-cookie-runtime-regression.js full

Frontend:

cd F:\HemiaAssistantGlobal\hemia-assistance-front-legacy
node scripts\qa\d2-frontend-regression.js full
node scripts\qa\d2-session-lifecycle-frontend.js full

Browser:

node scripts\qa\d2-browser-security-evidence.js

El browser QA se usa con fixtures ficticios y ambiente local/controlado. No lo apuntes a datos reales.

Errores comunes

Use `npm start` en backend

Para local normal usa npm run dev. npm start no fue cambiado para forzar D2 local.

Tengo dos frontends abiertos

Puedes estar mirando localhost:8080 pero el servidor nuevo esta en localhost:8081. Verifica la URL exacta que imprime Vue CLI.

Limpie localStorage pero siguen cookies

Eso puede pasar porque access/refresh son HttpOnly. Usa logout o Clear site data.

Veo `Cookie` y pense que era malo

En D2, Cookie es normal. Lo que no debe existir es Authorization.

Veo `vue-session-key`

Puede existir como llave tecnica. No debe contener tokens, permisos, business ni tenant operacional.

Primero revisa CSRF y CORS:

frontend esta en puerto allowlisted;
backend esta en D2;
X-CSRF-Token existe en login o mutaciones;
CORS_CREDENTIALS=true;
no estas mezclando localhost con 127.0.0.1 de forma no permitida.

Checklist para pedir ayuda

Manda esto:

Comando exacto del backend.
Comando exacto del frontend.
URL frontend usada.
URL API configurada.
Screenshot de Network con el request donde aparece Authorization.
Screenshot de Application > Cookies.
Logs iniciales de backend y frontend sin secretos.
Si aplica, resultado de:
Terminal window
```
npm run dev -- --help
```
Confirmacion de si usaste dev:legacy o serve:legacy.
Confirmacion de si hiciste Clear site data.

No mandes passwords, OTPs, access tokens, refresh tokens, cookies completas ni .env.local.