send-gift: rediseño al original — es la tienda, pero regalando

El original lo dice en su propio texto ("los objetos disponibles son los mismos
de la tienda") y lo confirma su JS, que usa #store-list y .store-add-button: el
regalo NO tiene catálogo propio, es la tienda con el correo a otro personaje.
Nosotros teníamos una tabla aparte (home_item) con 8 objetos y precios en euros.

Ahora send-gift monta StoreBrowser en modo `gift`: mismo catálogo (3068 ítems,
PD/PV), mismo carrito con cantidades y las cuatro formas de pago. Antes NO tenía
Stripe: solo SumUp, PD y PV.

Dos pasos, como el original: primero #char-select-div (personaje de origen,
destino, confirmación y token) y solo al pulsar "Mostrar Regalos" aparece el
catálogo. Se borran SendGiftForm, /api/gift/checkout y lib/gift (ya no los usa
nadie); la tabla home_item se queda en la BD, sin usar.

Tres cosas que el usuario pidió y que estaban mal:
- El formulario va con `noValidate`: los avisos los damos nosotros en rojo
  (#show-gif-response), no el navegador.
- "Mostrar Regalos" ahora valida contra el SERVIDOR (que el personaje de origen
  sea tuyo, que el destino exista y que el token sea correcto). Antes elegías
  objetos para descubrir al final que el destino no existía.
- BUG REAL: el nombre del destino distinguía mayúsculas. `characters.name` es
  `utf8mb4_bin`, así que "innakh" NO encontraba a "Innakh" (comprobado: 0
  resultados; con COLLATE, 1). `findCharacterByName` busca sin distinguir y
  devuelve el nombre CANÓNICO, que es el que va al comando SOAP.

La validación vive en lib/gift-check y la usan las dos rutas: /api/gift/check (el
botón) y /api/gift/send, que revalida porque el cliente puede saltarse el paso 1.

También se quita del texto "El pago se realiza mediante SumUp": el original no lo
dice y además ya era falso con cuatro formas de pago.

Verificado: innakh / INNAKH / InNaKh resuelven a "Innakh"; token malo y destino
inexistente salen en rojo sin pasar al catálogo. Con 500 PD de saldo de prueba,
2 copias de un ítem de 200 pasan el cobro (deliveryFailed por el worldserver
caído, con su reembolso) y 3 dan insufficientPd: el servidor cobra por copias.
Datos de prueba borrados.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

web-next/app/api/gift/check/route.ts

@@ -0,0 +1,25 @@
+import { getSession } from '@/lib/session'
+import { checkGift } from '@/lib/gift-check'
+
+/**
+ * Valida el paso 1 de "Enviar regalo" (botón "Mostrar Regalos"): que el
+ * personaje de origen sea tuyo, que el de destino exista y que el token sea
+ * correcto. Sin esto el usuario elegía objetos y solo descubría al final que el
+ * destino no existía o el token estaba mal, como pasaba antes.
+ */
+export async function POST(request: Request) {
+  const session = await getSession()
+  if (!session.accountId || !session.username) {
+    return Response.json({ success: false, error: 'notAuthenticated' }, { status: 401 })
+  }
+  let body = {}
+  try {
+    body = await request.json()
+  } catch {
+    return Response.json({ success: false, error: 'invalidRequest' }, { status: 400 })
+  }
+  const r = await checkGift(session.accountId, body)
+  if ('error' in r) return Response.json({ success: false, error: r.error })
+  // Devuelve el nombre canónico para que el carrito envíe exactamente ese.
+  return Response.json({ success: true, destination: r.destination })
+}

web-next/app/api/gift/checkout/route.ts

@@ -1,104 +0,0 @@
-import { randomUUID } from 'crypto'
-import { getSession } from '@/lib/session'
-import { getGameCharacters, getAccountIdByCharacterName } from '@/lib/characters'
-import { checkSecurityToken } from '@/lib/security-token'
-import { createSumUpCheckout, sumupConfigured } from '@/lib/sumup'
-import { priceCart, isValidCharName, sendGiftByMail, type CartLine } from '@/lib/gift'
-import { payServiceWithDPoints, payServiceWithVPoints } from '@/lib/pay-with-dpoints'
-
-/**
- * Inicia el pago (SumUp) de un regalo. Condiciones:
- *  - Sesión con cuenta de juego seleccionada.
- *  - Personaje de ORIGEN: uno de tu cuenta.
- *  - Personaje de DESTINO: un nombre válido que exista (el de un amigo).
- *  - Token de seguridad válido.
- *  - Carrito no vacío; el total se calcula con los precios REALES de la BD.
- * Al pagar, la reconciliación/return envía los ítems por correo (`.send items`).
- */
-export async function POST(request: Request) {
-  const session = await getSession()
-  if (!session.accountId) return Response.json({ success: false, error: 'notAuthenticated' }, { status: 401 })
-
-  let body: { source?: string; destination?: string; cart?: CartLine[]; security_token?: string; provider?: string; locale?: string } = {}
-  try {
-    body = await request.json()
-  } catch {
-    return Response.json({ success: false, error: 'invalidRequest' }, { status: 400 })
-  }
-
-  const source = String(body.source ?? '')
-  const destination = String(body.destination ?? '').trim()
-  const token = String(body.security_token ?? '').trim()
-  const cart = Array.isArray(body.cart) ? body.cart : []
-
-  if (!source || !destination || !token) {
-    return Response.json({ success: false, message: 'Completa el personaje de origen, el de destino y el token de seguridad.' })
-  }
-  if (!isValidCharName(destination)) {
-    return Response.json({ success: false, message: 'El nombre del personaje de destino no es válido.' })
-  }
-
-  // Origen: debe pertenecer a tu cuenta.
-  const chars = await getGameCharacters(session.accountId)
-  if (!chars.find((c) => c.name === source)) {
-    return Response.json({ success: false, message: 'El personaje de origen no pertenece a tu cuenta.' })
-  }
-
-  // Destino: debe existir.
-  const destAccount = await getAccountIdByCharacterName(destination)
-  if (!destAccount) return Response.json({ success: false, message: 'El personaje de destino no existe.' })
-
-  // Token de seguridad.
-  if (!(await checkSecurityToken(session.accountId, token))) {
-    return Response.json({ success: false, message: 'El token de seguridad no es válido.' })
-  }
-
-  // Carrito -> precio real (BD). Nunca se confía en el precio del cliente.
-  const priced = await priceCart(cart)
-  if (!priced || priced.total <= 0) {
-    return Response.json({ success: false, message: 'Tu carrito está vacío o contiene objetos no válidos.' })
-  }
-
-  const site = process.env.SITE_URL || ''
-  const items = priced.lines.map((l) => ({ i: l.itemId, q: l.qty }))
-
-  // Pago con saldo PD o PV: se descuenta el saldo y se envía el regalo al momento.
-  // PV es más caro que PD (son puntos gratis por votar).
-  if (String(body.provider) === 'pd' || String(body.provider) === 'vp') {
-    const useVp = String(body.provider) === 'vp'
-    const r = useVp
-      ? await payServiceWithVPoints(session.accountId, priced.total, () => sendGiftByMail(destination, source, items))
-      : await payServiceWithDPoints(session.accountId, priced.total, () => sendGiftByMail(destination, source, items))
-    if (!r.success) return Response.json({ success: false, error: r.error, message: 'No se pudo completar el pago.' })
-    const locale = String(body.locale) === 'en' ? 'en' : 'es'
-    return Response.json({
-      success: true,
-      url: `${site}/${locale}/service-success?service=send-gift&provider=${useVp ? 'vp' : 'pd'}&name=${encodeURIComponent(destination)}`,
-    })
-  }
-
-  if (String(body.provider) !== 'sumup' || !sumupConfigured()) {
-    return Response.json({ success: false, error: 'notConfigured', message: 'El método de pago no está disponible ahora mismo.' })
-  }
-
-  const ip = (request.headers.get('x-forwarded-for') || '').split(',')[0].trim() || '0.0.0.0'
-  const reference = randomUUID()
-  const description = `Regalo para ${destination} (${priced.lines.length} objeto${priced.lines.length === 1 ? '' : 's'})`
-
-  const r = await createSumUpCheckout({
-    accountId: session.accountId,
-    username: session.username || '',
-    email: session.bnetEmail || '',
-    acoreIp: ip,
-    amount: priced.total,
-    points: 0,
-    reference,
-    description,
-    returnUrl: `${site}/service-success?service=send-gift&provider=sumup&ref=${reference}`,
-    service: 'send-gift',
-    characterName: destination,
-    metadata: { sender: source, items: JSON.stringify(items), amount: String(priced.total) },
-  })
-  if (!r.success || !r.url) return Response.json({ success: false, error: r.error || 'sumupError', message: 'No se pudo iniciar el pago.' })
-  return Response.json({ success: true, url: r.url })
-}

web-next/app/api/gift/send/route.ts

@@ -0,0 +1,125 @@
+import { randomUUID } from 'crypto'
+import { getSession } from '@/lib/session'
+import { getGameCharacters, findCharacterByName } from '@/lib/characters'
+import { checkGift } from '@/lib/gift-check'
+import {
+  priceStoreCart,
+  purchaseStoreCart,
+  storeEuroTotal,
+  createStoreOrder,
+  storeConcept,
+  giftMail,
+  isValidCharName,
+  type StoreCartLine,
+} from '@/lib/store'
+import { CARD_MIN_EUR } from '@/lib/store-pricing'
+import { createCheckoutSession } from '@/lib/stripe'
+import { createSumUpCheckout, sumupConfigured } from '@/lib/sumup'
+
+function safeLocale(v: unknown): string {
+  return v === 'en' ? 'en' : 'es'
+}
+
+/**
+ * Envío de un regalo: es la compra de la tienda pero el correo va a OTRO
+ * personaje y diciendo quién lo manda. Mismo catálogo y mismo carrito
+ * (`priceStoreCart`), así que los precios se recalculan igual contra la BD.
+ *
+ * A diferencia de la tienda exige, como el original: personaje de origen de tu
+ * cuenta, personaje de destino que exista, y token de seguridad.
+ */
+export async function POST(request: Request) {
+  const session = await getSession()
+  if (!session.accountId || !session.username) {
+    return Response.json({ success: false, error: 'notAuthenticated' }, { status: 401 })
+  }
+
+  let body: {
+    source?: string
+    destination?: string
+    items?: StoreCartLine[]
+    security_token?: string
+    provider?: string
+    locale?: string
+  } = {}
+  try {
+    body = await request.json()
+  } catch {
+    return Response.json({ success: false, error: 'invalidRequest' }, { status: 400 })
+  }
+
+  const check = await checkGift(session.accountId, body)
+  if ('error' in check) return Response.json({ success: false, error: check.error })
+  const { source, destination } = check
+
+  const cart = await priceStoreCart(Array.isArray(body.items) ? body.items : [])
+  if (!cart) return Response.json({ success: false, error: 'emptyCart' })
+
+  const provider = String(body.provider ?? 'balance')
+  const mail = giftMail(source)
+
+  if (provider === 'stripe' || provider === 'sumup') {
+    const amount = storeEuroTotal(cart.pdTotal, cart.vpTotal)
+    const minEur = CARD_MIN_EUR[provider]
+    if (amount < minEur) return Response.json({ success: false, error: 'amountTooLow', min: minEur })
+
+    const ref = randomUUID()
+    // El pedido se guarda a nombre del DESTINO: es a quien hay que entregarlo
+    // cuando la pasarela confirme el pago.
+    if (!(await createStoreOrder(ref, session.accountId, destination, cart))) {
+      return Response.json({ success: false, error: 'genericError' })
+    }
+
+    const site = process.env.SITE_URL || ''
+    const ip = (request.headers.get('x-forwarded-for') || '').split(',')[0].trim() || '0.0.0.0'
+    const productName = storeConcept(cart, {
+      bnetEmail: session.bnetEmail,
+      account: session.username,
+      character: `${source} → ${destination}`,
+      ip,
+    })
+    // `sender` lo necesita la entrega para redactar el correo del regalo.
+    const metadata = { service: 'send-gift', order_ref: ref, sender: source }
+    const back = `${site}/${safeLocale(body.locale)}/send-gift`
+
+    if (provider === 'sumup') {
+      if (!sumupConfigured()) return Response.json({ success: false, error: 'notConfigured' })
+      const r = await createSumUpCheckout({
+        accountId: session.accountId,
+        username: session.username || '',
+        email: session.bnetEmail || '',
+        acoreIp: ip,
+        amount,
+        points: 0,
+        reference: ref,
+        description: productName,
+        returnUrl: `${site}/service-success?service=send-gift&provider=sumup&ref=${ref}`,
+        service: 'send-gift',
+        characterName: destination,
+        metadata,
+      })
+      if (!r.success || !r.url) return Response.json({ success: false, error: r.error || 'sumupError' })
+      return Response.json({ success: true, url: r.url })
+    }
+
+    const r = await createCheckoutSession({
+      accountId: session.accountId,
+      username: session.username || '',
+      email: session.bnetEmail || '',
+      acoreIp: ip,
+      amount,
+      characterName: destination,
+      productName,
+      successUrl: `${site}/service-success?service=send-gift&name=${encodeURIComponent(destination)}`,
+      cancelUrl: back,
+      metadata,
+    })
+    if (!r.success || !r.url) return Response.json({ success: false, error: 'stripeError' })
+    return Response.json({ success: true, url: r.url })
+  }
+
+  // Saldo PD/PV: se cobra a TU cuenta y el correo va al personaje de destino.
+  const r = await purchaseStoreCart(session.accountId, destination, cart, mail)
+  if (!r.success) return Response.json({ success: false, error: r.error })
+  return Response.json({ success: true })
+}