Backlog: backend WS/security hardening + frontend dashboard Wave 1

[cardosofede]

Resumen

Este branch acumula trabajo de backlog auditado y shippeado en varias tandas. Reúne 28 commits en tres bloques:

1. Backend / Telegram bot (ya shippeado, scope improvements/backend/)

Fixes de correctness, seguridad y performance auditados y cerrados:

• CORR-001 usar _executor_tasks en _on_data_update (AttributeError en runtime)
• CORR-002 sincronizar dicts _stopping_* con threading.Lock
• CORR-003 delete_user_preference persiste el borrado
• SEC-006 validar callback select contra allowed_values en api_keys
• SEC-007 control de acceso y anti-enumeración en /servers/{name}/status
• SEC-008 @restricted en handle_all_text_input
• SEC-009/010 WEB_JWT_SECRET dedicado + hardening del one-time login token
• PERF-004 batch eviction en candle buffer · PERF-005 asyncio.gather en refresh de historial
• ARCH-011..014 dedup de helpers (gateway/network/format) · READ-015..018 varios

2. Backlog (organización)

• Reorganización del backlog por dominio: general → improvements/backend/
• Auditoría del WS dashboard (condor/web): 8 items SEC-019..READ-026
• Tracking del backlog improvements/frontend/ (47 items del dashboard React)

3. Frontend dashboard — Wave 1 (9 items, scope improvements/frontend/)

Primera tanda de mejoras del dashboard React, cada una en su propio commit:

Item	Cambio
SEC-016	sandbox="allow-scripts allow-popups" en el iframe de reports (ReportBrowser)
SEC-046	mismo sandbox en ReportViewer (segunda instancia del sink same-origin)
SEC-036	encodeURIComponent en URLs de /api/v1/servers/* (lib/api.ts)
CORR-006	alinear el queryKey del WS con ["executors-infinite", server] (la lista no actualizaba en vivo)
CORR-027	SelectField ya no pisa un valor persistido ausente de las opciones actuales
CORR-028	React key de fila de controller usa controller_id (evita colisiones de reconciliación)
PERF-023	React.memo en ChatMessageView (no re-parsear markdown en cada token del stream)
CORR-041	AgentPnlChart actualiza la serie con seriesRef + efecto [data] (antes se congelaba tras el mount)
CORR-045	candle-store evicta LRU saltando colecciones activas (antes abortaba en la primera)

Verificación (Wave 1 frontend)

• ✅ tsc -b — limpio (exit 0)
• ✅ eslint — sin errores nuevos vs. baseline (114 preexistentes, 0 añadidos en archivos tocados)
• ✅ vite build — exit 0

Notas para review

• SEC-036 es el cambio más amplio (~134 líneas en lib/api.ts): conviene smoke test de páginas de trading/portfolio/bots.
• CORR-041 removió el guard if (data.length === 0) return null de AgentPnlChart (los consumidores ya gatean el mount con data no trivial; el guard causaba un self-unmount latente).
• SEC-016/046: confirmar que los reports Plotly/markdown siguen renderizando bajo el sandbox.

🤖 Generated with Claude Code