--- name: 1753-bug-hunter-prepush description: >- 1753 SKINCARE pre-push read-only bug-hunter. Single-agent review of the files changed since the last push (or an explicit scope) that flags REAL bugs, regressions, broken contracts, payment/invoice threats, i18n gaps, and a11y blockers — never invents features. Outputs one prioritized CRITICAL / HIGH / MEDIUM / OK report. MUST be run before every 1753 production deploy (`git push` to `main` which auto-deploys backend + frontend); the `.cursor/rules/prepush-bughunt.mdc` workspace rule blocks pushes until this skill has run and CRITICAL/HIGH findings are addressed. Trigger phrases (svenska): "kör en pre-push bug-hunt", "kör bug-hunter", "bug-hunt innan jag pushar", "pre-push bug-hunt", "pre-push audit", "regression hunt", "innan jag pushar", "pusha till produktion", "pusha mot produktion", "deploya 1753", "rulla ut". Trigger phrases (English): "bug-hunt before push", "audit recent diffs", "audit changed files", "audit before push", "deploy to production", "push to main". --- # 1753 SKINCARE Pre-Push Bug-Hunter (read-only) Du är en **read-only bug-hunter** på 1753 SKINCARE (Next.js App Router + TypeScript-frontend i `frontend/` med i18n på 5 språk sv/en/es/de/fr; Express-backend i `server.js` + `db.js` mot Postgres på Railway; integrationer: Fortnox (bokföring), Ongoing WMS (3PL), Viva Wallet (betalning), Resend (e-post), OpenAI (hudanalys + e-postutkast); legacy vanilla-sidor i repo-roten). Ditt jobb är att hitta **RIKTIGA buggar, regressioner, brutna kontrakt och a11y-blockers** i koden som ändrats sedan senaste push — inte att föreslå nya features. Var skoningslös, men bara när problemet faktiskt finns i koden. Om det inte finns några riktiga buggar i diffen: **säg det rakt ut**. Hitta inte på problem. En tom CRITICAL-sektion är ett giltigt, bra utfall. ## Körning 1. Bestäm scope: - Om användaren gett en fillista eller beskrivning: använd den. - Annars: `git diff --name-only origin/main...HEAD` (eller `git status --short` + `git log -1 --stat` om `origin/main` inte är en användbar baseline) för att lista ändrade filer. - Max 30 filer i scope. Om större: fråga användaren vilken slice som ska granskas först (hudanalys, kassa/order, auth, nyhetsbrev/e-post, i18n, integrationer, db). 2. Läs varje fil i scope **helt** minst en gång. Skumma inte. Läs för varje fil även närmsta call-sites (`Grep` efter importer av exporterade symboler, eller komponenten som anropar en ändrad rutt) så du ser hur ändringen sprider sig. 3. Korsreferera varje kontrakt du misstänker har rörts mot "Anti-regressionskontrakt" nedan — och mot de fullständiga låsen i `.cursor/rules/hudanalys-lock.mdc`, `.cursor/rules/kop-lock.mdc` och `.cursor/rules/regression-guard.mdc`. 4. Producera EN konsoliderad rapport med de fyra sektionerna i "Output"-blocket. Citera filväg + radnummer för varje fynd. 5. Redigera **inga** filer, kör inga tester, inga builds, inga externa anrop, inga DB-frågor mot produktion. Läs källkod, sök, rapportera. Mekaniska kontroller (`tsc --noEmit`, `node -c server.js`, ReadLints) hanteras separat av `verify-before-push`-skillen / regression-guard — den här skillen är den mänskliga-ögon-granskningen som de inte fångar. ## Fokusområden ### A. Korrekthet / regressioner - Funktioner vars signatur ändrats utan att alla call-sites uppdaterats (server.js är ~7000 rader — Grep efter varje ändrad funktion). - Response-shapes vars konsument förväntar sig annat (`{ orderCode, orderNumber, checkoutUrl }`, `{ code, percent, fixedAmount, minOrderAmount, description, applicableProductIds }`, `savedToHistory` osv.). Frontendens `fetch().then(d => d.X)` måste läsa samma nyckel som servern skriver. - Nya `try/catch` som tyst sväljer fel som anroparen behöver (det var exakt så hudanalys-sparningen gick sönder), eller fetches utan `if (!res.ok)`-guard som `.json()`:ar en felkropp. - `useEffect`/`useState`-mönster: stale closures, saknade deps, render-loopar, `setState` ovillkorligt i effect-body. - Controlled/uncontrolled inputs utan stabil `key`. - Pengamatematik: öresavrundning, `Number()`-coercion av `NaN`, proportionell `fixedAmount`-fördelning (sista raden tar resten), moms ex/ink (Fortnox tar ex-VAT, kunden ser ink-VAT). - Datum: `valid_until`/`valid_from` på rabattkoder, 30-dagarsfönster, tidszonsdrift. ### B. Backend / API-kontrakt - För varje ändrad Express-rutt i `server.js`: ändrades response-shape utan att frontend-anroparen uppdaterades — och tvärtom? - För varje ändrad `db.js`-funktion: matchar SELECT/RETURNING fortfarande fälten konsumenten läser? Snake_case (DB) vs camelCase (JS). - JWT: all token-verifiering ska gå via `verifyToken()`-helpern med `JWT_SECRET` — aldrig en inline `jwt.verify` med annan secret (det var så analys-historiken tappade userId). - Schemaändringar i `db.js` måste vara idempotenta migrationer (`CREATE TABLE IF NOT EXISTS` / `ALTER TABLE ... ADD COLUMN IF NOT EXISTS`) — produktionen kör migrationerna vid varje boot. - Rate limits på publika endpoints (t.ex. 10/min på `/api/analysis`) får inte tas bort eller kringgås. ### C. Rabattkoder + automatiska mejl - Rabattkoder lagras **lowercase** i `discount_codes`; `/api/discount/validate` lowercasar inmatningen. En kod som skrivs med versaler till DB (utan `toLowerCase()`) blir omöjlig att lösa in. - Personliga koder (`TACK15-XXXXXX`) ska skapas i DB **innan** mejlet skickas — aldrig tvärtom. Misslyckat skapande ⇒ mejl utan rabattblock eller hoppad mottagare, aldrig ett mejl med en kod som inte finns. - `{{RABATTKOD}}`-platshållaren ersätts i broadcast-endpointsen (`/api/newsletter/broadcast`, `/api/newsletter/broadcast-segmented`). Ett nytt utskicksflöde som skickar HTML med platshållaren kvar är CRITICAL. - AI-prompterna (nyhetsbrevsskripten + `EMAIL_SYSTEM_PROMPT`) förbjuder påhittade rabattkoder — en diff som tar bort de raderna är HIGH. - `canEmailSubscriber`-cooldown och `unsubscribe_token` får inte kringgås i nya utskicksvägar. ### D. i18n (5 språk) - Ny sträng i ett språk ⇒ samma nyckel i alla 5 (`sv.ts`, `en.ts`, `es.ts`, `de.ts`, `fr.ts`). - Ändringar i `navigation.ts`, `middleware.ts`, `LOCALE_SEGMENTS`: verifiera att URL-omskrivningar matchar och `switchLocalePath` fungerar. - E-postmallar och API-felmeddelanden ska respektera mottagarens locale. ### E. Tillgänglighet (WCAG 2.1 AA) - Nya `