Agrupa las pestañas de la ficha del proyecto y revisa la seguridad de sus acciones

Controller/EditTareaProyecto.php

@@ -61,7 +61,7 @@ protected function createViews()
             ? $this->getModel()->idproyecto
             : $this->request->queryOrInput('idproyecto', '');
 
-        $this->tab($this->mainTabName())->addButton([
+        $this->mainTab()->addButton([
             'type' => 'link',
             'action' => 'KanbanProyectos?idproyecto=' . $idproyecto,
             'icon' => 'fa-brands fa-trello',
@@ -133,7 +133,7 @@ protected function loadData($viewName, $view)
                     $this->setTemplate('Error/AccessDenied');
                 } elseif (false === $view->model->getProject()->editable) {
                     $this->disableTaskColumns($view);
-                    $this->tab('EditTareaProyecto')->disableColumn('code');
+                    $this->mainTab()->disableColumn('code');
                 }
 
                 // Si el modelo no existe, desactivamos la pestaña de archivos
@@ -144,15 +144,15 @@ protected function loadData($viewName, $view)
                 break;
 
             case 'EditNotaProyecto':
-                $where = [Where::eq('idtarea', $this->tabModelValue($mainViewName, 'idtarea'))];
+                $where = [Where::eq('idtarea', $this->mainTabModelValue('idtarea'))];
                 $view->loadData('', $where, ['fecha' => 'DESC']);
                 if (false === $view->model->exists()) {
-                    $view->model->idproyecto = $this->tabModelValue($mainViewName, 'idproyecto');
+                    $view->model->idproyecto = $this->mainTabModelValue('idproyecto');
                 }
                 break;
 
             case 'docfiles':
-                $this->loadDataDocFiles($view, $this->getModelClassName(), $this->tabModelValue($mainViewName, 'idtarea'));
+                $this->loadDataDocFiles($view, $this->getModelClassName(), $this->mainTabModelValue('idtarea'));
                 break;
         }
     }

Controller/KanbanProyectos.php

@@ -21,6 +21,7 @@
 
 use FacturaScripts\Core\Template\Controller;
 use FacturaScripts\Core\Where;
+use FacturaScripts\Dinamic\Lib\MultiRequestProtection;
 use FacturaScripts\Dinamic\Model\EstadoProyecto;
 use FacturaScripts\Dinamic\Model\FaseTarea;
 use FacturaScripts\Dinamic\Model\Proyecto;
@@ -74,20 +75,32 @@ private function moveTaskAction(): void
         if (false === $this->permissions->allowUpdate) {
             $this->response()->json(['ok' => false, 'error' => 'not-allowed']);
             return;
+        } elseif (false === $this->validateFormToken()) {
+            $this->response()->json(['ok' => false, 'error' => 'invalid-request']);
+            return;
         }
 
+        // devolvemos un token nuevo para el siguiente movimiento
+        $token = (new MultiRequestProtection())->newToken();
+
         $idtarea = (int) $this->request()->input('idtarea', '0');
         $idfase = (int) $this->request()->input('idfase', '0');
 
         $task = new TareaProyecto();
-        if ($idtarea > 0 && $task->load($idtarea)) {
-            $task->idfase = $idfase;
-            $task->save();
-            $this->response()->json(['ok' => true]);
+        if ($idtarea <= 0 || false === $task->load($idtarea)) {
+            $this->response()->json(['ok' => false, 'token' => $token]);
+            return;
+        }
+
+        // el usuario debe poder ver el proyecto y este debe ser editable
+        $project = $task->getProject();
+        if (false === $project->userCanSee($this->user) || false === $project->editable) {
+            $this->response()->json(['ok' => false, 'error' => 'not-allowed', 'token' => $token]);
             return;
         }
 
-        $this->response()->json(['ok' => false]);
+        $task->idfase = $idfase;
+        $this->response()->json(['ok' => $task->save(), 'token' => $token]);
     }
 
     private function loadProjects(): void
@@ -108,7 +121,10 @@ private function loadSelectedProject(): void
 
         $this->project = new Proyecto();
         if ($idproyecto > 0) {
-            $this->project->load($idproyecto);
+            // si el usuario no puede ver el proyecto, no lo cargamos
+            if ($this->project->load($idproyecto) && false === $this->project->userCanSee($this->user)) {
+                $this->project = new Proyecto();
+            }
         } elseif (!empty($this->projects)) {
             $this->project = $this->projects[0];
         }

Extension/Controller/EditCliente.php

@@ -48,7 +48,7 @@ public function loadData(): Closure
     {
         return function ($viewName, $view) {
             if ($viewName === 'ListProyecto') {
-                $codcliente = $this->tabModelValue($this->mainTabName(), 'codcliente');
+                $codcliente = $this->mainTabModelValue('codcliente');
                 $where = [Where::eq('codcliente', $codcliente)];
                 $view->loadData('', $where);
             }

Extension/Controller/EditProducto.php

@@ -50,7 +50,7 @@ public function loadData(): Closure
     {
         return function ($viewName, $view) {
             if ($viewName === 'ListStockProyecto') {
-                $idproducto = $this->tabModelValue($this->mainTabName(), 'idproducto');
+                $idproducto = $this->mainTabModelValue('idproducto');
                 $where = [Where::eq('idproducto', $idproducto)];
                 $view->loadData('', $where);
             }

View/KanbanProyectos.html.twig

@@ -206,6 +206,7 @@
     <script>
         document.addEventListener('DOMContentLoaded', function () {
             var editable = {{ fsc.project.editable and fsc.permissions.allowUpdate ? 'true' : 'false' }};
+            var multireqtoken = '{{ formToken(false) }}';
 
             document.querySelectorAll('.kanban-column').forEach(function (column) {
                 new Sortable(column, {
@@ -215,7 +216,8 @@
                     chosenClass: 'sortable-chosen',
                     disabled: !editable,
                     onEnd: function (evt) {
-                        if (evt.from === evt.to && evt.oldIndex === evt.newIndex) {
+                        // el orden dentro de una fase no se guarda, solo el cambio de fase
+                        if (evt.from === evt.to) {
                             return;
                         }
 
@@ -232,9 +234,13 @@
                             method: 'POST',
                             headers: {'Content-Type': 'application/x-www-form-urlencoded'},
                             body: 'idtarea=' + taskId + '&idfase=' + newPhaseId
+                                + '&multireqtoken=' + encodeURIComponent(multireqtoken)
                         }).then(function (response) {
                             return response.json();
                         }).then(function (data) {
+                            if (data.token) {
+                                multireqtoken = data.token;
+                            }
                             if (!data.ok) {
                                 location.reload();
                             }

facturascripts.ini

@@ -1,5 +1,5 @@
 name = 'Proyectos'
 description = 'Permite gestionar proyectos, tareas, vincular usuarios, documentos de compra y de venta.'
-version = 5.21
-min_version = 2026.65
+version = 5.22
+min_version = 2026.7
 compatible = 'FacturasProgramadas'

package.json

@@ -0,0 +1,7 @@
+{
+  "name": "proyectos",
+  "private": true,
+  "dependencies": {
+    "sortablejs": "^1.15.6"
+  }
+}