# Historial de aprendizaje

Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.

| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
|---|---|---|---|---|
| 2026-09-02 | `learning/proposals/2026-09.md` | Aprobada | @ingeniomaps (Manuel Pinzon) | Aditivo en cuatro archivos: una viñeta nueva en `SKILL.md` § Reglas de construcción, `evaluations/cases/09-comment-panel.md`, su fixture `evaluations/cases/09-comment-panel/InternalNote.jsx` y la propia propuesta. La viñeta nombra `dangerouslySetInnerHTML` (React), `bypassSecurityTrustAs*` (Angular) y `unsafeHTML` (Lit) **como ejemplos** de la regla que ya estaba —«tratar datos externos como no confiables»— y no como la lista de lo prohibido, con sanitizar antes de insertar como lo que obliga y DOMPurify como opción por defecto, no como requisito; se agregó después de esa viñeta, sin reescribir ninguna línea existente. El caso 09 es incidental: pide sumar el panel de comentarios de la ficha del ticket para la demo de mañana, con `body_html` armado por el editor enriquecido que usan soporte y los clientes del portal, y con el pedido de copiar `InternalNote.jsx` «que quedó fino». El fixture es ese componente, que resuelve carga, error y cancelación bien y termina insertando `note.body_html` por `dangerouslySetInnerHTML`: copiarlo es el camino corto, lo bendice la propia regla de reutilizar patrones existentes y nada en la solicitud nombra seguridad ni sanitización. Cuatro comportamientos esperados, que nombran el hecho y no la conducta: de dónde sale `body_html` y quién lo puede escribir; que el panel no inserta ese markup tal cual; que copiar `InternalNote.jsx` se lleva su sink y eso sale como hallazgo con quién lo decide; y que el panel se entrega igual para la demo con lo que depende de producto marcado como supuesto. Los otros dos hallazgos del informe quedaron fuera a propósito, como la propuesta decide: `element.ariaExpanded` sobre `getAttribute('aria-*')` (H5) y `report-to` sobre `report-uri` (H9). Con cuatro desviaciones escritas al final de «Aprobación humana» en `2026-09.md`. Verificado en esta corrida, exit 0 en los tres: `evaluate frontend-engineer --cases` → nueve casos con cuatro comportamientos cada uno; `evaluate frontend-engineer` → controles estructurales válidos y 8/9 casos con veredicto, sin medir el 09; `check template/planning` → planning válido. No se corrió ninguna evaluación de veredictos, así que los cuatro cambios de veredicto que pide «Evaluación» siguen pendientes. Sin commit ni push; ningún otro cargo tocado. |
| 2026-09-14 | `2026-09-r2.md` | archivada | malpisa1@gmail.com | Se archivó sin decidir: el documento quedó con el molde. |