VibeFinance/Changelog.md

# Changelog

## [Niet vrijgegeven]

### Gewijzigd
- `release.ps1` leest een `.env.release` naast het script in (niet in git), zodat
  `GITEA_TOKEN` en de registry-credentials niet elke shell opnieuw gezet hoeven
  te worden; een variabele die al in de omgeving staat wint, en alleen de namen
  worden gelogd
- `.gitignore` negeert nu alle `.env.*` op `.env.example` na — `.env.release`
  zou anders door een `git add .` in git belanden
- `BEHEER.md` beschrijft welke token-scopes waarvoor nodig zijn
  (`write:package` voor de registry, `write:repository` voor een release) en
  hoe je een 404 in stap 5 nakijkt
- De draaiende versie komt uit de build in plaats van uit een bestand: de
  frontend leest `__APP_VERSION__` via het nieuwe `src/version.js`, niet meer
  rechtstreeks uit `frontend/package.json`. `vite.config.js` definieerde die
  constante al, maar niets gebruikte hem — een productie-image gebouwd terwijl
  er een `-dev` in `package.json` stond, sloeg de update-check stil helemaal
  over

## [0.1.8] - 2026-09-09

### Gewijzigd
- `BEHEER.md` beschrijft de registry-login die een deploy-machine nodig heeft om
  te kunnen pullen: het package is privé, dus ook `docker compose pull` vraagt
  een token (`read:package`) — anoniem geeft de registry `401 Unauthorized`
- Testsuite dekt nu het serveren van de favicon, de cache-headers daarop en de
  404 op ontbrekende bestanden
- `release.ps1 -DryRun` schrijft de frontend-versie niet meer echt weg: een
  droogloop meldde de sync wél en voerde hem óók uit, waardoor er na een
  `-DryRun` een gewijzigde `frontend/package.json` bleef liggen

### Opgelost
- De favicon bleef weg in de browser: `favicon.svg` en `icons/*` hebben geen
  hash in hun naam, maar kregen wel een jaar `immutable` mee — een eenmaal
  verkeerd gecacht antwoord revalideerde daardoor nooit meer. Alleen de
  gehashte bundels in `/assets` houden die cache; de rest revalideert
- `/favicon.ico` en `/apple-touch-icon.png` gaven via de SPA-fallback
  `index.html` terug met status 200 en `text/html` — de browser kreeg HTML waar
  hij een icoon verwachtte en toonde stil niets, zonder zichtbare fout. Paden
  met een bestandsextensie geven nu een echte 404

## [0.1.7] - 2026-09-08

### Gewijzigd
- Versienummer opgehoogd naar 0.1.7
- Eerste release vanaf de opnieuw aangemaakte Gitea-repository, met `main`
  als hoofdbranch

## [0.1.6] - 2026-09-04

### Gewijzigd
- **Migratie naar 2 containers**: de Express-app serveert nu zelf de gebouwde
  frontend op `/` (met SPA-fallback naar `index.html`); de aparte nginx-container
  is vervallen. Eén image, één origin, geen interne proxy — bedoeld voor
  self-hosting op een Raspberry Pi
- Nieuwe multi-stage `Dockerfile` in de root met targets `test`, `development`
  en `production`; `frontend/Dockerfile`, `frontend/nginx-spa.conf` en
  `backend/Dockerfile` zijn verwijderd
- `docker-compose.yml` bevat alleen nog `app` en `postgres`; de app publiceert
  `APP_PORT` (standaard 3400) naar containerpoort 3001
- Dev-stack draait beide processen in één container (`docker/dev-entrypoint.sh`):
  API met `node --watch` en de Vite dev-server met hot reload
- Rate limiting geldt alleen nog voor `/api` — statische bestanden werden anders
  na 200 requests geblokkeerd
- Content-Security-Policy via Helmet toegespitst op wat de frontend laadt
  (Google Fonts, inline styles, base64-avatars)
- Assets met hash worden een jaar `immutable` gecached, `index.html` nooit
- Schema-initialisatie zit nu in `initDb()` in plaats van bij het importeren van
  `db.js`, zodat de app zonder database te importeren is (tests)
- `dev.ps1`, `release.ps1` en de shell-wrappers werken met één app-image;
  `dev.ps1 up` wist de dev-database niet langer (alleen `dev.ps1 down`)
- `release.ps1` draait de testsuite vóór het publiceren en bouwt voor
  `linux/amd64` + `linux/arm64`
- Dependencies naar de nieuwste versies: React 19.2, Vite 8.2,
  @vitejs/plugin-react 6.1, Express 5.2, Helmet 8.3, express-rate-limit 8.7,
  pino 10.3 / pino-http 11, pg 8.23, dotenv 17.4, bcryptjs 3.0, ESLint 9.39
  (frontend) / 10.9 (backend)
- Express 5 vereist benoemde wildcards in routes; `app.use("/api/*")` en
  `app.get("*")` vervangen door een prefix-mount en pad-loze middleware
- `dev.ps1 up` gebruikt `--renew-anon-volumes`, anders blijven de oude
  `node_modules` in de dev-container staan na een upgrade
- Vite 8 bundelt met Rolldown: `manualChunks` (object-vorm) vervangen door
  `build.rollupOptions.output.advancedChunks`
- `release.ps1` controleert vóór de build of origin bereikbaar is en of je op de
  registry bent ingelogd, in plaats van pas na een multi-arch build te stranden
  op `401 Unauthorized`. Logt zelf in met `REGISTRY_USER` + `REGISTRY_TOKEN`
  wanneer die gezet zijn; `dev.ps1 push` doet dezelfde controle
- Git-commando's in `release.ps1` draaien met `BatchMode=yes`, zodat het script
  niet blijft hangen op een wachtwoordprompt van SSH
- `release.ps1`, `dev.ps1` en `test.ps1` eindigen expliciet met exitcode 0, en de
  slotregel van een `-DryRun` zegt nu dat er niets is gepubliceerd
- Mislukte stappen in `release.ps1` geven geen PowerShell-stacktrace meer maar
  een gerichte melding: bij een mislukte push wordt de registry-login opnieuw
  getest en volgt de bijbehorende instructie, bij een mislukte tag-push het
  https-alternatief

### Toegevoegd
- Testsuite: `backend/test/app.test.js` (11 tests met `node --test`) voor de
  API-routes, SPA-fallback, cache-headers en security-headers
- `test.ps1` / `test.sh`: backend-tests, productiebuild en smoketest op de
  echte 2-container stack
- `.env.example`, `.dockerignore` en `.gitignore`
- `STATIC_DIR` als omgevingsvariabele (map met de frontend-build)
- Dependency-check als eerste stap van de testsuite: `docker/check-updates.mjs`
  vergelijkt beide `package.json`'s met het npm-register, met bewuste
  uitzonderingen in `docker/update-exceptions.json` (`-Strict` om te falen,
  `-SkipDeps` om over te slaan)
- ESLint flat configs (`frontend/eslint.config.js`, `backend/eslint.config.js`) —
  `npm run lint` werkte voorheen niet, er was geen configuratie
- Lockfiles voor beide packages (`backend/package-lock.json` was er niet)
- `.gitattributes`: shell-scripts en Docker-bestanden altijd met LF, anders
  faalt het shebang in de container

---

## [0.1.5] - 2026-09-04

### Toegevoegd
- Donut-grafieken: hover per categorie toont naam, bedrag en percentage

### Gewijzigd
- Update-check loopt nu via de eigen backend (`/api/update-check`) in plaats van
  rechtstreeks naar de Gitea API — de browser blokkeerde die call (geen CORS-headers)
- Versievergelijking is semver-based: alleen een hoger versienummer meldt, `-dev`
  builds melden niets meer
- Update-check herhaalt zich elk half uur en bij terugkeer naar het tabblad
  (was: eenmalig bij laden)
- `release.ps1` maakt de Gitea-release aan met de changelog-sectie als release-notes
  (een kale Git-tag komt niet in `releases/latest` en gaf dus geen melding)
- Middenwaarde in de donut schaalt mee met de beschikbare ruimte

### Opgelost
- Donkere spleten tussen de donut-segmenten (de tussenruimte liet de achtergrondbaan zien)
- De update-melding op het belletje bleef altijd leeg door de geblokkeerde API-call

---

## [0.1.3] - 2026-04-16

### Toegevoegd
- Versienummer met logo zichtbaar boven de logout-knop in de sidebar

### Gewijzigd
- Registry verplaatst van intern IP (`10.0.3.108:3000`) naar publieke DuckDNS-hostnaam (`vibehoogie.duckdns.org`) — toegankelijk via Nginx Proxy Manager
- PostgreSQL productie geüpgraded van versie 16 naar 18 (volume mount aangepast naar `/var/lib/postgresql`)
- Witte rand rondom de app verwijderd (globale CSS reset toegevoegd, `App.css` gekoppeld aan `App.jsx`)

### Opgelost
- Login gaf "Kan geen verbinding maken met de server": `nginx-spa.conf` miste een `/api/` proxy-blok naar de backend-container — alle API-calls kwamen niet aan

---

## [0.0.4] - 2026-04-08

### Toegevoegd
- _Nog in ontwikkeling_

---

## [0.0.3] - 2026-04-08

### Toegevoegd
- Gebruikersbeheer haalt accounts op uit de backend API (was: localStorage)
- Gebruikers bewerken: naam, e-mailadres en wachtwoord aanpassen via ✏️ knop
- Nieuwe gebruiker aanmaken vereist nu ook een wachtwoord
- Eerste geregistreerde gebruiker krijgt automatisch de Admin-rol
- `aangemaakt` kolom toegevoegd aan de `users` tabel (zichtbaar in gebruikersbeheer)
- Custom dropdown component voor rolselectie (past donker thema)
- Voortgang overzicht gebruikt eigen `evVoortgangHistory` — los van geïnvesteerde fiat

### Opgelost
- Data ging verloren na container restart: PostgreSQL 18 gebruikt een ander `PGDATA` pad (`/var/lib/postgresql/18/docker`). Volume nu gemount op `/var/lib/postgresql`
- Geïnvesteerde fiat invullen vulde automatisch ook het voortgangsoverzicht in

---

## [0.0.2] - 2026-04-01

### Toegevoegd
- PostgreSQL als persistente database (vervangt in-memory opslag)
- JWT authenticatie met instelbare vervaltijd
- Backup en restore via ZIP-bestand
- Rate limiting op auth-endpoints
- Helmet security headers
- Docker multi-stage builds (dev / productie)
- Dev script (`dev.ps1` / `dev.sh`) voor bouwen, starten en pushen

### Gewijzigd
- Gebruikersdata per account opgeslagen (niet meer gedeeld)

---

## [0.0.1] - 2026-03-01

### Toegevoegd
- Initiële release van VibeFinance
- Dashboard met overzicht van eigen vermogen, schulden en netto vermogen
- Eigen vermogen beheer met categorieën en historiek
- Schulden beheer met blokken en afbetalingsoverzicht
- Voortgangspagina met grafieken (EV en schuld over tijd)
- Gebruikersbeheer en authenticatie
- Dark mode ondersteuning