fix: el 404 del rechazo devolvía la fila, y el hub vencía tareas de hoy

[JoseSerpaCode]

Bloque A del plan, los dos primeros: pequeños, de riesgo alto y sin decisiones de por medio.

A.3 — Fuga de datos al rechazar una solicitud

api/friends/reject/[id].ts devolvía en el 404 un dbState con el SELECT * entero de la amistad — action_user_id, el id de la otra persona, las marcas de tiempo — a quien acababa de fallar la comprobación de permisos. Había además un console.log de cada intento. Depuración que se quedó puesta.

Sus dos hermanos, accept/[id].ts y cancel/[id].ts, responden 'Not Found or Unauthorized' a secas. Este era el único de los tres fuera del patrón.

A.2 — El hub marcaba vencida una tarea que vence hoy

Hub.astro:78 comparaba con new Date().toISOString(), que da el día en UTC. En Bogotá, a partir de las siete de la tarde, el servidor ya cree que es mañana.

Lo llamativo: lib/fechas.ts documenta ese caso exacto en su comentario —nombrando Bogotá— y expone vencida() desde entonces. IssueCard.astro ya la usa. Este contador reimplementó la comparación por su cuenta y se trajo el fallo de vuelta.

Plan de pruebas

• npm run lint, npm run typecheck — limpios
• 326 unitarias (4 nuevas), 238 e2e (1 nueva)
• Las dos verificadas reintroduciendo su fallo: fallan
• La de fechas fija la hora del sistema a las 22:00 en UTC-5, que es lo único que reproduce el de UTC — por la mañana no falla nunca

🤖 Generated with Claude Code

[JoseSerpaCode]

Consolidada en una sola PR con las cinco correcciones y una versión coherente. Se abrió como fix/bloque-a.