Evitar teléfonos falsos en la historia clínica, y pedir el número a quien lo oculta

El arreglo anterior dejó un defecto: obtenerOCrearDesdeWhatsapp() copiaba
users.phone_number al teléfono de la ficha, y para quien oculta su número ahí
va el BSUID. normalizarTelefono() le quitaba el punto y las letras, así que
"CO.1761088155094242" quedaba guardado como "1761088155094242": un número de
16 dígitos, falso, con apariencia de real, dentro de una historia clínica y
sin que nadie lo notara. Ahora esa ficha se crea sin teléfono, que es la
verdad: no lo tenemos.

- esBsuid() queda definido una sola vez, en config.php, que es donde lo ven
  tanto el servicio de WhatsApp como las clases del laboratorio.
- La lista y el detalle de pacientes dicen "Solo por WhatsApp" en vez de
  mostrar el identificador crudo: recepción necesita entender por qué no
  puede llamar, no ver un código.
- Al crear la ficha desde una conversación se le pide el número con el botón
  de Meta, una sola vez (users.contacto_pedido_at). El texto es editable
  desde configuración. Solo se marca como pedido si Meta aceptó el envío,
  para poder reintentar si falló.
- tests/test_bsuid.php: 30 verificaciones sobre identidad, envío, vinculación
  y creación de fichas.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

api/lab/crear_desde_whatsapp.php

@@ -21,6 +21,53 @@ requireAuthentication();
 $adminId = (int)($_SESSION['admin_user']['id'] ?? 0);
 $db = Database::getInstance();
 
+/**
+ * Le pide el teléfono a quien lo tiene oculto en WhatsApp, una sola vez.
+ *
+ * Solo aplica a quien se identifica con un BSUID: de esa persona no tenemos
+ * número, y sin él el laboratorio no puede llamarla. Se le manda el botón que
+ * Meta dispone para esto y ella decide si lo comparte; si acepta, el webhook
+ * recibe el teléfono y lo vincula solo.
+ *
+ * No se insiste: pedir los datos una vez es razonable, repetirlo en cada
+ * trámite es acoso. Tampoco se interrumpe la creación de la ficha si el envío
+ * falla, porque la ficha es lo importante.
+ *
+ * @return string qué pasó, para que la interfaz lo pueda mostrar
+ */
+function pedirContactoSiHaceFalta(Database $db, int $userId): string {
+    $u = $db->fetch(
+        'SELECT phone_number, contacto_pedido_at FROM users WHERE id = ?',
+        [$userId]
+    );
+    if (!$u)                          return 'usuario_no_encontrado';
+    if (!esBsuid($u['phone_number'])) return 'no_hace_falta';   // ya tenemos su número
+    if (!empty($u['contacto_pedido_at'])) return 'ya_se_pidio';
+
+    try {
+        require_once __DIR__ . '/../../services/WhatsAppService.php';
+        $wa    = new WhatsAppService();
+        $texto = getConfigFromDB(
+            'whatsapp_texto_pedir_contacto',
+            'Para poder registrar su atención necesitamos un número de contacto. ¿Nos comparte el suyo?'
+        );
+
+        $r = $wa->pedirContacto($u['phone_number'], $texto);
+        if (!$r) {
+            error_log('[crear_desde_whatsapp] WhatsApp rechazó la solicitud de contacto del usuario ' . $userId);
+            return 'fallo_envio';
+        }
+
+        // Se marca solo si Meta aceptó: si falló, hay que poder reintentarlo
+        $db->update('users', ['contacto_pedido_at' => date('Y-m-d H:i:s')], 'id = ?', [$userId]);
+        return 'pedido';
+
+    } catch (Exception $e) {
+        error_log('[crear_desde_whatsapp] Error pidiendo el contacto: ' . $e->getMessage());
+        return 'fallo_envio';
+    }
+}
+
 // ── GET: solo_paciente ─────────────────────────────────────────────────────
 if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['solo_paciente'])) {
     $convId  = (int)($_GET['conversation_id'] ?? 0);
@@ -57,7 +104,16 @@ if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['solo_paciente'])) {
     $pacienteRepo = new Paciente();
     $pacienteId   = $pacienteRepo->obtenerOCrearDesdeWhatsapp($conv['user_id']);
     $paciente     = $pacienteRepo->obtener($pacienteId);
-    echo json_encode(['success' => true, 'paciente' => $paciente]);
+
+    // Si la persona oculta su teléfono, la ficha queda sin número. Es el momento
+    // de pedírselo: se le manda el botón de WhatsApp una sola vez.
+    $contactoPedido = pedirContactoSiHaceFalta($db, (int) $conv['user_id']);
+
+    echo json_encode([
+        'success'         => true,
+        'paciente'        => $paciente,
+        'contacto_pedido' => $contactoPedido,
+    ]);
     exit;
 }