emilsoftware-utilities 2.0.0-dev.22 → 2.0.0-dev.24

package/dist/accessi-module/Services/UserService/UserService.js

@@ -20,9 +20,21 @@ var __awaiter = (this && this.__awaiter) || function (thisArg, _arguments, P, ge
         step((generator = generator.apply(thisArg, _arguments || [])).next());
     });
 };
+var __rest = (this && this.__rest) || function (s, e) {
+    var t = {};
+    for (var p in s) if (Object.prototype.hasOwnProperty.call(s, p) && e.indexOf(p) < 0)
+        t[p] = s[p];
+    if (s != null && typeof Object.getOwnPropertySymbols === "function")
+        for (var i = 0, p = Object.getOwnPropertySymbols(s); i < p.length; i++) {
+            if (e.indexOf(p[i]) < 0 && Object.prototype.propertyIsEnumerable.call(s, p[i]))
+                t[p[i]] = s[p[i]];
+        }
+    return t;
+};
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.UserService = void 0;
 const common_1 = require("@nestjs/common");
+const optionalColumns_1 = require("../../database-updates/optionalColumns");
 const autobind_1 = require("../../../autobind");
 const Orm_1 = require("../../../Orm");
 const Utilities_1 = require("../../../Utilities");
@@ -32,18 +44,39 @@ const EmailService_1 = require("../EmailService/EmailService");
 const FiltriService_1 = require("../FiltriService/FiltriService");
 const PermissionService_1 = require("../PermissionService/PermissionService");
 let UserService = class UserService {
-    constructor(accessiOptions, emailService, permissionService, filtriService) {
+    constructor(accessiOptions, _emailService, permissionService, filtriService) {
         this.accessiOptions = accessiOptions;
-        this.emailService = emailService;
         this.permissionService = permissionService;
         this.filtriService = filtriService;
     }
+    validateApplicationFields(value) {
+        return __awaiter(this, void 0, void 0, function* () {
+            const applicationFields = [['nummac', 'NUMMAC'], ['ragSocCli', 'RAGSOCCLI']];
+            let configColumns;
+            if (applicationFields.some(([key]) => value[key] !== undefined)) {
+                configColumns = yield (0, optionalColumns_1.getTableColumns)(this.accessiOptions, 'UTENTI_CONFIG');
+                for (const [key, column] of applicationFields) {
+                    if (value[key] !== undefined && value[key] !== null && !configColumns.has(column)) {
+                        throw new common_1.BadRequestException(`Campo applicativo non configurato: UTENTI_CONFIG.${column}`);
+                    }
+                }
+            }
+            const filterKeys = Object.keys(FiltriUtente_1.FILTRI_UTENTE_DB_MAPPING);
+            if (filterKeys.some(key => value[key] !== undefined && value[key] !== null && value[key] !== '')) {
+                yield this.filtriService.validateSupportedFields(value);
+            }
+            return { configColumns };
+        });
+    }
     normalizeDatabaseBoolean(value) {
         return value === true || value === 1 || value === '1';
     }
+    normalizeUserFlags(user) {
+        return Object.assign(Object.assign({}, user), { flagSuper: this.normalizeDatabaseBoolean(user.flagSuper), flagAdminConfigurator: this.normalizeDatabaseBoolean(user.flagAdminConfigurator), flagDueFattori: this.normalizeDatabaseBoolean(user.flagDueFattori), passwordlessLoginEnabled: this.normalizeDatabaseBoolean(user.passwordlessLoginEnabled), passwordLoginEnabled: user.passwordLoginEnabled == null || this.normalizeDatabaseBoolean(user.passwordLoginEnabled) });
+    }
     normalizeEmail(email) {
         if (typeof email !== 'string' || email.trim() === '') {
-            throw new Error("L'email e' obbligatoria.");
+            throw new common_1.BadRequestException({ code: 'ACCESSI_EMAIL_REQUIRED', message: "L'email è obbligatoria." });
         }
         return email.trim().toLowerCase();
     }
@@ -53,10 +86,11 @@ let UserService = class UserService {
             const existingUser = result.map(Utilities_1.RestUtilities.convertKeysToCamelCase)[0];
             if ((existingUser === null || existingUser === void 0 ? void 0 : existingUser.codiceUtente) &&
                 (!currentUserCode || existingUser.codiceUtente !== currentUserCode)) {
-                throw new Error("Questa e-mail e' gia stata utilizzata!");
+                throw new common_1.ConflictException({ code: 'ACCESSI_EMAIL_ALREADY_EXISTS', message: "L'email è già associata a un utente Accessi." });
             }
         });
     }
+    /** Determina se l'utente puo amministrare il configuratore Accessi (`FLGADMINCONFIG`). */
     isAdminConfigurator(codiceUtente) {
         return __awaiter(this, void 0, void 0, function* () {
             var _a;
@@ -65,28 +99,35 @@ let UserService = class UserService {
             }
             const query = `SELECT FLGADMINCONFIG AS flag_admin_configurator FROM UTENTI_CONFIG WHERE CODUTE = ?`;
             const result = yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, query, [codiceUtente]);
-            if (!result || result === 0) {
+            if (result.length === 0) {
                 return false;
             }
             const mapped = result.map(Utilities_1.RestUtilities.convertKeysToCamelCase);
             return this.normalizeDatabaseBoolean((_a = mapped[0]) === null || _a === void 0 ? void 0 : _a.flagAdminConfigurator);
         });
     }
+    /**
+     * Legge il minimo profilo autorevole usato da JWT e middleware. Restituisce `null` per utenti inesistenti.
+     * Non usare `UserDto` dal token per decisioni di sicurezza: i flag vengono sempre riletti qui.
+     */
     getAuthenticatedUserSnapshot(codiceUtente) {
         return __awaiter(this, void 0, void 0, function* () {
             if (!codiceUtente || codiceUtente <= 0) {
                 return null;
             }
-            const result = yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, `
-        SELECT
-          U.CODUTE AS codice_utente,
-          U.USRNAME AS email,
-          U.STAREG AS stato_registrazione,
-          C.FLGSUPER AS flag_super,
-          C.FLGADMINCONFIG AS flag_admin_configurator
-        FROM UTENTI U
-        LEFT JOIN UTENTI_CONFIG C ON C.CODUTE = U.CODUTE
-        WHERE U.CODUTE = ?
+            const result = yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, `
+        SELECT
+          U.CODUTE AS codice_utente,
+          U.USRNAME AS email,
+          U.STAREG AS stato_registrazione,
+          C.FLGSUPER AS flag_super,
+          C.FLGADMINCONFIG AS flag_admin_configurator
+          , C.FLG2FATT AS flag_due_fattori
+          , C.FLGPWDLESS AS passwordless_login_enabled
+          , COALESCE(C.FLGPASSWORD, 1) AS password_login_enabled
+        FROM UTENTI U
+        LEFT JOIN UTENTI_CONFIG C ON C.CODUTE = U.CODUTE
+        WHERE U.CODUTE = ?
       `, [codiceUtente]);
             const user = result.map(Utilities_1.RestUtilities.convertKeysToCamelCase)[0];
             if (!(user === null || user === void 0 ? void 0 : user.codiceUtente)) {
@@ -98,46 +139,66 @@ let UserService = class UserService {
                 statoRegistrazione: Number(user.statoRegistrazione),
                 flagSuper: this.normalizeDatabaseBoolean(user.flagSuper),
                 flagAdminConfigurator: this.normalizeDatabaseBoolean(user.flagAdminConfigurator),
+                flagDueFattori: this.normalizeDatabaseBoolean(user.flagDueFattori),
+                passwordlessLoginEnabled: this.normalizeDatabaseBoolean(user.passwordlessLoginEnabled),
+                passwordLoginEnabled: this.normalizeDatabaseBoolean(user.passwordLoginEnabled),
             };
         });
     }
+    /**
+     * Elenca gli utenti con filtri opzionali. Grant e campi estesi sono costosi e vengono caricati soltanto
+     * quando richiesti esplicitamente nelle opzioni; usare filtri puntuali nei flussi di autenticazione.
+     */
     getUsers(filters, options) {
         return __awaiter(this, void 0, void 0, function* () {
+            var _a, _b, _c, _d, _e;
             try {
-                let query = ` 
-            SELECT  
-                U.CODUTE as codice_utente, 
-                U.USRNAME as email, 
-                U.FLGGDPR as flag_gdpr, 
-                U.DATGDPR as data_gdpr, 
-                U.DATINS as data_inserimento, 
-                U.DATSCAPWD as data_scadenza_password, 
-                U.DATLASTLOGIN as data_last_login, 
-                U.STAREG as stato_registrazione, 
-                G.COGNOME as cognome, 
-                G.NOME as nome, 
-                G.AVATAR as avatar, 
-                G.FLG2FATT as flag_due_fattori, 
-                G.CODLINGUA as codice_lingua,
-                G.CELLULARE as cellulare,
-                G.FLGSUPER as flag_super, 
-                G.FLGADMINCONFIG as flag_admin_configurator,
-                G.PAGDEF as pagina_default,
-                G.JSON_METADATA as json_metadata,
-                G.RAGSOCCLI as rag_soc_cli,
-                G.NUMMAC as nummac,
-                F.NUMREP AS num_rep,
-                F.IDXPERS AS idx_pers,
-                F.CODCLISUPER AS cod_cli_super,
-                F.CODAGE AS cod_age,
-                F.CODCLICOL AS cod_cli_col,
-                F.CODCLIENTI AS cod_clienti,
-                F.TIPFIL AS tip_fil,
-                F.IDXPOS AS idx_postazione
-            FROM UTENTI U 
-            INNER JOIN UTENTI_CONFIG G ON U.CODUTE = G.CODUTE
-            LEFT JOIN FILTRI F ON F.CODUTE = U.CODUTE
-            WHERE 1=1
+                const configColumns = yield (0, optionalColumns_1.getTableColumns)(this.accessiOptions, 'UTENTI_CONFIG');
+                const filterColumns = yield (0, optionalColumns_1.getTableColumns)(this.accessiOptions, 'FILTRI');
+                // Paginazione opzionale con limiti sani: il default resta "tutti gli utenti".
+                const limit = Number.isInteger(filters === null || filters === void 0 ? void 0 : filters.limit) && ((_a = filters === null || filters === void 0 ? void 0 : filters.limit) !== null && _a !== void 0 ? _a : 0) > 0
+                    ? Math.min(filters === null || filters === void 0 ? void 0 : filters.limit, 1000)
+                    : undefined;
+                const offset = Number.isInteger(filters === null || filters === void 0 ? void 0 : filters.offset) && ((_b = filters === null || filters === void 0 ? void 0 : filters.offset) !== null && _b !== void 0 ? _b : 0) > 0
+                    ? Math.trunc(filters === null || filters === void 0 ? void 0 : filters.offset)
+                    : 0;
+                const pagination = `${limit !== undefined ? ` FIRST ${limit}` : ''}${offset > 0 ? ` SKIP ${offset}` : ''}`;
+                let query = ` 
+            SELECT${pagination}  
+                U.CODUTE as codice_utente, 
+                U.USRNAME as email, 
+                U.FLGGDPR as flag_gdpr, 
+                U.DATGDPR as data_gdpr, 
+                U.DATINS as data_inserimento, 
+                U.DATSCAPWD as data_scadenza_password, 
+                U.DATLASTLOGIN as data_last_login, 
+                U.STAREG as stato_registrazione, 
+                G.COGNOME as cognome, 
+                G.NOME as nome, 
+                G.AVATAR as avatar, 
+                G.FLG2FATT as flag_due_fattori,
+                G.FLGPWDLESS as passwordless_login_enabled,
+                G.CODLINGUA as codice_lingua,
+                G.CELLULARE as cellulare,
+                G.FLGSUPER as flag_super, 
+                G.FLGADMINCONFIG as flag_admin_configurator,
+                COALESCE(G.FLGPASSWORD, 1) as password_login_enabled,
+                G.PAGDEF as pagina_default,
+                G.JSON_METADATA as json_metadata,
+                ${(0, optionalColumns_1.optionalColumn)(configColumns, 'RAGSOCCLI', 'G', 'rag_soc_cli', false)},
+                ${(0, optionalColumns_1.optionalColumn)(configColumns, 'NUMMAC', 'G', 'nummac')},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'NUMREP', 'F', 'num_rep', true)},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'IDXPERS', 'F', 'idx_pers', true)},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'CODCLISUPER', 'F', 'cod_cli_super', true)},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'CODAGE', 'F', 'cod_age', true)},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'CODCLICOL', 'F', 'cod_cli_col', true)},
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'CODCLIENTI', 'F', 'cod_clienti', false)},
+                F.TIPFIL AS tip_fil,
+                ${(0, optionalColumns_1.optionalColumn)(filterColumns, 'IDXPOS', 'F', 'idx_postazione', true)}
+            FROM UTENTI U 
+            INNER JOIN UTENTI_CONFIG G ON U.CODUTE = G.CODUTE
+            LEFT JOIN FILTRI F ON F.CODUTE = U.CODUTE
+            WHERE 1=1
             `;
                 const queryParams = [];
                 if (filters === null || filters === void 0 ? void 0 : filters.email) {
@@ -150,21 +211,27 @@ let UserService = class UserService {
                 }
                 query += ` ORDER BY U.CODUTE DESC `;
                 let users = (yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, query, queryParams));
-                users = users.map(Utilities_1.RestUtilities.convertKeysToCamelCase);
+                users = users.map(Utilities_1.RestUtilities.convertKeysToCamelCase).map(user => this.normalizeUserFlags(user));
                 const usersResponse = [];
+                // I campi estensione sono caricati una volta per tabella (non una per utente) in query IN
+                // suddivise in blocchi per non superare i limiti di parametri del driver.
+                const extensionFieldsByUser = (options === null || options === void 0 ? void 0 : options.includeExtensionFields)
+                    ? yield this.loadExtensionFieldsForUsers(users.map((user) => user.codiceUtente))
+                    : undefined;
+                // I grant sono caricati in batch (query IN) invece che utente per utente.
+                const grantsByUser = (options === null || options === void 0 ? void 0 : options.includeGrants)
+                    ? yield this.permissionService.getUsersRolesAndGrants(users.map((user) => user.codiceUtente))
+                    : undefined;
                 for (const user of users) {
                     let userGrants;
                     if (options === null || options === void 0 ? void 0 : options.includeGrants) {
-                        userGrants = yield this.permissionService.getUserRolesAndGrants(user.codiceUtente);
+                        userGrants = grantsByUser === null || grantsByUser === void 0 ? void 0 : grantsByUser.get(user.codiceUtente);
                     }
                     let extensionFields;
                     if (options === null || options === void 0 ? void 0 : options.includeExtensionFields) {
                         extensionFields = {};
-                    }
-                    if (extensionFields && this.accessiOptions.extensionFieldsOptions) {
-                        for (const ext of this.accessiOptions.extensionFieldsOptions) {
-                            const values = (yield Orm_1.Orm.query(ext.databaseOptions, `SELECT ${ext.tableFields.join(',')} FROM ${ext.tableName} WHERE ${ext.tableJoinFieldName} = ?`, [user.codiceUtente])).map(Utilities_1.RestUtilities.convertKeysToCamelCase);
-                            extensionFields[ext.objectKey] = values;
+                        for (const ext of (_c = this.accessiOptions.extensionFieldsOptions) !== null && _c !== void 0 ? _c : []) {
+                            extensionFields[ext.objectKey] = (_e = (_d = extensionFieldsByUser === null || extensionFieldsByUser === void 0 ? void 0 : extensionFieldsByUser.get(ext.objectKey)) === null || _d === void 0 ? void 0 : _d.get(user.codiceUtente)) !== null && _e !== void 0 ? _e : [];
                         }
                     }
                     usersResponse.push({
@@ -180,6 +247,68 @@ let UserService = class UserService {
             }
         });
     }
+    /** Conteggio utenti con gli stessi filtri di `getUsers`, per la paginazione (header X-Total-Count). */
+    countUsers(filters) {
+        return __awaiter(this, void 0, void 0, function* () {
+            var _a, _b;
+            const conditions = [];
+            const params = [];
+            if (filters === null || filters === void 0 ? void 0 : filters.email) {
+                conditions.push('LOWER(U.USRNAME) = ?');
+                params.push(filters.email.trim().toLowerCase());
+            }
+            if (filters === null || filters === void 0 ? void 0 : filters.codiceUtente) {
+                conditions.push('U.CODUTE = ?');
+                params.push(filters.codiceUtente);
+            }
+            const query = `SELECT COUNT(*) AS TOTAL FROM UTENTI U INNER JOIN UTENTI_CONFIG G ON U.CODUTE = G.CODUTE WHERE 1=1 ${conditions.map((condition) => `AND ${condition}`).join(' ')}`;
+            const rows = (yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, query, params, false));
+            const row = rows[0];
+            return Number((_b = (_a = row === null || row === void 0 ? void 0 : row.TOTAL) !== null && _a !== void 0 ? _a : row === null || row === void 0 ? void 0 : row.total) !== null && _b !== void 0 ? _b : 0) || 0;
+        });
+    }
+    loadExtensionFieldsForUsers(codiceUtenti) {
+        return __awaiter(this, void 0, void 0, function* () {
+            var _a;
+            const byObjectKey = new Map();
+            const extensions = (_a = this.accessiOptions.extensionFieldsOptions) !== null && _a !== void 0 ? _a : [];
+            const uniqueCodes = Array.from(new Set(codiceUtenti));
+            for (const ext of extensions) {
+                const grouped = new Map();
+                for (const chunk of this.chunkArray(uniqueCodes, 500)) {
+                    if (chunk.length === 0) {
+                        continue;
+                    }
+                    const placeholders = chunk.map(() => '?').join(', ');
+                    const rows = (yield Orm_1.Orm.query(ext.databaseOptions, `SELECT ${ext.tableJoinFieldName} AS __joinkey, ${ext.tableFields.join(', ')} FROM ${ext.tableName} WHERE ${ext.tableJoinFieldName} IN (${placeholders})`, chunk)).map(Utilities_1.RestUtilities.convertKeysToCamelCase);
+                    for (const row of rows) {
+                        const { __joinkey } = row, rest = __rest(row, ["__joinkey"]);
+                        const key = Number(__joinkey);
+                        if (!Number.isFinite(key)) {
+                            continue;
+                        }
+                        const bucket = grouped.get(key);
+                        if (bucket) {
+                            bucket.push(rest);
+                        }
+                        else {
+                            grouped.set(key, [rest]);
+                        }
+                    }
+                }
+                byObjectKey.set(ext.objectKey, grouped);
+            }
+            return byObjectKey;
+        });
+    }
+    chunkArray(items, size) {
+        const chunks = [];
+        for (let index = 0; index < items.length; index += size) {
+            chunks.push(items.slice(index, index + size));
+        }
+        return chunks;
+    }
+    /** Cerca il codice interno per email normalizzata. Il chiamante deve gestire il caso senza righe. */
     getCodiceUtenteByEmail(email) {
         return __awaiter(this, void 0, void 0, function* () {
             try {
@@ -194,39 +323,40 @@ let UserService = class UserService {
             }
         });
     }
+    /** Recupera il profilo locale usato dal login, compresi filtri Accessi eventualmente presenti. */
     getUserByEmail(email) {
         return __awaiter(this, void 0, void 0, function* () {
-            var _a;
-            const query = `
-            SELECT 
-                U.CODUTE AS codice_utente, 
-                U.USRNAME AS email, 
-                U.FLGGDPR AS flag_gdpr,
-                U.DATSCAPWD as data_scadenza_password,
-                U.STAREG AS stato_registrazione, 
-                C.COGNOME AS cognome, 
-                C.NOME AS nome, 
-                C.AVATAR AS avatar, 
-                C.FLG2FATT AS flag_due_fattori,
-                C.CODLINGUA AS codice_lingua, 
-                C.CELLULARE AS cellulare, 
-                C.FLGSUPER AS flag_super,
-                C.FLGADMINCONFIG AS flag_admin_configurator,
-                C.PAGDEF AS pagina_default,
-                C.NUMMAC AS nummac,
-                C.RAGSOCCLI AS rag_soc_cli
-            FROM UTENTI U
-            INNER JOIN UTENTI_CONFIG C ON C.CODUTE = U.CODUTE
-            WHERE LOWER(U.USRNAME) = ?
+            const configColumns = yield (0, optionalColumns_1.getTableColumns)(this.accessiOptions, 'UTENTI_CONFIG');
+            const query = `
+            SELECT 
+                U.CODUTE AS codice_utente, 
+                U.USRNAME AS email, 
+                U.FLGGDPR AS flag_gdpr,
+                U.DATSCAPWD as data_scadenza_password,
+                U.STAREG AS stato_registrazione, 
+                C.COGNOME AS cognome, 
+                C.NOME AS nome, 
+                C.AVATAR AS avatar, 
+                C.FLG2FATT AS flag_due_fattori,
+                C.FLGPWDLESS AS passwordless_login_enabled,
+                C.CODLINGUA AS codice_lingua, 
+                C.CELLULARE AS cellulare, 
+                C.FLGSUPER AS flag_super,
+                C.FLGADMINCONFIG AS flag_admin_configurator,
+                COALESCE(C.FLGPASSWORD, 1) AS password_login_enabled,
+                C.PAGDEF AS pagina_default,
+                ${(0, optionalColumns_1.optionalColumn)(configColumns, 'NUMMAC', 'C', 'nummac')},
+                ${(0, optionalColumns_1.optionalColumn)(configColumns, 'RAGSOCCLI', 'C', 'rag_soc_cli', false)}
+            FROM UTENTI U
+            INNER JOIN UTENTI_CONFIG C ON C.CODUTE = U.CODUTE
+            WHERE LOWER(U.USRNAME) = ?
         `;
             const utenti = (yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, query, [email]).then((results) => results.map(Utilities_1.RestUtilities.convertKeysToCamelCase)));
-            const filtriUtente = yield this.filtriService.getFiltriUser((_a = utenti[0]) === null || _a === void 0 ? void 0 : _a.codiceUtente);
-            if (utenti.length <= 0) {
+            const user = utenti[0];
+            if (!user)
                 return null;
-            }
-            if (utenti.length > 0 && filtriUtente.length > 0) {
-                const user = utenti[0];
-                const filtro = filtriUtente[0];
+            const filtro = (yield this.filtriService.getFiltriUser(user.codiceUtente))[0];
+            if (filtro) {
                 const filterValues = {};
                 Object.entries(FiltriUtente_1.FILTRI_UTENTE_DB_MAPPING).forEach(([key]) => {
                     if (key in filtro) {
@@ -235,7 +365,7 @@ let UserService = class UserService {
                 });
                 Object.assign(user, filterValues);
             }
-            return utenti.length > 0 ? utenti[0] : null;
+            return this.normalizeUserFlags(user);
         });
     }
     insertUserFilters(codiceUtente, filterData) {
@@ -243,89 +373,103 @@ let UserService = class UserService {
             yield this.filtriService.upsertFiltriUtente(codiceUtente, filterData);
         });
     }
-    executeInTransaction(operation) {
-        return __awaiter(this, void 0, void 0, function* () {
-            yield operation();
-        });
-    }
+    /**
+     * Crea utente, configurazione e filtri. La registrazione pubblica resta in stato `INVIO` e non puo
+     * impostare privilegi, ruoli o grant; soltanto flussi backend fidati possono usare `allowPrivilegedFields`.
+     */
     register(registrationData, options) {
         return __awaiter(this, void 0, void 0, function* () {
-            var _a, _b, _c;
+            var _a;
             try {
                 const allowPrivilegedFields = (options === null || options === void 0 ? void 0 : options.allowPrivilegedFields) === true;
                 const normalizedEmail = this.normalizeEmail(registrationData.email);
+                if (registrationData.flagDueFattori !== undefined && typeof registrationData.flagDueFattori !== 'boolean') {
+                    throw new common_1.BadRequestException('Il flag due fattori deve essere booleano.');
+                }
+                if (registrationData.flagDueFattori && !/^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(normalizedEmail)) {
+                    throw new common_1.BadRequestException('Per attivare i codici di accesso serve un indirizzo email valido.');
+                }
                 if (!allowPrivilegedFields &&
                     (registrationData.flagSuper !== undefined ||
                         registrationData.flagAdminConfigurator !== undefined ||
+                        registrationData.flagDueFattori !== undefined ||
                         registrationData.roles !== undefined ||
                         registrationData.permissions !== undefined)) {
                     throw new Error('I campi privilegiati non sono consentiti nella registrazione pubblica.');
                 }
+                yield this.validateApplicationFields(registrationData);
                 yield this.ensureEmailIsAvailable(normalizedEmail);
-                const queryUtenti = `INSERT INTO UTENTI (USRNAME, STAREG) VALUES (?,?)`;
-                const paramsUtenti = [normalizedEmail, StatoRegistrazione_1.StatoRegistrazione.INVIO];
-                yield Orm_1.Orm.execute(this.accessiOptions.databaseOptions, queryUtenti, paramsUtenti);
-                const codiceUtenteResult = yield Orm_1.Orm.query(this.accessiOptions.databaseOptions, 'SELECT FIRST 1 CODUTE FROM UTENTI WHERE USRNAME = ? ORDER BY CODUTE DESC', [normalizedEmail]);
-                const codiceUtente = Number((_b = (_a = codiceUtenteResult === null || codiceUtenteResult === void 0 ? void 0 : codiceUtenteResult[0]) === null || _a === void 0 ? void 0 : _a.CODUTE) !== null && _b !== void 0 ? _b : (_c = codiceUtenteResult === null || codiceUtenteResult === void 0 ? void 0 : codiceUtenteResult[0]) === null || _c === void 0 ? void 0 : _c.codute);
-                if (!codiceUtente) {
-                    throw new Error('Creazione utente non riuscita: impossibile recuperare CODUTE.');
-                }
-                const utentiConfigFields = ['CODUTE', 'COGNOME', 'NOME'];
-                const utentiConfigPlaceholders = ['?', '?', '?'];
-                const utentiConfigParams = [codiceUtente, registrationData.cognome, registrationData.nome];
-                const optionalFields = [
-                    {
-                        key: 'cellulare',
-                        dbField: 'CELLULARE',
-                        transform: (v) => String(v),
-                    },
-                    {
-                        key: 'avatar',
-                        dbField: 'AVATAR',
-                        transform: (v) => String(v),
-                    },
-                    {
-                        key: 'flagDueFattori',
-                        dbField: 'FLG2FATT',
-                        transform: (v) => (v ? 1 : 0),
-                    },
-                    {
-                        key: 'paginaDefault',
-                        dbField: 'PAGDEF',
-                        transform: (v) => String(v),
-                    },
-                    {
-                        key: 'nummac',
-                        dbField: 'NUMMAC',
-                        transform: (v) => Number(v),
-                    },
-                    {
-                        key: 'ragSocCli',
-                        dbField: 'RAGSOCCLI',
-                        transform: (v) => String(v),
-                    },
-                ];
-                if (allowPrivilegedFields) {
-                    optionalFields.push({
-                        key: 'flagSuper',
-                        dbField: 'FLGSUPER',
-                        transform: (v) => (v ? 1 : 0),
-                    }, {
-                        key: 'flagAdminConfigurator',
-                        dbField: 'FLGADMINCONFIG',
-                        transform: (v) => (v ? 1 : 0),
-                    });
-                }
-                for (const field of optionalFields) {
-                    const value = registrationData[field.key];
-                    if (value !== undefined && value !== null) {
-                        utentiConfigFields.push(field.dbField);
-                        utentiConfigPlaceholders.push('?');
-                        utentiConfigParams.push(field.transform ? field.transform(value) : value);
+                const queryUtenti = `INSERT INTO UTENTI (USRNAME, STAREG) VALUES (?,?) RETURNING CODUTE`;
+                // Public/local registrations keep the historic INVIO state; trusted master or SSO flows may opt into CONF.
+                const paramsUtenti = [normalizedEmail, (_a = options === null || options === void 0 ? void 0 : options.initialState) !== null && _a !== void 0 ? _a : StatoRegistrazione_1.StatoRegistrazione.INVIO];
+                // Utente e configurazione sono creati in un'unica transazione; filtri e assegnazioni restano
+                // fuori perché delegati a servizi dedicati.
+                const codiceUtente = yield Orm_1.Orm.withTransaction(this.accessiOptions.databaseOptions, (transaction) => __awaiter(this, void 0, void 0, function* () {
+                    var _a;
+                    const insertedUsers = yield Orm_1.Orm.transactionQuery(transaction, queryUtenti, paramsUtenti);
+                    const insertedUser = (Array.isArray(insertedUsers) ? insertedUsers[0] : insertedUsers);
+                    const newCodiceUtente = Number((_a = insertedUser === null || insertedUser === void 0 ? void 0 : insertedUser.CODUTE) !== null && _a !== void 0 ? _a : insertedUser === null || insertedUser === void 0 ? void 0 : insertedUser.codute);
+                    if (!newCodiceUtente) {
+                        throw new Error('Creazione utente non riuscita: impossibile recuperare CODUTE.');
                     }
-                }
-                const queryUtentiConfig = `INSERT INTO UTENTI_CONFIG (${utentiConfigFields.join(', ')}) VALUES (${utentiConfigPlaceholders.join(', ')})`;
-                yield Orm_1.Orm.execute(this.accessiOptions.databaseOptions, queryUtentiConfig, utentiConfigParams);
+                    const utentiConfigFields = ['CODUTE', 'COGNOME', 'NOME'];
+                    const utentiConfigPlaceholders = ['?', '?', '?'];
+                    const utentiConfigParams = [newCodiceUtente, registrationData.cognome, registrationData.nome];
+                    const optionalFields = [
+                        {
+                            key: 'cellulare',
+                            dbField: 'CELLULARE',
+                            transform: (v) => String(v),
+                        },
+                        {
+                            key: 'avatar',
+                            dbField: 'AVATAR',
+                            transform: (v) => String(v),
+                        },
+                        {
+                            key: 'flagDueFattori',
+                            dbField: 'FLG2FATT',
+                            transform: (v) => (v ? 1 : 0),
+                        },
+                        {
+                            key: 'paginaDefault',
+                            dbField: 'PAGDEF',
+                            transform: (v) => String(v),
+                        },
+                        {
+                            key: 'nummac',
+                            dbField: 'NUMMAC',
+                            transform: (v) => Number(v),
+                        },
+                        {
+                            key: 'ragSocCli',
+                            dbField: 'RAGSOCCLI',
+                            transform: (v) => String(v),
+                        },
+                    ];
+                    if (allowPrivilegedFields) {
+                        optionalFields.push({
+                            key: 'flagSuper',
+                            dbField: 'FLGSUPER',
+                            transform: (v) => (v ? 1 : 0),
+                        }, {
+                            key: 'flagAdminConfigurator',
+                            dbField: 'FLGADMINCONFIG',
+                            transform: (v) => (v ? 1 : 0),
+                        });
+                    }
+                    for (const field of optionalFields) {
+                        const value = registrationData[field.key];
+                        if (value !== undefined && value !== null) {
+                            utentiConfigFields.push(field.dbField);
+                            utentiConfigPlaceholders.push('?');
+                            utentiConfigParams.push(field.transform ? field.transform(value) : value);
+                        }
+                    }
+                    const queryUtentiConfig = `INSERT INTO UTENTI_CONFIG (${utentiConfigFields.join(', ')}) VALUES (${utentiConfigPlaceholders.join(', ')})`;
+                    yield Orm_1.Orm.transactionQuery(transaction, queryUtentiConfig, utentiConfigParams);
+                    return newCodiceUtente;
+                }));
                 yield this.filtriService.upsertFiltriUtente(codiceUtente, registrationData);
                 if (allowPrivilegedFields && !!registrationData.roles && registrationData.roles.length > 0) {
                     yield this.permissionService.assignRolesToUser(codiceUtente, registrationData.roles);
@@ -342,20 +486,45 @@ let UserService = class UserService {
             }
         });
     }
+    /**
+     * Aggiorna il profilo utente e i filtri. Le modifiche a stato, ruoli, grant e flag amministrativi richiedono
+     * `allowPrivilegedChanges`; gli array ruolo/grant passati in un flusso fidato sostituiscono le assegnazioni.
+     */
     updateUser(codiceUtente, user, options) {
         return __awaiter(this, void 0, void 0, function* () {
+            var _a, _b, _c, _d;
             try {
                 if (!codiceUtente)
                     throw new Error('Impossibile aggiornare senza codice utente.');
                 const allowPrivilegedChanges = (options === null || options === void 0 ? void 0 : options.allowPrivilegedChanges) === true;
+                for (const value of [user.flagDueFattori, user.passwordlessLoginEnabled]) {
+                    if (value !== undefined && typeof value !== 'boolean')
+                        throw new common_1.BadRequestException('Le policy di autenticazione devono essere booleane.');
+                }
                 if (!allowPrivilegedChanges &&
                     (user.statoRegistrazione !== undefined ||
                         user.flagSuper !== undefined ||
                         user.flagAdminConfigurator !== undefined ||
+                        user.passwordLoginEnabled !== undefined ||
+                        user.passwordlessLoginEnabled !== undefined ||
+                        user.flagDueFattori !== undefined ||
                         user.roles !== undefined ||
                         user.permissions !== undefined)) {
                     throw new Error('Non e consentito modificare campi privilegiati.');
                 }
+                if (user.flagDueFattori !== undefined || user.passwordlessLoginEnabled !== undefined || user.email !== undefined) {
+                    const current = yield this.getAuthenticatedUserSnapshot(codiceUtente);
+                    if (!current)
+                        throw new common_1.BadRequestException('Utente non trovato.');
+                    const twoFactor = (_a = user.flagDueFattori) !== null && _a !== void 0 ? _a : current.flagDueFattori;
+                    const passwordless = (_b = user.passwordlessLoginEnabled) !== null && _b !== void 0 ? _b : current.passwordlessLoginEnabled;
+                    if (passwordless && !twoFactor)
+                        throw new common_1.BadRequestException('Il login senza password richiede il codice di accesso attivo.');
+                    if (twoFactor && !/^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(((_d = (_c = user.email) !== null && _c !== void 0 ? _c : current.email) !== null && _d !== void 0 ? _d : '').trim())) {
+                        throw new common_1.BadRequestException('Per attivare i codici di accesso serve un indirizzo email valido.');
+                    }
+                }
+                const { configColumns } = yield this.validateApplicationFields(user);
                 const utentiUpdates = [];
                 const utentiParams = [];
                 if (user.email !== undefined) {
@@ -393,7 +562,11 @@ let UserService = class UserService {
                 }
                 if (user.flagDueFattori !== undefined) {
                     utentiConfigUpdates.push('flg2fatt = ?');
-                    utentiConfigParams.push(user.flagDueFattori);
+                    utentiConfigParams.push(user.flagDueFattori ? 1 : 0);
+                }
+                if (user.passwordlessLoginEnabled !== undefined) {
+                    utentiConfigUpdates.push('flgpwdless = ?');
+                    utentiConfigParams.push(user.passwordlessLoginEnabled ? 1 : 0);
                 }
                 if (user.codiceLingua !== undefined) {
                     utentiConfigUpdates.push('codlingua = ?');
@@ -411,6 +584,10 @@ let UserService = class UserService {
                     utentiConfigUpdates.push('flgadminconfig = ?');
                     utentiConfigParams.push(user.flagAdminConfigurator);
                 }
+                if (allowPrivilegedChanges && user.passwordLoginEnabled !== undefined) {
+                    utentiConfigUpdates.push('flgpassword = ?');
+                    utentiConfigParams.push(user.passwordLoginEnabled ? 1 : 0);
+                }
                 if (user.paginaDefault !== undefined) {
                     utentiConfigUpdates.push('pagdef = ?');
                     utentiConfigParams.push(user.paginaDefault);
@@ -419,7 +596,7 @@ let UserService = class UserService {
                     utentiConfigUpdates.push('json_metadata = ?');
                     utentiConfigParams.push(user.jsonMetadata);
                 }
-                if (user.ragSocCli !== undefined) {
+                if (user.ragSocCli !== undefined && (user.ragSocCli !== null || (configColumns === null || configColumns === void 0 ? void 0 : configColumns.has('RAGSOCCLI')))) {
                     utentiConfigUpdates.push('ragsoccli = ?');
                     utentiConfigParams.push(user.ragSocCli);
                 }
@@ -428,10 +605,10 @@ let UserService = class UserService {
                     utentiConfigParams.push(codiceUtente);
                     yield Orm_1.Orm.execute(this.accessiOptions.databaseOptions, queryUtentiConfig, utentiConfigParams);
                 }
-                if (allowPrivilegedChanges && !!user.roles && user.roles.length > 0) {
+                if (allowPrivilegedChanges && Array.isArray(user.roles)) {
                     yield this.permissionService.assignRolesToUser(codiceUtente, user.roles);
                 }
-                if (allowPrivilegedChanges && !!user.permissions && user.permissions.length > 0) {
+                if (allowPrivilegedChanges && Array.isArray(user.permissions)) {
                     yield this.permissionService.assignPermissionsToUser(codiceUtente, user.permissions);
                 }
                 yield this.filtriService.upsertFiltriUtente(codiceUtente, user);
@@ -446,6 +623,7 @@ let UserService = class UserService {
             yield this.filtriService.upsertFiltriUtente(codiceUtente, user);
         });
     }
+    /** Eliminazione logica: imposta lo stato `DELETE` senza cancellare lo storico o i collegamenti SSO. */
     deleteUser(codiceCliente) {
         return __awaiter(this, void 0, void 0, function* () {
             try {
@@ -460,6 +638,7 @@ let UserService = class UserService {
             }
         });
     }
+    /** Cambia esplicitamente lo stato di registrazione; usare questa API per blocco, conferma o eliminazione logica. */
     setStato(codiceCliente, statoRegistrazione) {
         return __awaiter(this, void 0, void 0, function* () {
             try {
@@ -477,9 +656,10 @@ let UserService = class UserService {
     setGdpr(codiceUtente) {
         return __awaiter(this, void 0, void 0, function* () {
             try {
-                const query = ` UPDATE OR INSERT UTENTI_GDPR SET CODUTE = ?, GDPR = ? `;
-                const params = [codiceUtente, true];
-                return yield Orm_1.Orm.execute(this.accessiOptions.databaseOptions, query, params);
+                return yield Orm_1.Orm.executeMultiple(this.accessiOptions.databaseOptions, [
+                    { query: 'INSERT INTO UTENTI_GDPR (CODUTE, GDPR) VALUES (?, ?)', params: [codiceUtente, 'true'] },
+                    { query: 'UPDATE UTENTI SET FLGGDPR = 1, DATGDPR = CURRENT_DATE WHERE CODUTE = ?', params: [codiceUtente] },
+                ]);
             }
             catch (error) {
                 throw error;