emilsoftware-utilities 2.0.0-dev.23 → 2.0.0-dev.24

package/dist/accessi-module/Console/generated/model/updateMenuRequest.d.ts

@@ -0,0 +1,47 @@
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+export interface UpdateMenuRequest {
+    /**
+     * Codice del gruppo di appartenenza.
+     * @maxLength 1
+     */
+    codiceGruppo?: string;
+    /**
+     * Descrizione del menu.
+     * @maxLength 100
+     */
+    descrizioneMenu?: string;
+    /** Menu abilitato. */
+    enabled?: boolean;
+    /**
+     * Percorso dell'icona.
+     * @maxLength 50
+     */
+    icona?: string;
+    /**
+     * Nota informativa associata al menu.
+     * @maxLength 1000
+     */
+    note?: string;
+    /** Ordine di visualizzazione del menu. */
+    ordineMenu?: number;
+    /**
+     * Pagina associata al menu.
+     * @maxLength 50
+     */
+    pagina?: string;
+    /**
+     * Menu di riferimento (gerarchia).
+     * @maxLength 20
+     */
+    rifMenu?: string;
+    /**
+     * Codice del tipo menu.
+     * @maxLength 1
+     */
+    tipo?: string;
+}

package/dist/accessi-module/Console/generated/model/updateMenuRequest.js

@@ -0,0 +1,9 @@
+"use strict";
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=updateMenuRequest.js.map

package/dist/accessi-module/Console/generated/model/updateMenuRequest.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"updateMenuRequest.js","sourceRoot":"","sources":["../../../../../src/accessi-module/Console/generated/model/updateMenuRequest.ts"],"names":[],"mappings":";AAAA;;;;;GAKG","sourcesContent":["/**\n * Generated by orval v6.31.0 🍺\n * Do not edit manually.\n * Accessi API\n * OpenAPI spec version: 1.0\n */\n\nexport interface UpdateMenuRequest {\n  /**\n   * Codice del gruppo di appartenenza.\n   * @maxLength 1\n   */\n  codiceGruppo?: string;\n  /**\n   * Descrizione del menu.\n   * @maxLength 100\n   */\n  descrizioneMenu?: string;\n  /** Menu abilitato. */\n  enabled?: boolean;\n  /**\n   * Percorso dell'icona.\n   * @maxLength 50\n   */\n  icona?: string;\n  /**\n   * Nota informativa associata al menu.\n   * @maxLength 1000\n   */\n  note?: string;\n  /** Ordine di visualizzazione del menu. */\n  ordineMenu?: number;\n  /**\n   * Pagina associata al menu.\n   * @maxLength 50\n   */\n  pagina?: string;\n  /**\n   * Menu di riferimento (gerarchia).\n   * @maxLength 20\n   */\n  rifMenu?: string;\n  /**\n   * Codice del tipo menu.\n   * @maxLength 1\n   */\n  tipo?: string;\n}\n"]}

package/dist/accessi-module/Console/generated/model/updateMenuTypeRequest.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+export interface UpdateMenuTypeRequest {
+    /**
+     * Descrizione del tipo menu.
+     * @maxLength 20
+     */
+    descrizioneTipo?: string;
+}

package/dist/accessi-module/Console/generated/model/updateMenuTypeRequest.js

@@ -0,0 +1,9 @@
+"use strict";
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=updateMenuTypeRequest.js.map

package/dist/accessi-module/Console/generated/model/updateMenuTypeRequest.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"updateMenuTypeRequest.js","sourceRoot":"","sources":["../../../../../src/accessi-module/Console/generated/model/updateMenuTypeRequest.ts"],"names":[],"mappings":";AAAA;;;;;GAKG","sourcesContent":["/**\n * Generated by orval v6.31.0 🍺\n * Do not edit manually.\n * Accessi API\n * OpenAPI spec version: 1.0\n */\n\nexport interface UpdateMenuTypeRequest {\n  /**\n   * Descrizione del tipo menu.\n   * @maxLength 20\n   */\n  descrizioneTipo?: string;\n}\n"]}

package/dist/accessi-module/Console/generated/model/userDtoAvatar.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+/**
+ * Avatar (URL o base64).
+ * @nullable
+ */
+export type UserDtoAvatar = {
+    [key: string]: unknown;
+} | null;

package/dist/accessi-module/Console/generated/model/userDtoAvatar.js

@@ -0,0 +1,9 @@
+"use strict";
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=userDtoAvatar.js.map

package/dist/accessi-module/Console/generated/model/userDtoAvatar.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"userDtoAvatar.js","sourceRoot":"","sources":["../../../../../src/accessi-module/Console/generated/model/userDtoAvatar.ts"],"names":[],"mappings":";AAAA;;;;;GAKG","sourcesContent":["/**\n * Generated by orval v6.31.0 🍺\n * Do not edit manually.\n * Accessi API\n * OpenAPI spec version: 1.0\n */\n\n/**\n * Avatar (URL o base64).\n * @nullable\n */\nexport type UserDtoAvatar = { [key: string]: unknown } | null;\n"]}

package/dist/accessi-module/Console/generated/model/userDtoCellulare.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+/**
+ * Numero di cellulare.
+ * @nullable
+ */
+export type UserDtoCellulare = {
+    [key: string]: unknown;
+} | null;

package/dist/accessi-module/Console/generated/model/userDtoCellulare.js

@@ -0,0 +1,9 @@
+"use strict";
+/**
+ * Generated by orval v6.31.0 🍺
+ * Do not edit manually.
+ * Accessi API
+ * OpenAPI spec version: 1.0
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+//# sourceMappingURL=userDtoCellulare.js.map

package/dist/accessi-module/Console/generated/model/userDtoCellulare.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"userDtoCellulare.js","sourceRoot":"","sources":["../../../../../src/accessi-module/Console/generated/model/userDtoCellulare.ts"],"names":[],"mappings":";AAAA;;;;;GAKG","sourcesContent":["/**\n * Generated by orval v6.31.0 🍺\n * Do not edit manually.\n * Accessi API\n * OpenAPI spec version: 1.0\n */\n\n/**\n * Numero di cellulare.\n * @nullable\n */\nexport type UserDtoCellulare = { [key: string]: unknown } | null;\n"]}

package/dist/accessi-module/Console/help.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Contenuti di aiuto contestuale della console Accessi.
+ *
+ * Ogni voce spiega, in italiano corretto, che cosa inserire in un campo
+ * tecnico e da dove prendere il valore. Sono mostrati come miniguida nel
+ * tooltip aperto dall'icona "i" accanto al campo.
+ */
+import type { WikiBlock } from './wiki';
+export interface HelpEntry {
+    title: string;
+    blocks: WikiBlock[];
+}
+export declare const HELP: Record<string, HelpEntry>;

package/dist/accessi-module/Console/help.js

@@ -0,0 +1,348 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.HELP = void 0;
+const p = (text) => ({ kind: 'p', text });
+const list = (items) => ({ kind: 'list', items });
+const code = (language, codeText, title) => ({ kind: 'code', language, title, code: codeText });
+const note = (tone, title, text) => ({ kind: 'callout', tone, title, text });
+const table = (head, rows) => ({ kind: 'table', head, rows });
+exports.HELP = {
+    // ------------------------------------------------------------------ SSO
+    'sso-provider': {
+        title: 'Provider SSO',
+        blocks: [
+            p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),
+            p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),
+            note('info', 'Chi crea il provider', `Prima si censisce il provider in "SSO → Provider" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),
+        ],
+    },
+    'sso-subject': {
+        title: 'ID utente del provider (subject)',
+        blocks: [
+            p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),
+            p(`Ecco il claim corretto per i provider più comuni:`),
+            table(['Provider', 'Claim da usare', 'Note'], [
+                ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],
+                ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],
+                ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],
+                ['Okta', 'sub', 'Claim standard OIDC.'],
+                ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],
+                ['Keycloak', 'sub', 'Claim standard OIDC.'],
+                ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],
+                ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],
+                ['OIDC generico', 'sub', 'Claim standard OIDC.'],
+            ]),
+            note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),
+            code('ts', [
+                '// Nel backend, dopo aver validato il token del provider:',
+                '// Azure AD / Entra ID',
+                "const subject = claims.oid;",
+                '// Google / Okta / Keycloak / OIDC generico',
+                "const subject = claims.sub;",
+                '// Apple (disponibile al primo login, salvalo subito)',
+                "const subject = claims.sub;",
+                '// SAML',
+                "const subject = assertion.nameId;",
+            ].join('\n'), 'Come ricavare il subject'),
+        ],
+    },
+    'sso-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio "migrato da AD il 2026-01-10"). Non viene inviata al provider.`),
+        ],
+    },
+    'provider-key': {
+        title: 'Chiave provider',
+        blocks: [
+            p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),
+            note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),
+        ],
+    },
+    'provider-description': {
+        title: 'Descrizione',
+        blocks: [
+            p(`Nome leggibile mostrato agli amministratori (per esempio "Azure AD – Acme produzione"). Non è la chiave tecnica: può contenere spazi.`),
+        ],
+    },
+    'provider-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),
+        ],
+    },
+    'provider-active': {
+        title: 'Provider attivo',
+        blocks: [
+            p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),
+        ],
+    },
+    // --------------------------------------------------------- service token
+    'token-label': {
+        title: 'Descrizione del token',
+        blocks: [
+            p(`Nome del token, mostrato agli amministratori (per esempio "Integrazione IA – produzione"). Non è un segreto.`),
+        ],
+    },
+    'token-scopes': {
+        title: 'Scope',
+        blocks: [
+            p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),
+            list([
+                `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,
+                `Esempi: ia, chat, tools, report:read.`,
+                `Separa gli scope con una virgola.`,
+            ]),
+            code('ts', [
+                '@UseGuards(ServiceTokenGuard)',
+                "@RequireServiceTokenScopes('ia')",
+                '@Post("internal/ask")',
+                'ask() { /* il token deve avere lo scope ia */ }',
+            ].join('\n'), 'Come li usa il backend'),
+            note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),
+        ],
+    },
+    'token-ttl': {
+        title: 'Durata (giorni)',
+        blocks: [
+            p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),
+            note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),
+        ],
+    },
+    // ----------------------------------------------------------------- utenti
+    'user-email': {
+        title: 'Email',
+        blocks: [
+            p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),
+        ],
+    },
+    'user-name': {
+        title: 'Nome e cognome',
+        blocks: [
+            p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),
+        ],
+    },
+    'user-password-login': {
+        title: 'Login con password',
+        blocks: [
+            p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),
+            note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),
+        ],
+    },
+    'user-2fa': {
+        title: 'Codice via email (2FA)',
+        blocks: [
+            p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),
+            list([
+                `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,
+                `Non sono token: fino alla verifica non esiste alcun JWT.`,
+            ]),
+        ],
+    },
+    'user-passwordless': {
+        title: 'Accesso con il solo codice email',
+        blocks: [
+            p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),
+            note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),
+        ],
+    },
+    'user-state': {
+        title: 'Stato di registrazione',
+        blocks: [
+            table(['Stato', 'Significato'], [
+                ['Non definito / Inserito', 'Utente non confermato.'],
+                ['Invitato (10)', 'Richiede il rinnovo della password.'],
+                ['Confermato (20)', 'Utente valido, può accedere.'],
+                ['Eliminato (50)', 'Soft delete: login bloccato.'],
+                ['Bloccato (99)', 'Login bloccato.'],
+            ]),
+        ],
+    },
+    // ------------------------------------------------------------------ ruoli
+    'role-description': {
+        title: 'Descrizione del ruolo',
+        blocks: [
+            p(`Nome del ruolo (per esempio "Gestore ordini"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),
+        ],
+    },
+    'role-level': {
+        title: 'Livello di abilitazione',
+        blocks: [
+            table(['Livello', 'Valore', 'Uso tipico'], [
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+                ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],
+            ]),
+            p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),
+        ],
+    },
+    // --------------------------------------------------------- catalogo menu
+    'menu-code': {
+        title: 'Codice menu',
+        blocks: [
+            p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),
+            note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),
+        ],
+    },
+    'menu-group-code': {
+        title: 'Codice gruppo',
+        blocks: [
+            p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-type-code': {
+        title: 'Codice tipo menu',
+        blocks: [
+            p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-group-order': {
+        title: 'Ordine del gruppo',
+        blocks: [
+            p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-order': {
+        title: 'Ordine del menu',
+        blocks: [
+            p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-page': {
+        title: 'Pagina',
+        blocks: [
+            p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),
+        ],
+    },
+    'menu-icon': {
+        title: 'Icona',
+        blocks: [
+            p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),
+        ],
+    },
+    'menu-rifmenu': {
+        title: 'Menu di riferimento',
+        blocks: [
+            p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),
+        ],
+    },
+    'menu-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),
+        ],
+    },
+    'menu-enabled': {
+        title: 'Menu abilitato',
+        blocks: [
+            p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),
+        ],
+    },
+    'menu-group-enabled': {
+        title: 'Gruppo abilitato',
+        blocks: [
+            p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),
+        ],
+    },
+    // ----------------------------------------------------------------- filtri
+    'filter-type-code': {
+        title: 'Codice tipo filtro',
+        blocks: [
+            p(`Numero identificativo del tipo filtro. È la chiave primaria: non si modifica dopo la creazione.`),
+        ],
+    },
+    'filter-type-field': {
+        title: 'Campo',
+        blocks: [
+            p(`Nome della colonna applicativa della tabella FILTRI a cui il tipo è associato (per esempio CODCLI). Deve esistere nello schema, altrimenti i filtri che lo usano vengono rifiutati.`),
+        ],
+    },
+    'filter-type-enabled': {
+        title: 'Tipo filtro abilitato',
+        blocks: [
+            p(`Se disattivato, il tipo non è proposto ai client, ma i filtri già salvati restano nel database.`),
+        ],
+    },
+    'filters-json': {
+        title: 'Filtro JSON',
+        blocks: [
+            p(`Rappresentazione JSON dei filtri applicativi dell'utente. Usa "Carica" per partire dalla struttura esistente, modifica i valori e poi "Salva".`),
+            note('info', 'Campi ammessi', `Sono accettati solo i campi mappati nello schema (FILTRI_UTENTE_DB_MAPPING). Un campo non configurato viene rifiutato con un errore esplicito.`),
+        ],
+    },
+    'filters-user': {
+        title: 'Utente',
+        blocks: [
+            p(`Utente a cui appartengono i filtri. Selezionalo prima di caricare o salvare: i filtri sono sempre per singolo utente.`),
+        ],
+    },
+    // ------------------------------------------------------------ assegnazioni
+    'role-assignment': {
+        title: 'Assegnazione dei ruoli',
+        blocks: [
+            p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),
+            list([
+                `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,
+                `Per rimuovere un ruolo, deselezionalo.`,
+                `Non modificare i grant diretti: quelli si gestiscono nella scheda "Grant diretti".`,
+            ]),
+            note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),
+        ],
+    },
+    'grant-direct': {
+        title: 'Grant diretti',
+        blocks: [
+            p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),
+            list([
+                `Imposta il livello per concedere l'accesso.`,
+                `Scegli "nessuno" per rimuovere il grant diretto.`,
+                `Il salvataggio sostituisce l'intero set di grant diretti.`,
+            ]),
+        ],
+    },
+    'grant-level': {
+        title: 'Livello di grant',
+        blocks: [
+            table(['Voce', 'Valore', 'Significato'], [
+                ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+            ]),
+            p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),
+        ],
+    },
+    'user-delete': {
+        title: 'Imposta stato eliminato',
+        blocks: [
+            p(`Esegue un soft delete: imposta lo stato di registrazione a "Eliminato" (50). L'utente non può più accedere, ma i dati restano nel database.`),
+            note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),
+        ],
+    },
+    // ----------------------------------------------------- selezioni di menu
+    'menu-group-select': {
+        title: 'Gruppo',
+        blocks: [
+            p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in "Menu e gruppi → Gruppi".`),
+        ],
+    },
+    'menu-type-select': {
+        title: 'Tipo menu',
+        blocks: [
+            p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia "Nessun tipo". I tipi si gestiscono in "Menu e gruppi → Tipi menu".`),
+        ],
+    },
+    // ------------------------------------------------------------------ login
+    'login-email': {
+        title: 'Email o utente',
+        blocks: [
+            p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),
+        ],
+    },
+    'login-password': {
+        title: 'Password',
+        blocks: [
+            p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),
+        ],
+    },
+};
+//# sourceMappingURL=help.js.map

package/dist/accessi-module/Console/help.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"help.js","sourceRoot":"","sources":["../../../src/accessi-module/Console/help.ts"],"names":[],"mappings":";;;AAcA,MAAM,CAAC,GAAG,CAAC,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,IAAI,EAAE,CAAC,CAAC;AAC7D,MAAM,IAAI,GAAG,CAAC,KAAe,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC,CAAC;AACvE,MAAM,IAAI,GAAG,CAAC,QAAgB,EAAE,QAAgB,EAAE,KAAc,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,QAAQ,EAAE,KAAK,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC;AACpI,MAAM,IAAI,GAAG,CAAC,IAAuC,EAAE,KAAa,EAAE,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;AAC3I,MAAM,KAAK,GAAG,CAAC,IAAc,EAAE,IAAgB,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC;AAElF,QAAA,IAAI,GAA8B;IAC7C,yEAAyE;IACzE,cAAc,EAAE;QACd,KAAK,EAAE,cAAc;QACrB,MAAM,EAAE;YACN,CAAC,CAAC,mMAAmM,CAAC;YACtM,CAAC,CAAC,8IAA8I,CAAC;YACjJ,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,2IAA2I,CAAC;SAClL;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,kMAAkM,CAAC;YACrM,CAAC,CAAC,mDAAmD,CAAC;YACtD,KAAK,CACH,CAAC,UAAU,EAAE,gBAAgB,EAAE,MAAM,CAAC,EACtC;gBACE,CAAC,qBAAqB,EAAE,KAAK,EAAE,mDAAmD,CAAC;gBACnF,CAAC,QAAQ,EAAE,KAAK,EAAE,iDAAiD,CAAC;gBACpE,CAAC,OAAO,EAAE,KAAK,EAAE,4FAA4F,CAAC;gBAC9G,CAAC,MAAM,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBACvC,CAAC,OAAO,EAAE,KAAK,EAAE,8CAA8C,CAAC;gBAChE,CAAC,UAAU,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBAC3C,CAAC,2BAA2B,EAAE,KAAK,EAAE,uBAAuB,CAAC;gBAC7D,CAAC,UAAU,EAAE,QAAQ,EAAE,yCAAyC,CAAC;gBACjE,CAAC,eAAe,EAAE,KAAK,EAAE,sBAAsB,CAAC;aACjD,CACF;YACD,IAAI,CAAC,QAAQ,EAAE,mBAAmB,EAAE,mHAAmH,CAAC;YACxJ,IAAI,CAAC,IAAI,EAAE;gBACT,2DAA2D;gBAC3D,wBAAwB;gBACxB,6BAA6B;gBAC7B,6CAA6C;gBAC7C,6BAA6B;gBAC7B,uDAAuD;gBACvD,6BAA6B;gBAC7B,SAAS;gBACT,mCAAmC;aACpC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,0BAA0B,CAAC;SAC1C;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,kKAAkK,CAAC;SACtK;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,0KAA0K,CAAC;YAC7K,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qKAAqK,CAAC;SAClM;KACF;IACD,sBAAsB,EAAE;QACtB,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,uIAAuI,CAAC;SAC3I;KACF;IACD,eAAe,EAAE;QACf,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,oJAAoJ,CAAC;SACxJ;KACF;IAED,0EAA0E;IAC1E,aAAa,EAAE;QACb,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,4LAA4L,CAAC;YAC/L,IAAI,CAAC;gBACH,iEAAiE;gBACjE,uCAAuC;gBACvC,mCAAmC;aACpC,CAAC;YACF,IAAI,CAAC,IAAI,EAAE;gBACT,+BAA+B;gBAC/B,kCAAkC;gBAClC,uBAAuB;gBACvB,iDAAiD;aAClD,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,wBAAwB,CAAC;YACvC,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iIAAiI,CAAC;SAC/J;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,4EAA4E,CAAC;YAC/E,IAAI,CAAC,QAAQ,EAAE,kBAAkB,EAAE,yGAAyG,CAAC;SAC9I;KACF;IAED,2EAA2E;IAC3E,YAAY,EAAE;QACZ,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,uGAAuG,CAAC;SAC3G;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,qBAAqB,EAAE;QACrB,KAAK,EAAE,oBAAoB;QAC3B,MAAM,EAAE;YACN,CAAC,CAAC,0IAA0I,CAAC;YAC7I,IAAI,CAAC,MAAM,EAAE,iBAAiB,EAAE,iGAAiG,CAAC;SACnI;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,gJAAgJ,CAAC;YACnJ,IAAI,CAAC;gBACH,mEAAmE;gBACnE,0DAA0D;aAC3D,CAAC;SACH;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,gIAAgI,CAAC;YACnI,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,sGAAsG,CAAC;SAC7I;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,KAAK,CACH,CAAC,OAAO,EAAE,aAAa,CAAC,EACxB;gBACE,CAAC,yBAAyB,EAAE,wBAAwB,CAAC;gBACrD,CAAC,eAAe,EAAE,qCAAqC,CAAC;gBACxD,CAAC,iBAAiB,EAAE,8BAA8B,CAAC;gBACnD,CAAC,gBAAgB,EAAE,8BAA8B,CAAC;gBAClD,CAAC,eAAe,EAAE,iBAAiB,CAAC;aACrC,CACF;SACF;KACF;IAED,2EAA2E;IAC3E,kBAAkB,EAAE;QAClB,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,kJAAkJ,CAAC;SACtJ;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,KAAK,CACH,CAAC,SAAS,EAAE,QAAQ,EAAE,YAAY,CAAC,EACnC;gBACE,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;gBACzC,CAAC,aAAa,EAAE,IAAI,EAAE,0CAA0C,CAAC;aAClE,CACF;YACD,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IAED,0EAA0E;IAC1E,WAAW,EAAE;QACX,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,wIAAwI,CAAC;YAC3I,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qFAAqF,CAAC;SAClH;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,sGAAsG,CAAC;SAC1G;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,mBAAmB;QAC1B,MAAM,EAAE;YACN,CAAC,CAAC,+FAA+F,CAAC;SACnG;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,kGAAkG,CAAC;SACtG;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,mIAAmI,CAAC;SACvI;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,8HAA8H,CAAC;SAClI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,qBAAqB;QAC5B,MAAM,EAAE;YACN,CAAC,CAAC,sHAAsH,CAAC;SAC1H;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,yEAAyE,CAAC;SAC7E;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iJAAiJ,CAAC;SACrJ;KACF;IACD,oBAAoB,EAAE;QACpB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,sIAAsI,CAAC;SAC1I;KACF;IAED,2EAA2E;IAC3E,kBAAkB,EAAE;QAClB,KAAK,EAAE,oBAAoB;QAC3B,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,qLAAqL,CAAC;SACzL;KACF;IACD,qBAAqB,EAAE;QACrB,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,gJAAgJ,CAAC;YACnJ,IAAI,CAAC,MAAM,EAAE,eAAe,EAAE,gJAAgJ,CAAC;SAChL;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IAED,4EAA4E;IAC5E,iBAAiB,EAAE;QACjB,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,kHAAkH,CAAC;YACrH,IAAI,CAAC;gBACH,sEAAsE;gBACtE,wCAAwC;gBACxC,oFAAoF;aACrF,CAAC;YACF,IAAI,CAAC,MAAM,EAAE,oBAAoB,EAAE,2FAA2F,CAAC;SAChI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,2IAA2I,CAAC;YAC9I,IAAI,CAAC;gBACH,6CAA6C;gBAC7C,kDAAkD;gBAClD,2DAA2D;aAC5D,CAAC;SACH;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,KAAK,CACH,CAAC,MAAM,EAAE,QAAQ,EAAE,aAAa,CAAC,EACjC;gBACE,CAAC,SAAS,EAAE,GAAG,EAAE,0EAA0E,CAAC;gBAC5F,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;aAC1C,CACF;YACD,CAAC,CAAC,kEAAkE,CAAC;SACtE;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,CAAC,CAAC,6IAA6I,CAAC;YAChJ,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iGAAiG,CAAC;SAC/H;KACF;IAED,0EAA0E;IAC1E,mBAAmB,EAAE;QACnB,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,yGAAyG,CAAC;SAC7G;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,WAAW;QAClB,MAAM,EAAE;YACN,CAAC,CAAC,qKAAqK,CAAC;SACzK;KACF;IAED,2EAA2E;IAC3E,aAAa,EAAE;QACb,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,+JAA+J,CAAC;SACnK;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,UAAU;QACjB,MAAM,EAAE;YACN,CAAC,CAAC,6GAA6G,CAAC;SACjH;KACF;CACF,CAAC","sourcesContent":["/**\n * Contenuti di aiuto contestuale della console Accessi.\n *\n * Ogni voce spiega, in italiano corretto, che cosa inserire in un campo\n * tecnico e da dove prendere il valore. Sono mostrati come miniguida nel\n * tooltip aperto dall'icona \"i\" accanto al campo.\n */\nimport type { WikiBlock } from './wiki';\n\nexport interface HelpEntry {\n  title: string;\n  blocks: WikiBlock[];\n}\n\nconst p = (text: string): WikiBlock => ({ kind: 'p', text });\nconst list = (items: string[]): WikiBlock => ({ kind: 'list', items });\nconst code = (language: string, codeText: string, title?: string): WikiBlock => ({ kind: 'code', language, title, code: codeText });\nconst note = (tone: 'info' | 'ok' | 'warn' | 'danger', title: string, text: string): WikiBlock => ({ kind: 'callout', tone, title, text });\nconst table = (head: string[], rows: string[][]): WikiBlock => ({ kind: 'table', head, rows });\n\nexport const HELP: Record<string, HelpEntry> = {\n  // ------------------------------------------------------------------ SSO\n  'sso-provider': {\n    title: 'Provider SSO',\n    blocks: [\n      p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),\n      p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),\n      note('info', 'Chi crea il provider', `Prima si censisce il provider in \"SSO → Provider\" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),\n    ],\n  },\n  'sso-subject': {\n    title: 'ID utente del provider (subject)',\n    blocks: [\n      p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),\n      p(`Ecco il claim corretto per i provider più comuni:`),\n      table(\n        ['Provider', 'Claim da usare', 'Note'],\n        [\n          ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],\n          ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],\n          ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],\n          ['Okta', 'sub', 'Claim standard OIDC.'],\n          ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],\n          ['Keycloak', 'sub', 'Claim standard OIDC.'],\n          ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],\n          ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],\n          ['OIDC generico', 'sub', 'Claim standard OIDC.'],\n        ],\n      ),\n      note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),\n      code('ts', [\n        '// Nel backend, dopo aver validato il token del provider:',\n        '// Azure AD / Entra ID',\n        \"const subject = claims.oid;\",\n        '// Google / Okta / Keycloak / OIDC generico',\n        \"const subject = claims.sub;\",\n        '// Apple (disponibile al primo login, salvalo subito)',\n        \"const subject = claims.sub;\",\n        '// SAML',\n        \"const subject = assertion.nameId;\",\n      ].join('\\n'), 'Come ricavare il subject'),\n    ],\n  },\n  'sso-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio \"migrato da AD il 2026-01-10\"). Non viene inviata al provider.`),\n    ],\n  },\n  'provider-key': {\n    title: 'Chiave provider',\n    blocks: [\n      p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),\n      note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),\n    ],\n  },\n  'provider-description': {\n    title: 'Descrizione',\n    blocks: [\n      p(`Nome leggibile mostrato agli amministratori (per esempio \"Azure AD – Acme produzione\"). Non è la chiave tecnica: può contenere spazi.`),\n    ],\n  },\n  'provider-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),\n    ],\n  },\n  'provider-active': {\n    title: 'Provider attivo',\n    blocks: [\n      p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),\n    ],\n  },\n\n  // --------------------------------------------------------- service token\n  'token-label': {\n    title: 'Descrizione del token',\n    blocks: [\n      p(`Nome del token, mostrato agli amministratori (per esempio \"Integrazione IA – produzione\"). Non è un segreto.`),\n    ],\n  },\n  'token-scopes': {\n    title: 'Scope',\n    blocks: [\n      p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),\n      list([\n        `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,\n        `Esempi: ia, chat, tools, report:read.`,\n        `Separa gli scope con una virgola.`,\n      ]),\n      code('ts', [\n        '@UseGuards(ServiceTokenGuard)',\n        \"@RequireServiceTokenScopes('ia')\",\n        '@Post(\"internal/ask\")',\n        'ask() { /* il token deve avere lo scope ia */ }',\n      ].join('\\n'), 'Come li usa il backend'),\n      note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),\n    ],\n  },\n  'token-ttl': {\n    title: 'Durata (giorni)',\n    blocks: [\n      p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),\n      note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),\n    ],\n  },\n\n  // ----------------------------------------------------------------- utenti\n  'user-email': {\n    title: 'Email',\n    blocks: [\n      p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),\n    ],\n  },\n  'user-name': {\n    title: 'Nome e cognome',\n    blocks: [\n      p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),\n    ],\n  },\n  'user-password-login': {\n    title: 'Login con password',\n    blocks: [\n      p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),\n      note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),\n    ],\n  },\n  'user-2fa': {\n    title: 'Codice via email (2FA)',\n    blocks: [\n      p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),\n      list([\n        `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,\n        `Non sono token: fino alla verifica non esiste alcun JWT.`,\n      ]),\n    ],\n  },\n  'user-passwordless': {\n    title: 'Accesso con il solo codice email',\n    blocks: [\n      p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),\n      note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),\n    ],\n  },\n  'user-state': {\n    title: 'Stato di registrazione',\n    blocks: [\n      table(\n        ['Stato', 'Significato'],\n        [\n          ['Non definito / Inserito', 'Utente non confermato.'],\n          ['Invitato (10)', 'Richiede il rinnovo della password.'],\n          ['Confermato (20)', 'Utente valido, può accedere.'],\n          ['Eliminato (50)', 'Soft delete: login bloccato.'],\n          ['Bloccato (99)', 'Login bloccato.'],\n        ],\n      ),\n    ],\n  },\n\n  // ------------------------------------------------------------------ ruoli\n  'role-description': {\n    title: 'Descrizione del ruolo',\n    blocks: [\n      p(`Nome del ruolo (per esempio \"Gestore ordini\"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),\n    ],\n  },\n  'role-level': {\n    title: 'Livello di abilitazione',\n    blocks: [\n      table(\n        ['Livello', 'Valore', 'Uso tipico'],\n        [\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n          ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],\n        ],\n      ),\n      p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),\n    ],\n  },\n\n  // --------------------------------------------------------- catalogo menu\n  'menu-code': {\n    title: 'Codice menu',\n    blocks: [\n      p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),\n      note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),\n    ],\n  },\n  'menu-group-code': {\n    title: 'Codice gruppo',\n    blocks: [\n      p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-type-code': {\n    title: 'Codice tipo menu',\n    blocks: [\n      p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-group-order': {\n    title: 'Ordine del gruppo',\n    blocks: [\n      p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-order': {\n    title: 'Ordine del menu',\n    blocks: [\n      p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-page': {\n    title: 'Pagina',\n    blocks: [\n      p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),\n    ],\n  },\n  'menu-icon': {\n    title: 'Icona',\n    blocks: [\n      p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),\n    ],\n  },\n  'menu-rifmenu': {\n    title: 'Menu di riferimento',\n    blocks: [\n      p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),\n    ],\n  },\n  'menu-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),\n    ],\n  },\n  'menu-enabled': {\n    title: 'Menu abilitato',\n    blocks: [\n      p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),\n    ],\n  },\n  'menu-group-enabled': {\n    title: 'Gruppo abilitato',\n    blocks: [\n      p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),\n    ],\n  },\n\n  // ----------------------------------------------------------------- filtri\n  'filter-type-code': {\n    title: 'Codice tipo filtro',\n    blocks: [\n      p(`Numero identificativo del tipo filtro. È la chiave primaria: non si modifica dopo la creazione.`),\n    ],\n  },\n  'filter-type-field': {\n    title: 'Campo',\n    blocks: [\n      p(`Nome della colonna applicativa della tabella FILTRI a cui il tipo è associato (per esempio CODCLI). Deve esistere nello schema, altrimenti i filtri che lo usano vengono rifiutati.`),\n    ],\n  },\n  'filter-type-enabled': {\n    title: 'Tipo filtro abilitato',\n    blocks: [\n      p(`Se disattivato, il tipo non è proposto ai client, ma i filtri già salvati restano nel database.`),\n    ],\n  },\n  'filters-json': {\n    title: 'Filtro JSON',\n    blocks: [\n      p(`Rappresentazione JSON dei filtri applicativi dell'utente. Usa \"Carica\" per partire dalla struttura esistente, modifica i valori e poi \"Salva\".`),\n      note('info', 'Campi ammessi', `Sono accettati solo i campi mappati nello schema (FILTRI_UTENTE_DB_MAPPING). Un campo non configurato viene rifiutato con un errore esplicito.`),\n    ],\n  },\n  'filters-user': {\n    title: 'Utente',\n    blocks: [\n      p(`Utente a cui appartengono i filtri. Selezionalo prima di caricare o salvare: i filtri sono sempre per singolo utente.`),\n    ],\n  },\n\n  // ------------------------------------------------------------ assegnazioni\n  'role-assignment': {\n    title: 'Assegnazione dei ruoli',\n    blocks: [\n      p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),\n      list([\n        `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,\n        `Per rimuovere un ruolo, deselezionalo.`,\n        `Non modificare i grant diretti: quelli si gestiscono nella scheda \"Grant diretti\".`,\n      ]),\n      note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),\n    ],\n  },\n  'grant-direct': {\n    title: 'Grant diretti',\n    blocks: [\n      p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),\n      list([\n        `Imposta il livello per concedere l'accesso.`,\n        `Scegli \"nessuno\" per rimuovere il grant diretto.`,\n        `Il salvataggio sostituisce l'intero set di grant diretti.`,\n      ]),\n    ],\n  },\n  'grant-level': {\n    title: 'Livello di grant',\n    blocks: [\n      table(\n        ['Voce', 'Valore', 'Significato'],\n        [\n          ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n        ],\n      ),\n      p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),\n    ],\n  },\n  'user-delete': {\n    title: 'Imposta stato eliminato',\n    blocks: [\n      p(`Esegue un soft delete: imposta lo stato di registrazione a \"Eliminato\" (50). L'utente non può più accedere, ma i dati restano nel database.`),\n      note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),\n    ],\n  },\n\n  // ----------------------------------------------------- selezioni di menu\n  'menu-group-select': {\n    title: 'Gruppo',\n    blocks: [\n      p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in \"Menu e gruppi → Gruppi\".`),\n    ],\n  },\n  'menu-type-select': {\n    title: 'Tipo menu',\n    blocks: [\n      p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia \"Nessun tipo\". I tipi si gestiscono in \"Menu e gruppi → Tipi menu\".`),\n    ],\n  },\n\n  // ------------------------------------------------------------------ login\n  'login-email': {\n    title: 'Email o utente',\n    blocks: [\n      p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),\n    ],\n  },\n  'login-password': {\n    title: 'Password',\n    blocks: [\n      p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),\n    ],\n  },\n};\n"]}