emilsoftware-utilities 2.0.0-dev.23 → 2.0.0-dev.25

package/dist/accessi-module/Console/help.js

@@ -0,0 +1,348 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.HELP = void 0;
+const p = (text) => ({ kind: 'p', text });
+const list = (items) => ({ kind: 'list', items });
+const code = (language, codeText, title) => ({ kind: 'code', language, title, code: codeText });
+const note = (tone, title, text) => ({ kind: 'callout', tone, title, text });
+const table = (head, rows) => ({ kind: 'table', head, rows });
+exports.HELP = {
+    // ------------------------------------------------------------------ SSO
+    'sso-provider': {
+        title: 'Provider SSO',
+        blocks: [
+            p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),
+            p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),
+            note('info', 'Chi crea il provider', `Prima si censisce il provider in "SSO → Provider" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),
+        ],
+    },
+    'sso-subject': {
+        title: 'ID utente del provider (subject)',
+        blocks: [
+            p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),
+            p(`Ecco il claim corretto per i provider più comuni:`),
+            table(['Provider', 'Claim da usare', 'Note'], [
+                ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],
+                ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],
+                ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],
+                ['Okta', 'sub', 'Claim standard OIDC.'],
+                ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],
+                ['Keycloak', 'sub', 'Claim standard OIDC.'],
+                ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],
+                ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],
+                ['OIDC generico', 'sub', 'Claim standard OIDC.'],
+            ]),
+            note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),
+            code('ts', [
+                '// Nel backend, dopo aver validato il token del provider:',
+                '// Azure AD / Entra ID',
+                "const subject = claims.oid;",
+                '// Google / Okta / Keycloak / OIDC generico',
+                "const subject = claims.sub;",
+                '// Apple (disponibile al primo login, salvalo subito)',
+                "const subject = claims.sub;",
+                '// SAML',
+                "const subject = assertion.nameId;",
+            ].join('\n'), 'Come ricavare il subject'),
+        ],
+    },
+    'sso-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio "migrato da AD il 2026-01-10"). Non viene inviata al provider.`),
+        ],
+    },
+    'provider-key': {
+        title: 'Chiave provider',
+        blocks: [
+            p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),
+            note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),
+        ],
+    },
+    'provider-description': {
+        title: 'Descrizione',
+        blocks: [
+            p(`Nome leggibile mostrato agli amministratori (per esempio "Azure AD – Acme produzione"). Non è la chiave tecnica: può contenere spazi.`),
+        ],
+    },
+    'provider-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),
+        ],
+    },
+    'provider-active': {
+        title: 'Provider attivo',
+        blocks: [
+            p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),
+        ],
+    },
+    // --------------------------------------------------------- service token
+    'token-label': {
+        title: 'Descrizione del token',
+        blocks: [
+            p(`Nome del token, mostrato agli amministratori (per esempio "Integrazione IA – produzione"). Non è un segreto.`),
+        ],
+    },
+    'token-scopes': {
+        title: 'Scope',
+        blocks: [
+            p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),
+            list([
+                `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,
+                `Esempi: ia, chat, tools, report:read.`,
+                `Separa gli scope con una virgola.`,
+            ]),
+            code('ts', [
+                '@UseGuards(ServiceTokenGuard)',
+                "@RequireServiceTokenScopes('ia')",
+                '@Post("internal/ask")',
+                'ask() { /* il token deve avere lo scope ia */ }',
+            ].join('\n'), 'Come li usa il backend'),
+            note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),
+        ],
+    },
+    'token-ttl': {
+        title: 'Durata (giorni)',
+        blocks: [
+            p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),
+            note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),
+        ],
+    },
+    // ----------------------------------------------------------------- utenti
+    'user-email': {
+        title: 'Email',
+        blocks: [
+            p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),
+        ],
+    },
+    'user-name': {
+        title: 'Nome e cognome',
+        blocks: [
+            p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),
+        ],
+    },
+    'user-password-login': {
+        title: 'Login con password',
+        blocks: [
+            p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),
+            note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),
+        ],
+    },
+    'user-2fa': {
+        title: 'Codice via email (2FA)',
+        blocks: [
+            p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),
+            list([
+                `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,
+                `Non sono token: fino alla verifica non esiste alcun JWT.`,
+            ]),
+        ],
+    },
+    'user-passwordless': {
+        title: 'Accesso con il solo codice email',
+        blocks: [
+            p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),
+            note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),
+        ],
+    },
+    'user-state': {
+        title: 'Stato di registrazione',
+        blocks: [
+            table(['Stato', 'Significato'], [
+                ['Non definito / Inserito', 'Utente non confermato.'],
+                ['Invitato (10)', 'Richiede il rinnovo della password.'],
+                ['Confermato (20)', 'Utente valido, può accedere.'],
+                ['Eliminato (50)', 'Soft delete: login bloccato.'],
+                ['Bloccato (99)', 'Login bloccato.'],
+            ]),
+        ],
+    },
+    // ------------------------------------------------------------------ ruoli
+    'role-description': {
+        title: 'Descrizione del ruolo',
+        blocks: [
+            p(`Nome del ruolo (per esempio "Gestore ordini"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),
+        ],
+    },
+    'role-level': {
+        title: 'Livello di abilitazione',
+        blocks: [
+            table(['Livello', 'Valore', 'Uso tipico'], [
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+                ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],
+            ]),
+            p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),
+        ],
+    },
+    // --------------------------------------------------------- catalogo menu
+    'menu-code': {
+        title: 'Codice menu',
+        blocks: [
+            p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),
+            note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),
+        ],
+    },
+    'menu-group-code': {
+        title: 'Codice gruppo',
+        blocks: [
+            p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-type-code': {
+        title: 'Codice tipo menu',
+        blocks: [
+            p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-group-order': {
+        title: 'Ordine del gruppo',
+        blocks: [
+            p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-order': {
+        title: 'Ordine del menu',
+        blocks: [
+            p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-page': {
+        title: 'Pagina',
+        blocks: [
+            p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),
+        ],
+    },
+    'menu-icon': {
+        title: 'Icona',
+        blocks: [
+            p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),
+        ],
+    },
+    'menu-rifmenu': {
+        title: 'Menu di riferimento',
+        blocks: [
+            p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),
+        ],
+    },
+    'menu-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),
+        ],
+    },
+    'menu-enabled': {
+        title: 'Menu abilitato',
+        blocks: [
+            p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),
+        ],
+    },
+    'menu-group-enabled': {
+        title: 'Gruppo abilitato',
+        blocks: [
+            p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),
+        ],
+    },
+    // ----------------------------------------------------------------- filtri
+    'filter-type-code': {
+        title: 'Codice tipo filtro',
+        blocks: [
+            p(`Numero identificativo del tipo filtro. È la chiave primaria: non si modifica dopo la creazione.`),
+        ],
+    },
+    'filter-type-field': {
+        title: 'Campo',
+        blocks: [
+            p(`Nome della colonna applicativa della tabella FILTRI a cui il tipo è associato (per esempio CODCLI). Deve esistere nello schema, altrimenti i filtri che lo usano vengono rifiutati.`),
+        ],
+    },
+    'filter-type-enabled': {
+        title: 'Tipo filtro abilitato',
+        blocks: [
+            p(`Se disattivato, il tipo non è proposto ai client, ma i filtri già salvati restano nel database.`),
+        ],
+    },
+    'filters-json': {
+        title: 'Filtro JSON',
+        blocks: [
+            p(`Rappresentazione JSON dei filtri applicativi dell'utente. Usa "Carica" per partire dalla struttura esistente, modifica i valori e poi "Salva".`),
+            note('info', 'Campi ammessi', `Sono accettati solo i campi mappati nello schema (FILTRI_UTENTE_DB_MAPPING). Un campo non configurato viene rifiutato con un errore esplicito.`),
+        ],
+    },
+    'filters-user': {
+        title: 'Utente',
+        blocks: [
+            p(`Utente a cui appartengono i filtri. Selezionalo prima di caricare o salvare: i filtri sono sempre per singolo utente.`),
+        ],
+    },
+    // ------------------------------------------------------------ assegnazioni
+    'role-assignment': {
+        title: 'Assegnazione dei ruoli',
+        blocks: [
+            p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),
+            list([
+                `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,
+                `Per rimuovere un ruolo, deselezionalo.`,
+                `Non modificare i grant diretti: quelli si gestiscono nella scheda "Grant diretti".`,
+            ]),
+            note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),
+        ],
+    },
+    'grant-direct': {
+        title: 'Grant diretti',
+        blocks: [
+            p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),
+            list([
+                `Imposta il livello per concedere l'accesso.`,
+                `Scegli "nessuno" per rimuovere il grant diretto.`,
+                `Il salvataggio sostituisce l'intero set di grant diretti.`,
+            ]),
+        ],
+    },
+    'grant-level': {
+        title: 'Livello di grant',
+        blocks: [
+            table(['Voce', 'Valore', 'Significato'], [
+                ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+            ]),
+            p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),
+        ],
+    },
+    'user-delete': {
+        title: 'Imposta stato eliminato',
+        blocks: [
+            p(`Esegue un soft delete: imposta lo stato di registrazione a "Eliminato" (50). L'utente non può più accedere, ma i dati restano nel database.`),
+            note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),
+        ],
+    },
+    // ----------------------------------------------------- selezioni di menu
+    'menu-group-select': {
+        title: 'Gruppo',
+        blocks: [
+            p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in "Menu e gruppi → Gruppi".`),
+        ],
+    },
+    'menu-type-select': {
+        title: 'Tipo menu',
+        blocks: [
+            p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia "Nessun tipo". I tipi si gestiscono in "Menu e gruppi → Tipi menu".`),
+        ],
+    },
+    // ------------------------------------------------------------------ login
+    'login-email': {
+        title: 'Email o utente',
+        blocks: [
+            p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),
+        ],
+    },
+    'login-password': {
+        title: 'Password',
+        blocks: [
+            p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),
+        ],
+    },
+};
+//# sourceMappingURL=help.js.map

package/dist/accessi-module/Console/help.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"help.js","sourceRoot":"","sources":["../../../src/accessi-module/Console/help.ts"],"names":[],"mappings":";;;AAcA,MAAM,CAAC,GAAG,CAAC,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,IAAI,EAAE,CAAC,CAAC;AAC7D,MAAM,IAAI,GAAG,CAAC,KAAe,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC,CAAC;AACvE,MAAM,IAAI,GAAG,CAAC,QAAgB,EAAE,QAAgB,EAAE,KAAc,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,QAAQ,EAAE,KAAK,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC;AACpI,MAAM,IAAI,GAAG,CAAC,IAAuC,EAAE,KAAa,EAAE,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;AAC3I,MAAM,KAAK,GAAG,CAAC,IAAc,EAAE,IAAgB,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC;AAElF,QAAA,IAAI,GAA8B;IAC7C,yEAAyE;IACzE,cAAc,EAAE;QACd,KAAK,EAAE,cAAc;QACrB,MAAM,EAAE;YACN,CAAC,CAAC,mMAAmM,CAAC;YACtM,CAAC,CAAC,8IAA8I,CAAC;YACjJ,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,2IAA2I,CAAC;SAClL;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,kMAAkM,CAAC;YACrM,CAAC,CAAC,mDAAmD,CAAC;YACtD,KAAK,CACH,CAAC,UAAU,EAAE,gBAAgB,EAAE,MAAM,CAAC,EACtC;gBACE,CAAC,qBAAqB,EAAE,KAAK,EAAE,mDAAmD,CAAC;gBACnF,CAAC,QAAQ,EAAE,KAAK,EAAE,iDAAiD,CAAC;gBACpE,CAAC,OAAO,EAAE,KAAK,EAAE,4FAA4F,CAAC;gBAC9G,CAAC,MAAM,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBACvC,CAAC,OAAO,EAAE,KAAK,EAAE,8CAA8C,CAAC;gBAChE,CAAC,UAAU,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBAC3C,CAAC,2BAA2B,EAAE,KAAK,EAAE,uBAAuB,CAAC;gBAC7D,CAAC,UAAU,EAAE,QAAQ,EAAE,yCAAyC,CAAC;gBACjE,CAAC,eAAe,EAAE,KAAK,EAAE,sBAAsB,CAAC;aACjD,CACF;YACD,IAAI,CAAC,QAAQ,EAAE,mBAAmB,EAAE,mHAAmH,CAAC;YACxJ,IAAI,CAAC,IAAI,EAAE;gBACT,2DAA2D;gBAC3D,wBAAwB;gBACxB,6BAA6B;gBAC7B,6CAA6C;gBAC7C,6BAA6B;gBAC7B,uDAAuD;gBACvD,6BAA6B;gBAC7B,SAAS;gBACT,mCAAmC;aACpC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,0BAA0B,CAAC;SAC1C;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,kKAAkK,CAAC;SACtK;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,0KAA0K,CAAC;YAC7K,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qKAAqK,CAAC;SAClM;KACF;IACD,sBAAsB,EAAE;QACtB,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,uIAAuI,CAAC;SAC3I;KACF;IACD,eAAe,EAAE;QACf,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,oJAAoJ,CAAC;SACxJ;KACF;IAED,0EAA0E;IAC1E,aAAa,EAAE;QACb,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,4LAA4L,CAAC;YAC/L,IAAI,CAAC;gBACH,iEAAiE;gBACjE,uCAAuC;gBACvC,mCAAmC;aACpC,CAAC;YACF,IAAI,CAAC,IAAI,EAAE;gBACT,+BAA+B;gBAC/B,kCAAkC;gBAClC,uBAAuB;gBACvB,iDAAiD;aAClD,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,wBAAwB,CAAC;YACvC,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iIAAiI,CAAC;SAC/J;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,4EAA4E,CAAC;YAC/E,IAAI,CAAC,QAAQ,EAAE,kBAAkB,EAAE,yGAAyG,CAAC;SAC9I;KACF;IAED,2EAA2E;IAC3E,YAAY,EAAE;QACZ,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,uGAAuG,CAAC;SAC3G;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,qBAAqB,EAAE;QACrB,KAAK,EAAE,oBAAoB;QAC3B,MAAM,EAAE;YACN,CAAC,CAAC,0IAA0I,CAAC;YAC7I,IAAI,CAAC,MAAM,EAAE,iBAAiB,EAAE,iGAAiG,CAAC;SACnI;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,gJAAgJ,CAAC;YACnJ,IAAI,CAAC;gBACH,mEAAmE;gBACnE,0DAA0D;aAC3D,CAAC;SACH;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,gIAAgI,CAAC;YACnI,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,sGAAsG,CAAC;SAC7I;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,KAAK,CACH,CAAC,OAAO,EAAE,aAAa,CAAC,EACxB;gBACE,CAAC,yBAAyB,EAAE,wBAAwB,CAAC;gBACrD,CAAC,eAAe,EAAE,qCAAqC,CAAC;gBACxD,CAAC,iBAAiB,EAAE,8BAA8B,CAAC;gBACnD,CAAC,gBAAgB,EAAE,8BAA8B,CAAC;gBAClD,CAAC,eAAe,EAAE,iBAAiB,CAAC;aACrC,CACF;SACF;KACF;IAED,2EAA2E;IAC3E,kBAAkB,EAAE;QAClB,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,kJAAkJ,CAAC;SACtJ;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,KAAK,CACH,CAAC,SAAS,EAAE,QAAQ,EAAE,YAAY,CAAC,EACnC;gBACE,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;gBACzC,CAAC,aAAa,EAAE,IAAI,EAAE,0CAA0C,CAAC;aAClE,CACF;YACD,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IAED,0EAA0E;IAC1E,WAAW,EAAE;QACX,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,wIAAwI,CAAC;YAC3I,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qFAAqF,CAAC;SAClH;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,sGAAsG,CAAC;SAC1G;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,mBAAmB;QAC1B,MAAM,EAAE;YACN,CAAC,CAAC,+FAA+F,CAAC;SACnG;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,kGAAkG,CAAC;SACtG;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,mIAAmI,CAAC;SACvI;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,8HAA8H,CAAC;SAClI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,qBAAqB;QAC5B,MAAM,EAAE;YACN,CAAC,CAAC,sHAAsH,CAAC;SAC1H;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,yEAAyE,CAAC;SAC7E;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iJAAiJ,CAAC;SACrJ;KACF;IACD,oBAAoB,EAAE;QACpB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,sIAAsI,CAAC;SAC1I;KACF;IAED,2EAA2E;IAC3E,kBAAkB,EAAE;QAClB,KAAK,EAAE,oBAAoB;QAC3B,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,qLAAqL,CAAC;SACzL;KACF;IACD,qBAAqB,EAAE;QACrB,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,gJAAgJ,CAAC;YACnJ,IAAI,CAAC,MAAM,EAAE,eAAe,EAAE,gJAAgJ,CAAC;SAChL;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IAED,4EAA4E;IAC5E,iBAAiB,EAAE;QACjB,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,kHAAkH,CAAC;YACrH,IAAI,CAAC;gBACH,sEAAsE;gBACtE,wCAAwC;gBACxC,oFAAoF;aACrF,CAAC;YACF,IAAI,CAAC,MAAM,EAAE,oBAAoB,EAAE,2FAA2F,CAAC;SAChI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,2IAA2I,CAAC;YAC9I,IAAI,CAAC;gBACH,6CAA6C;gBAC7C,kDAAkD;gBAClD,2DAA2D;aAC5D,CAAC;SACH;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,KAAK,CACH,CAAC,MAAM,EAAE,QAAQ,EAAE,aAAa,CAAC,EACjC;gBACE,CAAC,SAAS,EAAE,GAAG,EAAE,0EAA0E,CAAC;gBAC5F,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;aAC1C,CACF;YACD,CAAC,CAAC,kEAAkE,CAAC;SACtE;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,CAAC,CAAC,6IAA6I,CAAC;YAChJ,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iGAAiG,CAAC;SAC/H;KACF;IAED,0EAA0E;IAC1E,mBAAmB,EAAE;QACnB,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,yGAAyG,CAAC;SAC7G;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,WAAW;QAClB,MAAM,EAAE;YACN,CAAC,CAAC,qKAAqK,CAAC;SACzK;KACF;IAED,2EAA2E;IAC3E,aAAa,EAAE;QACb,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,+JAA+J,CAAC;SACnK;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,UAAU;QACjB,MAAM,EAAE;YACN,CAAC,CAAC,6GAA6G,CAAC;SACjH;KACF;CACF,CAAC","sourcesContent":["/**\n * Contenuti di aiuto contestuale della console Accessi.\n *\n * Ogni voce spiega, in italiano corretto, che cosa inserire in un campo\n * tecnico e da dove prendere il valore. Sono mostrati come miniguida nel\n * tooltip aperto dall'icona \"i\" accanto al campo.\n */\nimport type { WikiBlock } from './wiki';\n\nexport interface HelpEntry {\n  title: string;\n  blocks: WikiBlock[];\n}\n\nconst p = (text: string): WikiBlock => ({ kind: 'p', text });\nconst list = (items: string[]): WikiBlock => ({ kind: 'list', items });\nconst code = (language: string, codeText: string, title?: string): WikiBlock => ({ kind: 'code', language, title, code: codeText });\nconst note = (tone: 'info' | 'ok' | 'warn' | 'danger', title: string, text: string): WikiBlock => ({ kind: 'callout', tone, title, text });\nconst table = (head: string[], rows: string[][]): WikiBlock => ({ kind: 'table', head, rows });\n\nexport const HELP: Record<string, HelpEntry> = {\n  // ------------------------------------------------------------------ SSO\n  'sso-provider': {\n    title: 'Provider SSO',\n    blocks: [\n      p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),\n      p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),\n      note('info', 'Chi crea il provider', `Prima si censisce il provider in \"SSO → Provider\" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),\n    ],\n  },\n  'sso-subject': {\n    title: 'ID utente del provider (subject)',\n    blocks: [\n      p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),\n      p(`Ecco il claim corretto per i provider più comuni:`),\n      table(\n        ['Provider', 'Claim da usare', 'Note'],\n        [\n          ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],\n          ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],\n          ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],\n          ['Okta', 'sub', 'Claim standard OIDC.'],\n          ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],\n          ['Keycloak', 'sub', 'Claim standard OIDC.'],\n          ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],\n          ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],\n          ['OIDC generico', 'sub', 'Claim standard OIDC.'],\n        ],\n      ),\n      note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),\n      code('ts', [\n        '// Nel backend, dopo aver validato il token del provider:',\n        '// Azure AD / Entra ID',\n        \"const subject = claims.oid;\",\n        '// Google / Okta / Keycloak / OIDC generico',\n        \"const subject = claims.sub;\",\n        '// Apple (disponibile al primo login, salvalo subito)',\n        \"const subject = claims.sub;\",\n        '// SAML',\n        \"const subject = assertion.nameId;\",\n      ].join('\\n'), 'Come ricavare il subject'),\n    ],\n  },\n  'sso-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio \"migrato da AD il 2026-01-10\"). Non viene inviata al provider.`),\n    ],\n  },\n  'provider-key': {\n    title: 'Chiave provider',\n    blocks: [\n      p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),\n      note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),\n    ],\n  },\n  'provider-description': {\n    title: 'Descrizione',\n    blocks: [\n      p(`Nome leggibile mostrato agli amministratori (per esempio \"Azure AD – Acme produzione\"). Non è la chiave tecnica: può contenere spazi.`),\n    ],\n  },\n  'provider-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),\n    ],\n  },\n  'provider-active': {\n    title: 'Provider attivo',\n    blocks: [\n      p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),\n    ],\n  },\n\n  // --------------------------------------------------------- service token\n  'token-label': {\n    title: 'Descrizione del token',\n    blocks: [\n      p(`Nome del token, mostrato agli amministratori (per esempio \"Integrazione IA – produzione\"). Non è un segreto.`),\n    ],\n  },\n  'token-scopes': {\n    title: 'Scope',\n    blocks: [\n      p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),\n      list([\n        `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,\n        `Esempi: ia, chat, tools, report:read.`,\n        `Separa gli scope con una virgola.`,\n      ]),\n      code('ts', [\n        '@UseGuards(ServiceTokenGuard)',\n        \"@RequireServiceTokenScopes('ia')\",\n        '@Post(\"internal/ask\")',\n        'ask() { /* il token deve avere lo scope ia */ }',\n      ].join('\\n'), 'Come li usa il backend'),\n      note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),\n    ],\n  },\n  'token-ttl': {\n    title: 'Durata (giorni)',\n    blocks: [\n      p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),\n      note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),\n    ],\n  },\n\n  // ----------------------------------------------------------------- utenti\n  'user-email': {\n    title: 'Email',\n    blocks: [\n      p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),\n    ],\n  },\n  'user-name': {\n    title: 'Nome e cognome',\n    blocks: [\n      p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),\n    ],\n  },\n  'user-password-login': {\n    title: 'Login con password',\n    blocks: [\n      p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),\n      note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),\n    ],\n  },\n  'user-2fa': {\n    title: 'Codice via email (2FA)',\n    blocks: [\n      p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),\n      list([\n        `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,\n        `Non sono token: fino alla verifica non esiste alcun JWT.`,\n      ]),\n    ],\n  },\n  'user-passwordless': {\n    title: 'Accesso con il solo codice email',\n    blocks: [\n      p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),\n      note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),\n    ],\n  },\n  'user-state': {\n    title: 'Stato di registrazione',\n    blocks: [\n      table(\n        ['Stato', 'Significato'],\n        [\n          ['Non definito / Inserito', 'Utente non confermato.'],\n          ['Invitato (10)', 'Richiede il rinnovo della password.'],\n          ['Confermato (20)', 'Utente valido, può accedere.'],\n          ['Eliminato (50)', 'Soft delete: login bloccato.'],\n          ['Bloccato (99)', 'Login bloccato.'],\n        ],\n      ),\n    ],\n  },\n\n  // ------------------------------------------------------------------ ruoli\n  'role-description': {\n    title: 'Descrizione del ruolo',\n    blocks: [\n      p(`Nome del ruolo (per esempio \"Gestore ordini\"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),\n    ],\n  },\n  'role-level': {\n    title: 'Livello di abilitazione',\n    blocks: [\n      table(\n        ['Livello', 'Valore', 'Uso tipico'],\n        [\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n          ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],\n        ],\n      ),\n      p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),\n    ],\n  },\n\n  // --------------------------------------------------------- catalogo menu\n  'menu-code': {\n    title: 'Codice menu',\n    blocks: [\n      p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),\n      note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),\n    ],\n  },\n  'menu-group-code': {\n    title: 'Codice gruppo',\n    blocks: [\n      p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-type-code': {\n    title: 'Codice tipo menu',\n    blocks: [\n      p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-group-order': {\n    title: 'Ordine del gruppo',\n    blocks: [\n      p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-order': {\n    title: 'Ordine del menu',\n    blocks: [\n      p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-page': {\n    title: 'Pagina',\n    blocks: [\n      p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),\n    ],\n  },\n  'menu-icon': {\n    title: 'Icona',\n    blocks: [\n      p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),\n    ],\n  },\n  'menu-rifmenu': {\n    title: 'Menu di riferimento',\n    blocks: [\n      p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),\n    ],\n  },\n  'menu-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),\n    ],\n  },\n  'menu-enabled': {\n    title: 'Menu abilitato',\n    blocks: [\n      p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),\n    ],\n  },\n  'menu-group-enabled': {\n    title: 'Gruppo abilitato',\n    blocks: [\n      p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),\n    ],\n  },\n\n  // ----------------------------------------------------------------- filtri\n  'filter-type-code': {\n    title: 'Codice tipo filtro',\n    blocks: [\n      p(`Numero identificativo del tipo filtro. È la chiave primaria: non si modifica dopo la creazione.`),\n    ],\n  },\n  'filter-type-field': {\n    title: 'Campo',\n    blocks: [\n      p(`Nome della colonna applicativa della tabella FILTRI a cui il tipo è associato (per esempio CODCLI). Deve esistere nello schema, altrimenti i filtri che lo usano vengono rifiutati.`),\n    ],\n  },\n  'filter-type-enabled': {\n    title: 'Tipo filtro abilitato',\n    blocks: [\n      p(`Se disattivato, il tipo non è proposto ai client, ma i filtri già salvati restano nel database.`),\n    ],\n  },\n  'filters-json': {\n    title: 'Filtro JSON',\n    blocks: [\n      p(`Rappresentazione JSON dei filtri applicativi dell'utente. Usa \"Carica\" per partire dalla struttura esistente, modifica i valori e poi \"Salva\".`),\n      note('info', 'Campi ammessi', `Sono accettati solo i campi mappati nello schema (FILTRI_UTENTE_DB_MAPPING). Un campo non configurato viene rifiutato con un errore esplicito.`),\n    ],\n  },\n  'filters-user': {\n    title: 'Utente',\n    blocks: [\n      p(`Utente a cui appartengono i filtri. Selezionalo prima di caricare o salvare: i filtri sono sempre per singolo utente.`),\n    ],\n  },\n\n  // ------------------------------------------------------------ assegnazioni\n  'role-assignment': {\n    title: 'Assegnazione dei ruoli',\n    blocks: [\n      p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),\n      list([\n        `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,\n        `Per rimuovere un ruolo, deselezionalo.`,\n        `Non modificare i grant diretti: quelli si gestiscono nella scheda \"Grant diretti\".`,\n      ]),\n      note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),\n    ],\n  },\n  'grant-direct': {\n    title: 'Grant diretti',\n    blocks: [\n      p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),\n      list([\n        `Imposta il livello per concedere l'accesso.`,\n        `Scegli \"nessuno\" per rimuovere il grant diretto.`,\n        `Il salvataggio sostituisce l'intero set di grant diretti.`,\n      ]),\n    ],\n  },\n  'grant-level': {\n    title: 'Livello di grant',\n    blocks: [\n      table(\n        ['Voce', 'Valore', 'Significato'],\n        [\n          ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n        ],\n      ),\n      p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),\n    ],\n  },\n  'user-delete': {\n    title: 'Imposta stato eliminato',\n    blocks: [\n      p(`Esegue un soft delete: imposta lo stato di registrazione a \"Eliminato\" (50). L'utente non può più accedere, ma i dati restano nel database.`),\n      note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),\n    ],\n  },\n\n  // ----------------------------------------------------- selezioni di menu\n  'menu-group-select': {\n    title: 'Gruppo',\n    blocks: [\n      p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in \"Menu e gruppi → Gruppi\".`),\n    ],\n  },\n  'menu-type-select': {\n    title: 'Tipo menu',\n    blocks: [\n      p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia \"Nessun tipo\". I tipi si gestiscono in \"Menu e gruppi → Tipi menu\".`),\n    ],\n  },\n\n  // ------------------------------------------------------------------ login\n  'login-email': {\n    title: 'Email o utente',\n    blocks: [\n      p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),\n    ],\n  },\n  'login-password': {\n    title: 'Password',\n    blocks: [\n      p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),\n    ],\n  },\n};\n"]}

package/dist/accessi-module/Console/index.html

@@ -13,45 +13,113 @@
   <link rel="stylesheet" href="/api/accessi/console/assets/console.css">
 </head>
 <body>
-  <div id="loading-overlay" hidden aria-live="polite" aria-busy="true">
+  <div id="loading-overlay" aria-live="polite" aria-busy="true">
     <div class="loading-panel" role="status">
       <span class="loading-spinner" aria-hidden="true"></span>
-      <span><strong>Operazione in corso</strong><small>Attendere il completamento della richiesta.</small></span>
+      <span><strong>Caricamento</strong><small>Verifica della sessione in corso.</small></span>
     </div>
   </div>
   <main id="app">
-    <section id="login" class="card" aria-labelledby="login-title">
+    <section id="login" class="card" aria-labelledby="login-title" hidden>
       <h1 id="login-title">Accessi Console</h1>
-      <p>Gestione centralizzata di utenti, ruoli, grant e identità SSO.</p>
+      <p>Gestione di utenti, ruoli, grant e accessi.</p>
       <form id="login-form" method="post" action="" novalidate>
-        <label>Email o utente<input name="email" required autocomplete="username"></label>
-        <label id="password-field" hidden>Password<input name="password" type="password" autocomplete="current-password" disabled></label>
+        <label>Email o utente <button type="button" class="help-dot" data-help="login-email" aria-label="Aiuto: Email o utente">i</button><input name="email" required autocomplete="username"></label>
+        <label id="password-field" hidden>Password <button type="button" class="help-dot" data-help="login-password" aria-label="Aiuto: Password">i</button><input name="password" type="password" autocomplete="current-password" disabled></label>
         <button id="login-submit" type="submit">Continua</button>
       </form>
       <form id="two-factor-form" hidden>
-        <p>Inserisci il codice ricevuto via email per completare l'accesso.</p>
+        <p class="form-help">Inserisci il codice ricevuto via email.</p>
         <label>Codice di accesso<input name="code" inputmode="numeric" autocomplete="one-time-code" pattern="[0-9]{6}" minlength="6" maxlength="6" required></label>
         <p id="two-factor-status" class="form-help" role="status"></p>
         <button type="submit">Verifica e accedi</button>
         <button id="resend-code" type="button" class="secondary">Invia un nuovo codice</button>
       </form>
-      <button id="restart-login" type="button" class="secondary" hidden>Ricomincia l'accesso</button>
+      <button id="restart-login" type="button" class="secondary" hidden>Ricomincia</button>
       <p id="login-error" class="error" role="alert"></p>
     </section>
+
     <section id="console" hidden>
-      <header>
-        <div><strong>Accessi Console</strong><small id="who"></small></div>
-        <button id="logout" class="secondary" type="button">Esci</button>
-      </header>
-      <nav id="nav" aria-label="Sezioni console">
-        <a data-view="users" href="./utenti">Utenti</a>
-        <a data-view="roles" href="./ruoli-e-grant">Ruoli e grant</a>
-        <a data-view="menus" href="./menu-e-gruppi">Menu e gruppi</a>
-        <a data-view="filters" href="./filtri">Filtri</a>
-        <a id="sso-navigation" data-view="sso" href="./sso" hidden>SSO</a>
-      </nav>
-      <div id="notice" role="status" aria-live="polite"></div>
-      <section id="view" aria-live="polite"></section>
+      <aside class="sidebar">
+        <div class="brand">
+          <span class="brand-mark" aria-hidden="true">A</span>
+          <span class="brand-text"><strong>Accessi</strong><small id="who"></small></span>
+        </div>
+        <nav id="nav" aria-label="Sezioni console">
+          <ul class="nav-tree">
+            <li>
+              <a data-view="users" href="./utenti">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/><circle cx="9" cy="7" r="4"/><path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/></svg>
+                <span>Utenti</span>
+              </a>
+            </li>
+            <li>
+              <a data-view="roles" href="./ruoli-e-grant">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z"/><path d="M9 12l2 2 4-4"/></svg>
+                <span>Ruoli e grant</span>
+              </a>
+            </li>
+            <li>
+              <details data-nav-group="menus" open>
+                <summary>
+                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polygon points="12 2 2 7 12 12 22 7 12 2"/><polyline points="2 17 12 22 22 17"/><polyline points="2 12 12 17 22 12"/></svg>
+                  <span>Menu e gruppi</span>
+                  <svg class="nav-chevron" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.9" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="9 6 15 12 9 18"/></svg>
+                </summary>
+                <ul>
+                  <li><a data-view="menuGroups" href="./menu-e-gruppi/gruppi">Gruppi</a></li>
+                  <li><a data-view="menuItems" href="./menu-e-gruppi/menu">Menu</a></li>
+                  <li><a data-view="menuTypes" href="./menu-e-gruppi/tipi-menu">Tipi menu</a></li>
+                </ul>
+              </details>
+            </li>
+            <li>
+              <details data-nav-group="filters" open>
+                <summary>
+                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polygon points="22 3 2 3 10 12.46 10 19 14 21 14 12.46 22 3"/></svg>
+                  <span>Filtri</span>
+                  <svg class="nav-chevron" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.9" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="9 6 15 12 9 18"/></svg>
+                </summary>
+                <ul>
+                  <li><a data-view="filterUser" href="./filtri/utente">Filtri utente</a></li>
+                  <li><a data-view="filterTypes" href="./filtri/tipi">Tipi filtro</a></li>
+                </ul>
+              </details>
+            </li>
+            <li>
+              <a data-view="tokens" href="./token-di-servizio">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M21 2l-2 2m-7.61 7.61a5.5 5.5 0 1 1-7.778 7.778 5.5 5.5 0 0 1 7.777-7.777zm0 0L15.5 7.5m0 0l3 3L22 7l-3-3m-3.5 3.5L19 4"/></svg>
+                <span>Token di servizio</span>
+              </a>
+            </li>
+            <li>
+              <details id="sso-navigation" data-nav-group="sso" open hidden>
+                <summary>
+                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M10 13a5 5 0 0 0 7.07 0l3-3a5 5 0 0 0-7.07-7.07l-1.5 1.5"/><path d="M14 11a5 5 0 0 0-7.07 0l-3 3a5 5 0 0 0 7.07 7.07l1.5-1.5"/></svg>
+                  <span>SSO</span>
+                  <svg class="nav-chevron" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.9" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="9 6 15 12 9 18"/></svg>
+                </summary>
+                <ul>
+                  <li><a data-view="ssoProviders" href="./sso/provider">Provider</a></li>
+                  <li><a data-view="ssoUsers" href="./sso/utenti">Utenti e identità</a></li>
+                </ul>
+              </details>
+            </li>
+            <li>
+              <a data-view="wiki" href="./wiki">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M4 19.5A2.5 2.5 0 0 1 6.5 17H20"/><path d="M6.5 2H20v20H6.5A2.5 2.5 0 0 1 4 19.5v-15A2.5 2.5 0 0 1 6.5 2z"/></svg>
+                <span>Wiki</span>
+              </a>
+            </li>
+          </ul>
+        </nav>
+        <button id="logout" class="secondary sidebar-logout" type="button">Esci</button>
+      </aside>
+
+      <div class="content">
+        <div id="notice" role="status" aria-live="polite"></div>
+        <section id="view" aria-live="polite"></section>
+      </div>
     </section>
   </main>
   <script type="module" src="/api/accessi/console/assets/console.js"></script>

package/dist/accessi-module/Console/wiki.d.ts

@@ -0,0 +1,52 @@
+/**
+ * Contenuto della Wiki della console Accessi.
+ *
+ * I contenuti sono dati strutturati (non HTML) così da poter essere resi in modo
+ * coerente dalla console e convertiti in un digest compatto per l'IA. Nessun
+ * segreto o dato specifico di un ambiente deve finire qui.
+ */
+export type WikiTone = 'info' | 'ok' | 'warn' | 'danger';
+export type WikiBlock = {
+    kind: 'p';
+    text: string;
+} | {
+    kind: 'h';
+    text: string;
+} | {
+    kind: 'list';
+    items: string[];
+    ordered?: boolean;
+} | {
+    kind: 'code';
+    language: string;
+    title?: string;
+    code: string;
+    variant?: 'good' | 'bad';
+} | {
+    kind: 'callout';
+    tone: WikiTone;
+    title?: string;
+    text: string;
+} | {
+    kind: 'table';
+    head: string[];
+    rows: string[][];
+};
+export interface WikiSection {
+    id: string;
+    group: string;
+    title: string;
+    summary: string;
+    blocks: WikiBlock[];
+}
+export declare const WIKI_SECTIONS: WikiSection[];
+/** Elenco ordinato dei gruppi per l'indice. */
+export declare function wikiGroups(): Array<{
+    group: string;
+    sections: WikiSection[];
+}>;
+/**
+ * Digest compatto in Markdown per l'IA che costruisce il backend integratore.
+ * Deriva dagli stessi dati della wiki, quindi resta sincronizzato.
+ */
+export declare function buildAiDigest(): string;