emilsoftware-utilities 2.0.0-dev.33 → 2.0.0-dev.35

package/README.MD

@@ -7,6 +7,20 @@ Documentazione completa del modulo Accessi, generata da `src/accessi-module/Cons
 
 Rigenera entrambi con `npm run generate:accessi-wiki` (incluso in `npm run build`).
 
+## Catalog migrations SQL
+
+Per allineare menu, ruoli e cataloghi su più database, configura `catalogScripts` in `AccessiOptions`
+(cartella con script `.sql` versionati nel backend) e usa le CLI:
+
+```bash
+ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi
+ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi:check
+```
+
+Gli script sono applicati dopo la riconciliazione dello schema, una sola volta per database,
+con tracking in `ACCESSI_CATALOG_SCRIPT` (nome + checksum). Dettagli nella Wiki, sezione
+"Catalog migrations SQL".
+
 ---
 
 Convenzioni per i Commit Message

package/dist/accessi-module/AccessiModule.d.ts

@@ -69,6 +69,28 @@ export interface ServiceTokenOptions {
     /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */
     defaultTtlDays?: number;
 }
+/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */
+export type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';
+/**
+ * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel
+ * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la
+ * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,
+ * quindi viene applicato una sola volta per database (idempotenza lato DB).
+ */
+export interface CatalogScriptsOptions {
+    /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */
+    enabled?: boolean;
+    /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */
+    folder: string;
+    /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */
+    onChecksumMismatch?: CatalogScriptChecksumPolicy;
+    /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */
+    stopOnError?: boolean;
+    /** Globi/estensioni inclusi. Default: tutti i `.sql`. */
+    include?: string[];
+    /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */
+    maxScriptsPerRun?: number;
+}
 /**
  * Enables Accessi's provider-agnostic federated identity capability.
  *
@@ -128,6 +150,8 @@ export interface AccessiOptions {
     extensionFieldsOptions?: ExtensionFieldsOptions[];
     /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */
     serviceTokens?: ServiceTokenOptions;
+    /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */
+    catalogScripts?: CatalogScriptsOptions;
 }
 export declare class AccessiModule {
     /**

package/dist/accessi-module/AccessiModule.js.map

@@ -1 +1 @@
-{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAC/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,qFAAkF;AAClF,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,sEAAsE;AAsJ/D,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;aAClB;YACD,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;aAClB;SACF,CAAC;IACJ,CAAC;CACF,CAAA;AAhDY,sCAAa;wBAAb,aAAa;IAhBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;SACvB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,CAAC;QAC1P,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,CAAC;KAC/M,CAAC;GACW,aAAa,CAgDzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { assertEmailConfigured } from './security/emailConfiguration';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione in-memory degli endpoint pubblici. In cluster aggiungere un limite anche al gateway. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ServiceTokenController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard\n      ],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard\n      ],\n    };\n  }\n}\n"]}
+{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAC/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,qFAAkF;AAClF,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,sEAAsE;AAgL/D,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;aAClB;YACD,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;aAClB;SACF,CAAC;IACJ,CAAC;CACF,CAAA;AAhDY,sCAAa;wBAAb,aAAa;IAhBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;SACvB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,CAAC;QAC1P,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,CAAC;KAC/M,CAAC;GACW,aAAa,CAgDzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { assertEmailConfigured } from './security/emailConfiguration';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione in-memory degli endpoint pubblici. In cluster aggiungere un limite anche al gateway. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ServiceTokenController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard\n      ],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard\n      ],\n    };\n  }\n}\n"]}

package/dist/accessi-module/Console/console.css

@@ -616,3 +616,13 @@ article h3 { margin-bottom: var(--s2); }
 @media (prefers-reduced-motion: reduce) {
   *, *::before, *::after { scroll-behavior: auto !important; transition-duration: .01ms !important; animation-duration: .01ms !important; animation-iteration-count: 1 !important; }
 }
+
+/* Changelog / markdown body */
+.markdown-body h1 { margin: 0 0 var(--s3); font-size: 1.55rem; color: var(--ink); }
+.markdown-body h2 { margin: var(--s5) 0 var(--s2); padding-top: var(--s3); border-top: 1px solid var(--line); font-size: 1.2rem; color: var(--ink); }
+.markdown-body h3 { margin: var(--s4) 0 var(--s2); font-size: 1rem; color: var(--ink-2); }
+.markdown-body h4 { margin: var(--s3) 0 var(--s1); font-size: .95rem; color: var(--ink-2); }
+.markdown-body strong { color: var(--ink); }
+.markdown-body code { padding: 1px 5px; border-radius: var(--r-sm); color: var(--brand-strong); background: var(--brand-soft); font-family: var(--font-mono); font-size: .92em; }
+.markdown-code { margin: 0; padding: var(--s4); overflow-x: auto; border: 1px solid var(--line); border-radius: var(--r-md); background: var(--surface); }
+.markdown-code code { padding: 0; background: transparent; color: var(--ink); white-space: pre; }

package/dist/accessi-module/Console/console.js

@@ -867,7 +867,8 @@ var WIKI_SECTIONS = [
           ["publicRegistration", "{ enabled }", "no", "Registrazione pubblica: disattivata per impostazione predefinita."],
           ["federatedAuthentication", "FederatedAuthenticationOptions", "no", `Abilita l'SSO generico.`],
           ["extensionFieldsOptions", "ExtensionFieldsOptions[]", "no", "Tabelle esterne allegate al profilo."],
-          ["serviceTokens", "{ enabled, defaultTtlDays }", "no", "Token macchina-a-macchina, abilitati per impostazione predefinita."]
+          ["serviceTokens", "{ enabled, defaultTtlDays }", "no", "Token macchina-a-macchina, abilitati per impostazione predefinita."],
+          ["catalogScripts", "{ enabled, folder, ... }", "no", "Catalog migrations SQL eseguite dopo la riconciliazione dello schema."]
         ]
       ),
       good("ts", [
@@ -925,7 +926,7 @@ var WIKI_SECTIONS = [
         `RUOLI, MENU_GRP, MENU_TIPI, MENU, ABILITAZIONI, RUOLI_MNU, UTENTI_RUOLI`,
         `FILTRI, FILTRI_TIPO`,
         `SSO_PROVIDER, UTENTI_IDENTITA_EXT`,
-        `ACCESSI_2FA, ACCESSI_SERVICE_TOKEN`
+        `ACCESSI_2FA, ACCESSI_SERVICE_TOKEN, ACCESSI_CATALOG_SCRIPT`
       ]),
       code("bash", `npm run db:update:accessi   # riconcilia lo schema
 npm run db:check:accessi    # verifica senza modificare`, "CLI schema"),
@@ -933,6 +934,37 @@ npm run db:check:accessi    # verifica senza modificare`, "CLI schema"),
     ]
   },
   // -------------------------------------------------------------------------
+  {
+    id: "catalog-migrations",
+    group: "Configurazione",
+    title: "Catalog migrations SQL",
+    summary: "Allinea menu, ruoli e cataloghi su piu database in modo idempotente.",
+    blocks: [
+      p(`Gli script SQL applicativi (menu, ruoli, tipi, cataloghi) restano nel repository del backend ospitante e Accessi li esegue dopo la riconciliazione dello schema. Ogni script viene tracciato nella tabella ACCESSI_CATALOG_SCRIPT (nome + checksum), quindi viene applicato una sola volta per database.`),
+      h(`Configurazione`),
+      good("ts", [
+        "catalogScripts: {",
+        "  enabled: true,",
+        "  folder: './db/accessi-catalog', // versionata nel repo del backend",
+        "  onChecksumMismatch: 'error',     // 'error' (default) | 'warn' | 'reapply'",
+        "  stopOnError: true,",
+        "}"
+      ].join("\n"), "AccessiOptions"),
+      list([
+        "Gli script sono ordinati per percorso (usa prefissi numerici: 0001_, 0002_, ...).",
+        "Devono essere idempotenti e ripetibili: UPDATE OR INSERT ... MATCHING, MERGE, DELETE+INSERT mirati.",
+        "Non includere utenti: le catalog migrations allineano solo catalogo e configurazione.",
+        "Supportati SET TERM, stringhe e commenti; nessuna semantica SQL viene interpretata."
+      ]),
+      code("bash", `# Applica (schema + catalog migrations) su un database
+ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi
+
+# Elenca solo quelle da applicare / modificate
+ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi:check`, "CLI catalog migrations"),
+      note("info", `Idempotenza`, `Uno script gia applicato con lo stesso checksum viene saltato. Se il file cambia dopo l'applicazione, con policy error il run si interrompe: non modificare uno script applicato, aggiungine uno nuovo.`)
+    ]
+  },
+  // -------------------------------------------------------------------------
   {
     id: "login",
     group: "Autenticazione",
@@ -1315,16 +1347,19 @@ POST /api/accessi/auth/confirm-reset-password/{token}
     title: "Console amministrativa",
     summary: "Accesso, sezioni e che cosa si pu\xF2 fare.",
     blocks: [
-      p(`La console \xE8 servita dal modulo su /api/accessi/console e richiede un superutente Accessi. Non ha stato proprio: ogni azione chiama le API protette con il JWT dell'utente connesso.`),
+      p(`La console \xE8 servita dal modulo su /api/accessi/console. Non ha stato proprio: ogni azione chiama le API protette con il JWT dell'utente connesso.`),
       list([
         `Utenti: elenco, creazione locale o SSO, profilo, ruoli, grant diretti, stato, 2FA.`,
         `Ruoli e grant: CRUD dei ruoli con l'albero delle abilitazioni.`,
         `Menu e gruppi: CRUD di gruppi, menu e tipi menu.`,
         `Filtri: filtri utente e tipi filtro.`,
         `Token di servizio: creazione, rotazione, revoca.`,
-        `SSO: provider e identit\xE0.`
+        `SSO: provider e identit\xE0.`,
+        `Wiki e Changelog: documentazione e novit\xE0 della libreria.`
       ]),
-      note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con flagSuper=true. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`)
+      note("info", `Superutente (FLGSUPER)`, `Riceve TUTTE le abilitazioni al livello massimo (30) dopo il login. In console vede solo la sezione Utenti e gestisce utenti, ruoli e grant.`),
+      note("info", `Admin (FLGADMIN)`, `Accede a tutta la console (catalogo, token, SSO, utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI/RUOLI_MNU.`),
+      note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con FLGSUPER o FLGADMIN. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`)
     ]
   },
   // -------------------------------------------------------------------------
@@ -1463,6 +1498,9 @@ function buildAiDigest() {
   return lines.join("\n").replace(/\n{3,}/g, "\n\n").trim();
 }
 
+// src/accessi-module/Console/changelog.md
+var changelog_default = "# Changelog Accessi\n\nNovit\xE0 e modifiche rilevanti della libreria `emilsoftware-utilities` (modulo Accessi).\n\n## 2.0.0-dev.33\n\n### Cambiamenti\n- Rimosse le logiche applicative residue dallo schema Accessi:\n  - `MENU_GRP.NOMECAMPO`\n  - `UTENTI.ENABLEIA`\n  - `UTENTI_CONFIG.PAGDEF`\n  - `UTENTI.CELLUTE`\n- Telefono canonico: `UTENTI_CONFIG.CELLULARE` (allargato a `VARCHAR(30)`).\n- Migrazione automatica: copia `UTENTI.CELLUTE` \u2192 `UTENTI_CONFIG.CELLULARE`, poi `DROP` delle colonne obsolete.\n- Ruoli chiariti:\n  - `FLGSUPER`: superutente, riceve **tutte** le abilitazioni al livello massimo (30) dopo il login; in console vede **solo** la sezione **Utenti**.\n  - `FLGADMIN`: accede a **tutta** la console (catalogo, token, SSO, utenti) ma **non** influisce sulle abilitazioni.\n- Aggiunta la sezione **Changelog** in console (sotto la Wiki).\n\n### Note\n- `FILTRI` e `FILTRI_TIPO` restano invariati (piano di migrazione futuro).\n- I backend che usavano i campi rimossi devono gestirli in tabelle proprie.\n\n## 2.0.0-dev.32\n\n### Cambiamenti\n- Rimosso il supporto ai flag applicativi in `UTENTI_CONFIG`: `FLGMOP`, `FLGPIANA`, `FLGADDETTI`, `FLGOSPITI`, `FLGPIANARFID`, `FLGCONTA`, `FLGCUBI`, `FLGCICLPASS`, `FLGDIPENDENTI`, `FLGINVENTARI`, `CAUMOV`, `NUMMAC`, `RAGSOCCLI`.\n- Rinominata la colonna `FLGADMINCONFIG` in `FLGADMIN` (con copia dei valori e `DROP`).\n\n## 2.0.0-dev.31\n\n### Aggiunte\n- Esposizione dei servizi Accessi all'host Express (`getAccessiModuleServices`) per delegare login, SSO e token senza reimplementarli.\n\n### Correzioni\n- `UserService.getUsers`: filtri estesi (`codiceUtente[]`, `numRep[]`, `codDipendente`, `cellulare`, `tipFil`, `flagSuper`).\n\n## 2.0.0-dev.24\n\n### Cambiamenti (breaking)\n- Chiavi JWT derivate per scopo (`access`, `reset`, `2fa`) e claim `typ` obbligatorio: gli access token precedenti non sono pi\xF9 validi.\n- Endpoint Allegati protetti di default.\n- Pool di connessioni attivo di default (`poolSize` 5).\n\n### Aggiunte\n- Service token macchina-a-macchina (gestione, guard, console).\n- CRUD completo dei cataloghi dalla console Accessi.\n- Supporto Firebird 2.5 nel migrator e nei test di integrazione.\n";
+
 // src/accessi-module/Console/help.ts
 var p2 = (text) => ({ kind: "p", text });
 var list2 = (items) => ({ kind: "list", items });
@@ -1833,7 +1871,8 @@ var routeSegment = {
   ssoProviders: "sso/provider",
   ssoUsers: "sso/utenti",
   tokens: "token-di-servizio",
-  wiki: "wiki"
+  wiki: "wiki",
+  changelog: "changelog"
 };
 var routeView = Object.fromEntries(Object.entries(routeSegment).map(([view, segment]) => [segment, view]));
 var parentDefaultView = {
@@ -2022,6 +2061,10 @@ function viewFromLocation() {
   return routeView[decoded] ?? parentDefaultView[decoded] ?? "users";
 }
 async function navigate(view, replace = false) {
+  if (!isViewAllowed(view)) {
+    view = "users";
+    replace = true;
+  }
   const destination = routePath(view);
   if (window.location.pathname !== destination) {
     window.history[replace ? "replaceState" : "pushState"]({ view }, "", destination);
@@ -2029,8 +2072,26 @@ async function navigate(view, replace = false) {
   if (view === "users") usersPage = 0;
   await show(view);
 }
-function requireAdmin() {
-  if (!currentUser?.flagSuper) throw new Error("La console richiede un superutente Accessi.");
+function requireConsoleAccess() {
+  if (!currentUser?.flagSuper && !currentUser?.flagAdmin) {
+    throw new Error("La console richiede un superutente o un admin Accessi.");
+  }
+}
+function isViewAllowed(view) {
+  if (!currentUser) return false;
+  if (currentUser.flagAdmin) return true;
+  return view === "users";
+}
+function applyRoleNavigation() {
+  document.querySelectorAll("#nav [data-view]").forEach((link) => {
+    const view = link.dataset.view;
+    const item = link.closest("li") ?? link;
+    item.hidden = !isViewAllowed(view);
+  });
+  document.querySelectorAll("#nav details[data-nav-group]").forEach((branch) => {
+    const hasVisible = Array.from(branch.querySelectorAll("[data-view]")).some((link) => !link.closest("li").hidden);
+    branch.hidden = !hasVisible;
+  });
 }
 function formValues(form) {
   return Object.fromEntries(new FormData(form).entries());
@@ -2234,9 +2295,11 @@ async function bootstrap() {
     if (!token) throw new Error("Inserisci le credenziali amministrative.");
     const payload = result(await getUserByToken({ token }));
     currentUser = payload.userData;
-    requireAdmin();
+    requireConsoleAccess();
+    applyRoleNavigation();
     await detectFederatedAuthentication();
-    byId("who").textContent = `${currentUser.email} - superutente`;
+    const roleLabel = currentUser.flagSuper && currentUser.flagAdmin ? "super + admin" : currentUser.flagAdmin ? "admin" : "superutente";
+    byId("who").textContent = `${currentUser.email} - ${roleLabel}`;
     byId("sso-navigation").hidden = !federatedAuthenticationAvailable;
     finishBoot("console");
     await navigate(viewFromLocation(), window.location.pathname === consoleBasePath);
@@ -3000,6 +3063,64 @@ async function showWiki(sectionId) {
     showNotice("Documentazione per AI copiata negli appunti.");
   });
 }
+function inlineMarkdown(text) {
+  return escapeHtml(text).replace(/\*\*([^*]+)\*\*/g, "<strong>$1</strong>").replace(/`([^`]+)`/g, "<code>$1</code>");
+}
+function renderMarkdown(markdown) {
+  const lines = markdown.replace(/\r\n/g, "\n").split("\n");
+  const html = [];
+  let inList = false;
+  let inCode = false;
+  const closeList = () => {
+    if (inList) {
+      html.push("</ul>");
+      inList = false;
+    }
+  };
+  for (const line of lines) {
+    if (line.startsWith("```")) {
+      closeList();
+      html.push(inCode ? "</code></pre>" : '<pre class="markdown-code"><code>');
+      inCode = !inCode;
+      continue;
+    }
+    if (inCode) {
+      html.push(escapeHtml(line));
+      continue;
+    }
+    const heading = /^(#{1,4})\s+(.*)$/.exec(line);
+    if (heading) {
+      closeList();
+      const level = (heading[1] ?? "").length;
+      html.push(`<h${level}>${inlineMarkdown(heading[2] ?? "")}</h${level}>`);
+      continue;
+    }
+    const bullet = /^\s*[-*]\s+(.*)$/.exec(line);
+    if (bullet) {
+      if (!inList) {
+        html.push("<ul>");
+        inList = true;
+      }
+      html.push(`<li>${inlineMarkdown(bullet[1] ?? "")}</li>`);
+      continue;
+    }
+    if (line.trim() === "") {
+      closeList();
+      continue;
+    }
+    closeList();
+    html.push(`<p>${inlineMarkdown(line)}</p>`);
+  }
+  if (inCode) html.push("</code></pre>");
+  closeList();
+  return html.join("");
+}
+async function showChangelog() {
+  render(`<div class="wiki"><article class="wiki-content markdown-body">
+    <header class="wiki-section-head"><h2>Changelog</h2><p>Novita e modifiche rilevanti del modulo Accessi.</p></header>
+    ${renderMarkdown(changelog_default)}
+  </article></div>`);
+}
 async function show(view) {
   try {
     showNotice("");
@@ -3014,7 +3135,8 @@ async function show(view) {
       ssoProviders: showSsoProviders,
       ssoUsers: showSsoUsers,
       tokens: showServiceTokens,
-      wiki: showWiki
+      wiki: showWiki,
+      changelog: showChangelog
     };
     setActiveNavigation(view);
     const renderView = views[view];