emilsoftware-utilities 2.0.0-dev.41 → 2.0.0-dev.42

package/dist/accessi-module/Console/console.js

@@ -417,6 +417,33 @@ var deleteUser = async (codiceUtente, options) => {
     }
   );
 };
+var getDeleteUserPermanentlyUrl = (codiceUtente) => {
+  return `/api/accessi/user/delete-user-permanent/${codiceUtente}`;
+};
+var deleteUserPermanently = async (codiceUtente, options) => {
+  return accessiFetch(
+    getDeleteUserPermanentlyUrl(codiceUtente),
+    {
+      ...options,
+      method: "DELETE"
+    }
+  );
+};
+var getSetUserPasswordUrl = (codiceUtente) => {
+  return `/api/accessi/user/set-password/${codiceUtente}`;
+};
+var setUserPassword = async (codiceUtente, setUserPasswordRequest, options) => {
+  return accessiFetch(
+    getSetUserPasswordUrl(codiceUtente),
+    {
+      ...options,
+      method: "POST",
+      body: JSON.stringify(
+        setUserPasswordRequest
+      )
+    }
+  );
+};
 var getSetStatoRegistrazioneUrl = () => {
   return `/api/accessi/user/set-stato`;
 };
@@ -1105,6 +1132,7 @@ POST /api/accessi/auth/two-factor/resend
 POST /api/accessi/auth/confirm-reset-password/{token}
 { "newPassword": "NuovaSegreta123!" }`, "Reset in due passi"),
       p(`L'invio non rivela se l'email esiste (anti-enumerazione). Il token di reset \xE8 monouso ed \xE8 firmato con una chiave dedicata.`),
+      note("warn", `Policy password (solo quando si imposta)`, `Reset, set-password admin e bootstrap richiedono almeno 8 caratteri con maiuscola, minuscola, cifra e carattere speciale, senza spazi e non comuni. Se non conforme l'API risponde 400 con code ACCESSI_WEAK_PASSWORD e l'elenco dei requisiti in details. La policy NON si applica al login: le password preesistenti eventualmente deboli continuano ad autenticare e vengono migrate senza blocco.`),
       note("info", `Pagina personalizzata`, `Imposta customResetPage per usare la tua pagina di reset invece di quella inclusa. confirmationEmailReturnUrl e confirmationEmailPrefix controllano il ritorno.`)
     ]
   },
@@ -1201,12 +1229,16 @@ POST /api/accessi/auth/confirm-reset-password/{token}
           ["GET", "/api/accessi/user/get-users", "Elenco con paginazione (limit e offset, header X-Total-Count)."],
           ["POST", "/api/accessi/user/create-managed-user", "Crea un utente locale e invia il reset password."],
           ["PUT", "/api/accessi/user/update-user/:codiceUtente", "Aggiorna profilo e policy (campi privilegiati solo superutente)."],
-          ["DELETE", "/api/accessi/user/delete-user/:codiceUtente", "Soft delete: STAREG=DELETE."],
+          ["DELETE", "/api/accessi/user/delete-user/:codiceUtente", "Soft delete: STAREG=DELETE. Admin o superutente."],
+          ["DELETE", "/api/accessi/user/delete-user-permanent/:codiceUtente", "Eliminazione definitiva: rimuove utente e record collegati. Solo admin."],
+          ["POST", "/api/accessi/user/set-password/:codiceUtente", "Imposta direttamente la password: hash lato backend e scadenza secondo policy, nessuna email."],
           ["POST", "/api/accessi/user/set-stato", "Imposta lo stato di registrazione."],
           ["PATCH", "/api/accessi/user/set-gdpr/:codiceUtente", "Registra il consenso GDPR."],
           ["POST", "/api/accessi/user/register", "Registrazione pubblica, solo se publicRegistration.enabled."]
         ]
       ),
+      note("warn", `Eliminazione: soft o definitiva`, `Il soft delete (STAREG=DELETE) \xE8 disponibile per admin e superutenti ed \xE8 reversibile. L'eliminazione definitiva rimuove utente e record collegati in transazione ed \xE8 riservata agli admin; il superutente senza flag Admin pu\xF2 solo flaggare l'utente come eliminato.`),
+      note("ok", `Admin: controllo completo del profilo`, `Dalla scheda utente un admin modifica tutti i campi Accessi: anagrafica, cellulare, lingua, avatar, pagina di default, metadata JSON, 2FA/passwordless/login con password, flag, GDPR, stato registrazione, scadenza password e filtri (tabella FILTRI). La password si imposta direttamente con set-password. Le scritture sono idempotenti (UPDATE OR INSERT su UTENTI_CONFIG) e verificate dal backend; non serve accedere al database.`),
       good("ts", [
         "await fetch('/api/accessi/user/create-managed-user', {",
         "  method: 'POST',",
@@ -1414,6 +1446,7 @@ POST /api/accessi/auth/confirm-reset-password/{token}
       ]),
       note("info", `Superutente (FLGSUPER)`, `Riceve TUTTE le abilitazioni al livello massimo (30) dopo il login. In console vede solo la sezione Utenti e gestisce utenti, ruoli e grant.`),
       note("info", `Admin (FLGADMIN)`, `Accede a tutta la console (catalogo, token, SSO, utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI/RUOLI_MNU.`),
+      note("info", `Gestione dei flag`, `Dalla scheda utente i flag sono mostrati in base al ruolo di chi \xE8 connesso: un admin pu\xF2 assegnare o togliere sia il flag Admin sia il flag Superutente; un superutente senza flag Admin pu\xF2 gestire solo il flag Superutente. I flag si impostano anche in creazione (utente locale o SSO). La regola \xE8 imposta anche dal backend: inviare un flag non consentito viene rifiutato.`),
       note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con FLGSUPER o FLGADMIN. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`),
       note("info", `Bootstrap admin`, `Con adminBootstrap.enabled il backend stampa a ogni avvio un token casuale (monouso, valido fino al riavvio). Nella schermata di login della console trovi "Crea utente admin": incolla il token e crea il primo admin senza email di conferma. La password \xE8 opzionale: se assente viene generata e mostrata una sola volta.`)
     ]
@@ -1464,7 +1497,7 @@ POST /api/accessi/auth/confirm-reset-password/{token}
         [
           ["Auth", "POST auth/login, auth/get-user-by-token, auth/confirm-reset-password/:token, auth/two-factor/verify, auth/two-factor/resend"],
           ["Email", "POST email/send-reset-password-email, GET email/reset-password-page/:token"],
-          ["Utenti", "GET user/get-users, POST user/create-managed-user, PUT user/update-user/:codiceUtente, DELETE user/delete-user/:codiceUtente, POST user/set-stato, PATCH user/set-gdpr/:codiceUtente, POST user/register"],
+          ["Utenti", "GET user/get-users, POST user/create-managed-user, PUT user/update-user/:codiceUtente, DELETE user/delete-user/:codiceUtente, DELETE user/delete-user-permanent/:codiceUtente, POST user/set-password/:codiceUtente, POST user/set-stato, PATCH user/set-gdpr/:codiceUtente, POST user/register"],
           ["Permessi", "GET permission/roles, POST permission/create-role, PUT permission/update-role/:codiceRuolo, DELETE permission/delete-role/:codiceRuolo, POST permission/assign-roles/:codiceUtente, POST permission/assign-permissions/:codiceUtente, GET permission/grants/:codiceUtente, GET permission/menus, GET permission/menu-types, GET permission/groups-with-menus"],
           ["Catalogo", "POST/PUT/DELETE permission/menus[/:codiceMenu], permission/menu-groups[/:codiceGruppo], permission/menu-types[/:codiceTipo]"],
           ["Configurator", "PATCH configurator/menus/:codiceMenu/enabled, PATCH configurator/groups/:codiceGruppo/enabled"],
@@ -1556,7 +1589,7 @@ function buildAiDigest() {
 }
 
 // src/accessi-module/Console/changelog.md
-var changelog_default = "# Changelog Accessi\n\nNovit\xE0 e modifiche rilevanti della libreria `emilsoftware-utilities` (modulo Accessi).\n\n## 2.0.0-dev.33\n\n### Cambiamenti\n- Rimosse le logiche applicative residue dallo schema Accessi:\n  - `MENU_GRP.NOMECAMPO`\n  - `UTENTI.ENABLEIA`\n  - `UTENTI_CONFIG.PAGDEF`\n  - `UTENTI.CELLUTE`\n- Telefono canonico: `UTENTI_CONFIG.CELLULARE` (allargato a `VARCHAR(30)`).\n- Migrazione automatica: copia `UTENTI.CELLUTE` \u2192 `UTENTI_CONFIG.CELLULARE`, poi `DROP` delle colonne obsolete.\n- Ruoli chiariti:\n  - `FLGSUPER`: superutente, riceve **tutte** le abilitazioni al livello massimo (30) dopo il login; in console vede **solo** la sezione **Utenti**.\n  - `FLGADMIN`: accede a **tutta** la console (catalogo, token, SSO, utenti) ma **non** influisce sulle abilitazioni.\n- Aggiunta la sezione **Changelog** in console (sotto la Wiki).\n\n### Note\n- `FILTRI` e `FILTRI_TIPO` restano invariati (piano di migrazione futuro).\n- I backend che usavano i campi rimossi devono gestirli in tabelle proprie.\n\n## 2.0.0-dev.32\n\n### Cambiamenti\n- Rimosso il supporto ai flag applicativi in `UTENTI_CONFIG`: `FLGMOP`, `FLGPIANA`, `FLGADDETTI`, `FLGOSPITI`, `FLGPIANARFID`, `FLGCONTA`, `FLGCUBI`, `FLGCICLPASS`, `FLGDIPENDENTI`, `FLGINVENTARI`, `CAUMOV`, `NUMMAC`, `RAGSOCCLI`.\n- Rinominata la colonna `FLGADMINCONFIG` in `FLGADMIN` (con copia dei valori e `DROP`).\n\n## 2.0.0-dev.31\n\n### Aggiunte\n- Esposizione dei servizi Accessi all'host Express (`getAccessiModuleServices`) per delegare login, SSO e token senza reimplementarli.\n\n### Correzioni\n- `UserService.getUsers`: filtri estesi (`codiceUtente[]`, `numRep[]`, `codDipendente`, `cellulare`, `tipFil`, `flagSuper`).\n\n## 2.0.0-dev.24\n\n### Cambiamenti (breaking)\n- Chiavi JWT derivate per scopo (`access`, `reset`, `2fa`) e claim `typ` obbligatorio: gli access token precedenti non sono pi\xF9 validi.\n- Endpoint Allegati protetti di default.\n- Pool di connessioni attivo di default (`poolSize` 5).\n\n### Aggiunte\n- Service token macchina-a-macchina (gestione, guard, console).\n- CRUD completo dei cataloghi dalla console Accessi.\n- Supporto Firebird 2.5 nel migrator e nei test di integrazione.\n";
+var changelog_default = "# Changelog Accessi\n\nNovit\xE0 e modifiche rilevanti della libreria `emilsoftware-utilities` (modulo Accessi).\n\n## 2.0.0-dev.42\n\n### Aggiunte\n- Gestione dei flag di privilegio dalla console Accessi:\n  - un admin pu\xF2 assegnare o togliere sia `FLGADMIN` sia `FLGSUPER`;\n  - un superutente senza `FLGADMIN` pu\xF2 gestire solo `FLGSUPER`;\n  - i flag sono impostabili in creazione (utente locale o SSO) e in modifica profilo.\n- Eliminazione utenti con due modalit\xE0:\n  - soft delete (`delete-user`, `STAREG=DELETE`) per admin e superutenti;\n  - eliminazione definitiva (`delete-user-permanent`, solo admin) che rimuove in transazione utente e record collegati.\n- Gestione completa dell'utente dalla console (admin): anagrafica estesa (cellulare, lingua, avatar, metadata JSON), GDPR, scadenza password, tutti i filtri (`FILTRI`) e **impostazione diretta della password** (`POST /api/accessi/user/set-password/:codiceUtente`), senza accesso al database.\n- Scritture utente idempotenti: `UTENTI_CONFIG` in `UPDATE OR INSERT ... MATCHING (CODUTE)`; i campi non inviati restano invariati.\n- Policy password moderna quando si imposta una password (reset, set-password admin, bootstrap): minimo 8 caratteri con maiuscola, minuscola, cifra e carattere speciale, senza spazi e non comune. In caso di violazione risposta 400 con `code: ACCESSI_WEAK_PASSWORD` e `details`. La policy **non** si applica al login, cos\xEC le password preesistenti deboli continuano a funzionare.\n\n### Correzioni\n- Il backend verifica i flag in base al ruolo dell'utente connesso (`ensurePrivilegeFlagChanges`): inviare un flag non consentito restituisce 403.\n\n## 2.0.0-dev.33\n\n### Cambiamenti\n- Rimosse le logiche applicative residue dallo schema Accessi:\n  - `MENU_GRP.NOMECAMPO`\n  - `UTENTI.ENABLEIA`\n  - `UTENTI_CONFIG.PAGDEF`\n  - `UTENTI.CELLUTE`\n- Telefono canonico: `UTENTI_CONFIG.CELLULARE` (allargato a `VARCHAR(30)`).\n- Migrazione automatica: copia `UTENTI.CELLUTE` \u2192 `UTENTI_CONFIG.CELLULARE`, poi `DROP` delle colonne obsolete.\n- Ruoli chiariti:\n  - `FLGSUPER`: superutente, riceve **tutte** le abilitazioni al livello massimo (30) dopo il login; in console vede **solo** la sezione **Utenti**.\n  - `FLGADMIN`: accede a **tutta** la console (catalogo, token, SSO, utenti) ma **non** influisce sulle abilitazioni.\n- Aggiunta la sezione **Changelog** in console (sotto la Wiki).\n\n### Note\n- `FILTRI` e `FILTRI_TIPO` restano invariati (piano di migrazione futuro).\n- I backend che usavano i campi rimossi devono gestirli in tabelle proprie.\n\n## 2.0.0-dev.32\n\n### Cambiamenti\n- Rimosso il supporto ai flag applicativi in `UTENTI_CONFIG`: `FLGMOP`, `FLGPIANA`, `FLGADDETTI`, `FLGOSPITI`, `FLGPIANARFID`, `FLGCONTA`, `FLGCUBI`, `FLGCICLPASS`, `FLGDIPENDENTI`, `FLGINVENTARI`, `CAUMOV`, `NUMMAC`, `RAGSOCCLI`.\n- Rinominata la colonna `FLGADMINCONFIG` in `FLGADMIN` (con copia dei valori e `DROP`).\n\n## 2.0.0-dev.31\n\n### Aggiunte\n- Esposizione dei servizi Accessi all'host Express (`getAccessiModuleServices`) per delegare login, SSO e token senza reimplementarli.\n\n### Correzioni\n- `UserService.getUsers`: filtri estesi (`codiceUtente[]`, `numRep[]`, `codDipendente`, `cellulare`, `tipFil`, `flagSuper`).\n\n## 2.0.0-dev.24\n\n### Cambiamenti (breaking)\n- Chiavi JWT derivate per scopo (`access`, `reset`, `2fa`) e claim `typ` obbligatorio: gli access token precedenti non sono pi\xF9 validi.\n- Endpoint Allegati protetti di default.\n- Pool di connessioni attivo di default (`poolSize` 5).\n\n### Aggiunte\n- Service token macchina-a-macchina (gestione, guard, console).\n- CRUD completo dei cataloghi dalla console Accessi.\n- Supporto Firebird 2.5 nel migrator e nei test di integrazione.\n";
 
 // src/accessi-module/Console/help.ts
 var p2 = (text) => ({ kind: "p", text });
@@ -1714,6 +1747,112 @@ var HELP = {
       p2(`E una stringa libera (massimo 50 caratteri): la libreria la conserva e la restituisce nel profilo; l'instradamento effettivo lo decide il frontend.`)
     ]
   },
+  "user-cellulare": {
+    title: "Cellulare",
+    blocks: [
+      p2(`Numero di cellulare dell'utente (UTENTI_CONFIG.CELLULARE). \xC8 il recapito canonico per SMS o notifiche applicative; Accessi non lo invia da solo.`)
+    ]
+  },
+  "user-lingua": {
+    title: "Codice lingua",
+    blocks: [
+      p2(`Lingua preferita dell'utente (UTENTI_CONFIG.CODLINGUA). Stringa breve come it, en, sl; viene restituita nel profilo e il frontend decide come usarla.`)
+    ]
+  },
+  "user-avatar": {
+    title: "Avatar",
+    blocks: [
+      p2(`Riferimento all'avatar (UTENTI_CONFIG.AVATAR, massimo 30 caratteri): tipicamente un nome file o una chiave, non un base64.`)
+    ]
+  },
+  "user-scadenza-password": {
+    title: "Scadenza password",
+    blocks: [
+      p2(`Data di scadenza della password (UTENTI.DATSCAPWD). Lascia vuoto per non forzare una scadenza; usa una data passata per richiedere il cambio al prossimo login, se la policy \xE8 attiva.`)
+    ]
+  },
+  "user-gdpr": {
+    title: "GDPR accettato",
+    blocks: [
+      p2(`Imposta il flag di accettazione GDPR (UTENTI.FLGGDPR). Il consenso completo con tracciamento si registra dal flusso dedicato (endpoint set-gdpr).`)
+    ]
+  },
+  "user-json": {
+    title: "Metadata JSON",
+    blocks: [
+      p2(`Campo libero JSON (UTENTI_CONFIG.JSON_METADATA) per dati applicativi del backend. Deve essere JSON valido se il backend lo interpreta.`)
+    ]
+  },
+  "user-set-password": {
+    title: "Imposta password",
+    blocks: [
+      p2(`Imposta direttamente una nuova password locale: viene hashata dal backend e la scadenza segue la policy. Nessuna email viene inviata.`),
+      p2(`Requisiti di sicurezza:`),
+      list2([
+        `Almeno 8 caratteri (massimo 100).`,
+        `Almeno una lettera maiuscola e una minuscola.`,
+        `Almeno una cifra e un carattere speciale (es. ! ? @ # $ %).`,
+        `Nessuno spazio e non deve essere una password comune.`
+      ]),
+      note2("danger", "Password non conforme", `Se non rispetta i requisiti l API risponde 400 con codice ACCESSI_WEAK_PASSWORD e l elenco dei requisiti mancanti; la password non viene salvata.`),
+      note2("warn", "Sostituisce la password attuale", `L'utente dovr\xE0 usare subito la nuova password. Per fargliela scegliere, usa "Invia reset password".`)
+    ]
+  },
+  "user-filter-numrep": {
+    title: "Numero reparto (NUMREP)",
+    blocks: [p2(`Reparto associato all'utente nella tabella FILTRI. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-idxpers": {
+    title: "Indice personale (IDXPERS)",
+    blocks: [p2(`Indice del personale nella tabella FILTRI. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclisuper": {
+    title: "Cliente padre (CODCLISUPER)",
+    blocks: [p2(`Codice del cliente padre. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codage": {
+    title: "Agente (CODAGE)",
+    blocks: [p2(`Codice dell'agente associato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclicol": {
+    title: "Cliente collegato (CODCLICOL)",
+    blocks: [p2(`Codice del cliente collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclienti": {
+    title: "Clienti (CODCLIENTI)",
+    blocks: [p2(`Elenco di codici cliente separati da virgola (testo libero). Vuoto rimuove il valore.`)]
+  },
+  "user-filter-tipfil": {
+    title: "Tipo filtro (TIPFIL)",
+    blocks: [p2(`Tipo di filtro applicato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-idxpos": {
+    title: "Postazione (IDXPOS)",
+    blocks: [p2(`Indice della postazione nella tabella ANTENNE_POS. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-coddip": {
+    title: "Dipendente (CODDIP)",
+    blocks: [p2(`Codice del dipendente collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codvet": {
+    title: "Vettore (CODVET)",
+    blocks: [p2(`Codice del vettore collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-super": {
+    title: "Superutente (FLGSUPER)",
+    blocks: [
+      p2(`Assegna il flag superutente. Un superutente riceve TUTTE le abilitazioni al livello massimo (30) dopo il login e in console vede solo la sezione Utenti, dove gestisce utenti, ruoli e grant.`),
+      note2("warn", "Non \xE8 un ruolo", `Il flag non sostituisce i ruoli o i grant: li amplia assegnando ogni menu attivo al livello massimo. Usalo solo per gli amministratori di Accessi.`),
+      note2("info", "Chi lo modifica", `Un admin pu\xF2 assegnare o togliere sia Admin sia Superutente; un superutente senza Admin pu\xF2 gestire solo il flag Superutente. La verifica \xE8 ripetuta dal backend.`)
+    ]
+  },
+  "user-admin": {
+    title: "Admin (FLGADMIN)",
+    blocks: [
+      p2(`Assegna il flag admin. Un admin accede a tutta la console (catalogo, token di servizio, SSO e utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI e RUOLI_MNU.`),
+      note2("info", "Pu\xF2 gestire i flag", `Un admin pu\xF2 assegnare o togliere sia il flag Admin sia il flag Superutente. Un superutente senza Admin non pu\xF2 modificare il flag Admin.`)
+    ]
+  },
   "user-state": {
     title: "Stato di registrazione",
     blocks: [
@@ -1892,7 +2031,16 @@ var HELP = {
     title: "Imposta stato eliminato",
     blocks: [
       p2(`Esegue un soft delete: imposta lo stato di registrazione a "Eliminato" (50). L'utente non pu\xF2 pi\xF9 accedere, ma i dati restano nel database.`),
-      note2("info", "Reversibile", `Non \xE8 una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`)
+      note2("info", "Reversibile", `Non \xE8 una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),
+      note2("info", "Chi pu\xF2 farlo", `Sia admin sia superutente possono eseguire il soft delete.`)
+    ]
+  },
+  "user-delete-permanent": {
+    title: "Elimina definitivamente",
+    blocks: [
+      p2(`Cancella l'utente e tutti i record collegati (configurazione, password, ruoli, abilitazioni, filtri, identit\xE0 SSO, challenge 2FA e GDPR). Operazione irreversibile.`),
+      note2("danger", "Non reversibile", `I dati vengono rimossi fisicamente dal database; non \xE8 possibile ripristinare l'utente.`),
+      note2("info", "Solo admin", `Il pulsante \xE8 mostrato e accettato solo per il flag Admin. Un superutente senza Admin pu\xF2 solo flaggare l'utente come eliminato.`)
     ]
   },
   // ----------------------------------------------------- selezioni di menu
@@ -2435,15 +2583,130 @@ function authenticationPolicyFields(user) {
     <p class="form-help">Accesso senza password (richiede il codice email).</p>
     </fieldset>`;
 }
+function canManageSuperFlag() {
+  return Boolean(currentUser?.flagSuper || currentUser?.flagAdmin);
+}
+function canManageAdminFlag() {
+  return Boolean(currentUser?.flagAdmin);
+}
+function privilegeFields(user) {
+  const manageSuper = canManageSuperFlag();
+  const manageAdmin = canManageAdminFlag();
+  if (!manageSuper && !manageAdmin) return "";
+  return `<fieldset><legend>Privilegi Accessi (opzionale)</legend>
+    ${manageAdmin ? `<label class="check"><input name="flagAdmin" type="checkbox" ${user.flagAdmin ? "checked" : ""}> Admin ${helpDot("user-admin")}</label><p class="form-help">Accede a tutta la console (catalogo, token, SSO, utenti) e puo gestire i flag. Non modifica le abilitazioni.</p>` : ""}
+    ${manageSuper ? `<label class="check"><input name="flagSuper" type="checkbox" ${user.flagSuper ? "checked" : ""}> Superutente ${helpDot("user-super")}</label><p class="form-help">Riceve tutte le abilitazioni al livello massimo e gestisce utenti, ruoli e grant.</p>` : ""}
+    </fieldset>`;
+}
+function privilegePayload(form) {
+  const fields = new FormData(form);
+  const payload = {};
+  if (canManageSuperFlag()) payload.flagSuper = fields.has("flagSuper");
+  if (canManageAdminFlag()) payload.flagAdmin = fields.has("flagAdmin");
+  return payload;
+}
+function optionalText(values, key) {
+  if (!(key in values)) return void 0;
+  const raw = (values[key] ?? "").trim();
+  return raw === "" ? null : raw;
+}
+function optionalNumber(values, key) {
+  if (!(key in values)) return void 0;
+  const raw = (values[key] ?? "").trim();
+  if (raw === "") return null;
+  const parsed = Number(raw);
+  return Number.isFinite(parsed) ? parsed : null;
+}
+function passwordPolicyViolations(password) {
+  const violations = [];
+  if (password.length < 8) violations.push("almeno 8 caratteri");
+  if (password.length > 100) violations.push("al massimo 100 caratteri");
+  if (/\s/.test(password)) violations.push("nessuno spazio");
+  if (!/[A-Z]/.test(password)) violations.push("una lettera maiuscola");
+  if (!/[a-z]/.test(password)) violations.push("una lettera minuscola");
+  if (!/\d/.test(password)) violations.push("una cifra");
+  if (!/[^A-Za-z0-9]/.test(password)) violations.push("un carattere speciale");
+  return violations;
+}
+function dateInputValue(value) {
+  const text = typeof value === "string" ? value : "";
+  const match = /^(\d{4}-\d{2}-\d{2})/.exec(text);
+  return match?.[1] ?? "";
+}
+function extendedProfileFields(user) {
+  return `<fieldset><legend>Anagrafica estesa</legend>
+    <label>Cellulare ${helpDot("user-cellulare")}<input name="cellulare" maxlength="30" value="${escapeHtml(user.cellulare ?? "")}"></label>
+    <label>Codice lingua ${helpDot("user-lingua")}<input name="codiceLingua" maxlength="2" value="${escapeHtml(user.codiceLingua ?? "")}"></label>
+    <label>Avatar ${helpDot("user-avatar")}<input name="avatar" maxlength="30" value="${escapeHtml(user.avatar ?? "")}"></label>
+    <label>Scadenza password ${helpDot("user-scadenza-password")}<input name="dataScadenzaPassword" type="date" value="${dateInputValue(user.dataScadenzaPassword)}"></label>
+    <label class="check"><input name="flagGdpr" type="checkbox" ${user.flagGdpr ? "checked" : ""}> GDPR accettato ${helpDot("user-gdpr")}</label>
+    <label>Metadata JSON ${helpDot("user-json")}<textarea name="jsonMetadata" rows="3">${escapeHtml(user.jsonMetadata ?? "")}</textarea></label>
+    </fieldset>`;
+}
+function filterFields(user) {
+  return `<fieldset><legend>Filtri utente (FILTRI)</legend>
+    <label>Numero reparto ${helpDot("user-filter-numrep")}<input name="numRep" type="number" value="${escapeHtml(user.numRep ?? "")}"></label>
+    <label>Indice personale ${helpDot("user-filter-idxpers")}<input name="idxPers" type="number" value="${escapeHtml(user.idxPers ?? "")}"></label>
+    <label>Cliente padre ${helpDot("user-filter-codclisuper")}<input name="codCliSuper" type="number" value="${escapeHtml(user.codCliSuper ?? "")}"></label>
+    <label>Agente ${helpDot("user-filter-codage")}<input name="codAge" type="number" value="${escapeHtml(user.codAge ?? "")}"></label>
+    <label>Cliente collegato ${helpDot("user-filter-codclicol")}<input name="codCliCol" type="number" value="${escapeHtml(user.codCliCol ?? "")}"></label>
+    <label>Clienti (separati da virgola) ${helpDot("user-filter-codclienti")}<input name="codClienti" value="${escapeHtml(user.codClienti ?? "")}"></label>
+    <label>Tipo filtro ${helpDot("user-filter-tipfil")}<input name="tipFil" type="number" value="${escapeHtml(user.tipFil ?? "")}"></label>
+    <label>Postazione ${helpDot("user-filter-idxpos")}<input name="idxPos" type="number" value="${escapeHtml(user.idxPos ?? "")}"></label>
+    <label>Dipendente ${helpDot("user-filter-coddip")}<input name="codDip" type="number" value="${escapeHtml(user.codDip ?? "")}"></label>
+    <label>Vettore ${helpDot("user-filter-codvet")}<input name="codVet" type="number" value="${escapeHtml(user.codVet ?? "")}"></label>
+    </fieldset>`;
+}
+function profilePayload(form, codiceUtente) {
+  const values = formValues(form);
+  const fields = new FormData(form);
+  const payload = {
+    codiceUtente,
+    email: values.email ?? "",
+    nome: optionalText(values, "nome"),
+    cognome: optionalText(values, "cognome"),
+    cellulare: optionalText(values, "cellulare"),
+    codiceLingua: optionalText(values, "codiceLingua"),
+    avatar: optionalText(values, "avatar"),
+    paginaDefault: optionalText(values, "paginaDefault"),
+    jsonMetadata: optionalText(values, "jsonMetadata"),
+    dataScadenzaPassword: optionalText(values, "dataScadenzaPassword"),
+    flagGdpr: fields.has("flagGdpr"),
+    flagDueFattori: fields.has("flagDueFattori"),
+    passwordlessLoginEnabled: fields.has("passwordlessLoginEnabled"),
+    numRep: optionalNumber(values, "numRep"),
+    idxPers: optionalNumber(values, "idxPers"),
+    codCliSuper: optionalNumber(values, "codCliSuper"),
+    codAge: optionalNumber(values, "codAge"),
+    codCliCol: optionalNumber(values, "codCliCol"),
+    codClienti: optionalText(values, "codClienti"),
+    tipFil: optionalNumber(values, "tipFil"),
+    idxPos: optionalNumber(values, "idxPos"),
+    codDip: optionalNumber(values, "codDip"),
+    codVet: optionalNumber(values, "codVet"),
+    ...privilegePayload(form)
+  };
+  if (federatedAuthenticationAvailable) {
+    payload.passwordLoginEnabled = fields.has("passwordLoginEnabled");
+  }
+  return payload;
+}
+function passwordFields() {
+  return `<fieldset><legend>Password</legend>
+    <label>Nuova password ${helpDot("user-set-password")}<input name="newPassword" type="password" autocomplete="new-password" minlength="8" maxlength="100"><span class="form-help">Almeno 8 caratteri con maiuscola, minuscola, cifra e carattere speciale; nessuno spazio. Viene salvata come hash e la scadenza segue la policy; nessuna email inviata.</span></label>
+    <button type="button" id="set-password" class="secondary">Imposta password</button>
+    </fieldset>`;
+}
 function showLocalUserForm() {
   render(`<button id="back">Indietro</button><h2>Nuovo utente locale</h2><p class="muted">Viene inviata l'e-mail per impostare la password.</p>
-    <form id="local-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Identificativo di accesso; ricever\xC3\xA0 l'email per la password.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label><button>Crea utente</button></form>`);
+    <form id="local-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Identificativo di accesso; ricever\xC3\xA0 l'email per la password.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${privilegeFields({})}<button>Crea utente</button></form>`);
   byId("back").onclick = () => show("users");
   const localUserForm = document.getElementById("local-user");
   if (localUserForm) localUserForm.onsubmit = (event) => {
     event.preventDefault();
     handleAction(async () => {
-      await createManagedUser(formValues(eventForm(event)));
+      const form = eventForm(event);
+      await createManagedUser({ ...formValues(form), ...privilegePayload(form) });
       showNotice("Utente creato; inviata la procedura di impostazione password.");
       await show("users");
     });
@@ -2455,7 +2718,7 @@ async function showSsoUserForm() {
     throw new Error("Prima di creare un utente SSO, censisci e abilita almeno un provider SSO.");
   }
   render(`<button id="back">Indietro</button><h2>Nuovo utente SSO</h2><p class="muted">Salva solo collegamenti gi\xC3\xA0 verificati dal backend.</p>
-    <form id="sso-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Email di contatto e identificativo Accessi dell'utente.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${federatedIdentityFields(providers)}<label class="check"><input name="passwordLoginEnabled" type="checkbox"> Abilita anche la password locale ${helpDot("user-password-login")}</label><span class="form-help">Se disattivato, l'utente accede solo via SSO.</span><button>Crea utente SSO</button></form>`);
+    <form id="sso-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Email di contatto e identificativo Accessi dell'utente.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${federatedIdentityFields(providers)}<label class="check"><input name="passwordLoginEnabled" type="checkbox"> Abilita anche la password locale ${helpDot("user-password-login")}</label><span class="form-help">Se disattivato, l'utente accede solo via SSO.</span>${privilegeFields({})}<button>Crea utente SSO</button></form>`);
   byId("back").onclick = () => show("ssoUsers");
   const ssoUserForm = document.getElementById("sso-user");
   if (ssoUserForm) ssoUserForm.onsubmit = (event) => {
@@ -2468,7 +2731,7 @@ async function showSsoUserForm() {
         subject: values.subject ?? "",
         note: values.note || void 0,
         passwordLoginEnabled: new FormData(form).has("passwordLoginEnabled"),
-        user: { email: values.email ?? "", nome: values.nome || void 0, cognome: values.cognome || void 0 }
+        user: { email: values.email ?? "", nome: values.nome || void 0, cognome: values.cognome || void 0, ...privilegePayload(form) }
       };
       await createFederatedUser(request);
       showNotice("Utente SSO creato e collegamento registrato.");
@@ -2570,9 +2833,9 @@ async function showUser(rawCode) {
   const linked = federatedAuthenticationAvailable ? result(await getFederatedIdentities(codiceUtente)) : [];
   const identitySection = federatedAuthenticationAvailable ? federatedIdentitySection(linked, providerList) : "";
   const defaultUserTab = federatedAuthenticationAvailable ? "sso" : "profile";
-  render(`<div class="user-action-bar"><button id="back" type="button" class="secondary">Indietro</button><label class="inline-field">Stato registrazione ${helpDot("user-state")}<select id="user-state">${registrationStateOptions(user.statoRegistrazione)}</select></label><button id="save-state" type="button" class="secondary">Aggiorna stato</button><button id="disable-user" type="button" class="danger-button">Imposta stato eliminato</button>${helpDot("user-delete")}</div><div class="page-header"><div><p class="eyebrow">Utente ${codiceUtente}</p><h2>${escapeHtml(user.email)}</h2></div><span class="muted">Gestione profilo, ruoli e autorizzazioni</span></div>${userDetailTabs(federatedAuthenticationAvailable)}<div class="user-editor">
+  render(`<div class="user-action-bar"><button id="back" type="button" class="secondary">Indietro</button><label class="inline-field">Stato registrazione ${helpDot("user-state")}<select id="user-state">${registrationStateOptions(user.statoRegistrazione)}</select></label><button id="save-state" type="button" class="secondary">Aggiorna stato</button><button id="disable-user" type="button" class="danger-button">Imposta stato eliminato</button>${helpDot("user-delete")}${currentUser?.flagAdmin ? `<button id="purge-user" type="button" class="danger-button">Elimina definitivamente</button>${helpDot("user-delete-permanent")}` : ""}</div><div class="page-header"><div><p class="eyebrow">Utente ${codiceUtente}</p><h2>${escapeHtml(user.email)}</h2></div><span class="muted">Gestione profilo, ruoli e autorizzazioni</span></div>${userDetailTabs(federatedAuthenticationAvailable)}<div class="user-editor">
     ${identitySection}
-    <form id="profile" data-user-panel="profile" role="tabpanel" aria-labelledby="user-tab-profile"><h3>Profilo e accesso</h3><label>Nome ${helpDot("user-name")}<input name="nome" value="${escapeHtml(user.nome)}"></label><label>Cognome ${helpDot("user-name")}<input name="cognome" value="${escapeHtml(user.cognome)}"></label><label>Email ${helpDot("user-email")}<input name="email" type="email" value="${escapeHtml(user.email)}" required><span class="form-help">Identificativo di accesso e recapito.</span></label><label>Pagina di default ${helpDot("user-default-page")}<input name="paginaDefault" maxlength="50" value="${escapeHtml(user.paginaDefault)}"><span class="form-help">Pagina mostrata dopo il login (percorso o codice pagina).</span></label>${federatedAuthenticationAvailable ? `<label class="check"><input name="passwordLoginEnabled" type="checkbox" ${user.passwordLoginEnabled !== false ? "checked" : ""}> Login con password ${helpDot("user-password-login")}</label><span class="form-help">Se disabilitato, il login con email e password restituisce un errore esplicito; restano valide le identit\xC3\xA0 SSO attive.</span>` : ""}${authenticationPolicyFields(user)}<button>Salva</button></form>
+    <form id="profile" data-user-panel="profile" role="tabpanel" aria-labelledby="user-tab-profile"><h3>Profilo e accesso</h3><label>Nome ${helpDot("user-name")}<input name="nome" value="${escapeHtml(user.nome)}"></label><label>Cognome ${helpDot("user-name")}<input name="cognome" value="${escapeHtml(user.cognome)}"></label><label>Email ${helpDot("user-email")}<input name="email" type="email" value="${escapeHtml(user.email)}" required><span class="form-help">Identificativo di accesso e recapito.</span></label><label>Pagina di default ${helpDot("user-default-page")}<input name="paginaDefault" maxlength="50" value="${escapeHtml(user.paginaDefault)}"><span class="form-help">Pagina mostrata dopo il login (percorso o codice pagina).</span></label>${federatedAuthenticationAvailable ? `<label class="check"><input name="passwordLoginEnabled" type="checkbox" ${user.passwordLoginEnabled !== false ? "checked" : ""}> Login con password ${helpDot("user-password-login")}</label><span class="form-help">Se disabilitato, il login con email e password restituisce un errore esplicito; restano valide le identit\xC3\xA0 SSO attive.</span>` : ""}${authenticationPolicyFields(user)}${extendedProfileFields(user)}${privilegeFields(user)}${filterFields(user)}${passwordFields()}<button>Salva</button></form>
     ${roleAssignmentEditor(allRoles, userGrants.ruoli, menuGroups)}
     ${directGrantEditor(menuGroups, userGrants.abilitazioni)}
     </div>`);
@@ -2602,25 +2865,16 @@ async function showUser(rawCode) {
     profileForm.onsubmit = (event) => {
       event.preventDefault();
       handleAction(async () => {
-        const values = formValues(eventForm(event));
-        const fields = new FormData(eventForm(event));
-        await updateUtente(codiceUtente, {
-          codiceUtente,
-          email: values.email ?? "",
-          nome: values.nome || void 0,
-          cognome: values.cognome || void 0,
-          paginaDefault: values.paginaDefault || void 0,
-          flagDueFattori: fields.has("flagDueFattori"),
-          passwordlessLoginEnabled: fields.has("passwordlessLoginEnabled"),
-          ...federatedAuthenticationAvailable ? { passwordLoginEnabled: fields.has("passwordLoginEnabled") } : {}
-        });
-        if (codiceUtente === currentUser?.codiceUtente && (fields.has("flagDueFattori") !== Boolean(user.flagDueFattori) || fields.has("passwordlessLoginEnabled") !== Boolean(user.passwordlessLoginEnabled))) {
+        const form = eventForm(event);
+        const fields = new FormData(form);
+        await updateUtente(codiceUtente, profilePayload(form, codiceUtente));
+        if (codiceUtente === currentUser?.codiceUtente && (fields.has("flagDueFattori") !== Boolean(user.flagDueFattori) || fields.has("passwordlessLoginEnabled") !== Boolean(user.passwordlessLoginEnabled) || canManageSuperFlag() && fields.has("flagSuper") !== Boolean(user.flagSuper) || canManageAdminFlag() && fields.has("flagAdmin") !== Boolean(user.flagAdmin))) {
           token = null;
           sessionStorage.removeItem("accessi-console-token");
           setAccessiConsoleToken(null);
           resetLogin();
           await bootstrap();
-          byId("login-error").textContent = "Policy aggiornata. Accedi di nuovo con la nuova configurazione.";
+          byId("login-error").textContent = "Privilegi o policy aggiornati. Accedi di nuovo con la nuova configurazione.";
           return;
         }
         await showUser(String(codiceUtente));
@@ -2629,6 +2883,16 @@ async function showUser(rawCode) {
       });
     };
   }
+  const setPasswordButton = document.getElementById("set-password");
+  if (setPasswordButton) setPasswordButton.onclick = () => handleAction(async () => {
+    const newPassword = (document.querySelector('#profile input[name="newPassword"]')?.value ?? "").trim();
+    const violations = passwordPolicyViolations(newPassword);
+    if (violations.length > 0) throw new Error(`La password non rispetta i requisiti: richiede ${violations.join(", ")}.`);
+    if (!window.confirm(`Impostare una nuova password per ${user.email}?`)) return;
+    await setUserPassword(codiceUtente, { newPassword });
+    showNotice("Password aggiornata.");
+    await showUser(String(codiceUtente));
+  });
   const rolesForm = document.getElementById("roles");
   if (rolesForm) rolesForm.onsubmit = (event) => {
     event.preventDefault();
@@ -2688,6 +2952,13 @@ async function showUser(rawCode) {
     showNotice("Utente impostato come eliminato.");
     await show("users");
   });
+  const purgeUser = document.getElementById("purge-user");
+  if (purgeUser) purgeUser.onclick = () => handleAction(async () => {
+    if (!window.confirm(`Eliminare DEFINITIVAMENTE l'utente ${user.email} e tutti i dati collegati? Operazione irreversibile.`)) return;
+    await deleteUserPermanently(codiceUtente);
+    showNotice("Utente eliminato definitivamente.");
+    await show("users");
+  });
 }
 async function showRoles() {
   const [rolesResponse, groupsResponse] = await Promise.all([getRoles(), getGroupsWithMenus({ includeDisabled: true })]);