emilsoftware-utilities 2.0.0-dev.41 → 2.0.0-dev.43

package/dist/accessi-module/Console/console.js

@@ -417,6 +417,45 @@ var deleteUser = async (codiceUtente, options) => {
     }
   );
 };
+var getDeleteUserPermanentlyUrl = (codiceUtente) => {
+  return `/api/accessi/user/delete-user-permanent/${codiceUtente}`;
+};
+var deleteUserPermanently = async (codiceUtente, options) => {
+  return accessiFetch(
+    getDeleteUserPermanentlyUrl(codiceUtente),
+    {
+      ...options,
+      method: "DELETE"
+    }
+  );
+};
+var getForcePasswordResetLegacyUrl = () => {
+  return `/api/accessi/user/force-password-reset-legacy`;
+};
+var forcePasswordResetLegacy = async (options) => {
+  return accessiFetch(
+    getForcePasswordResetLegacyUrl(),
+    {
+      ...options,
+      method: "POST"
+    }
+  );
+};
+var getSetUserPasswordUrl = (codiceUtente) => {
+  return `/api/accessi/user/set-password/${codiceUtente}`;
+};
+var setUserPassword = async (codiceUtente, setUserPasswordRequest, options) => {
+  return accessiFetch(
+    getSetUserPasswordUrl(codiceUtente),
+    {
+      ...options,
+      method: "POST",
+      body: JSON.stringify(
+        setUserPasswordRequest
+      )
+    }
+  );
+};
 var getSetStatoRegistrazioneUrl = () => {
   return `/api/accessi/user/set-stato`;
 };
@@ -462,6 +501,18 @@ var updateUtente = async (codiceUtente, userDto, options) => {
     }
   );
 };
+var getSetGdprUrl = (codiceUtente) => {
+  return `/api/accessi/user/set-gdpr/${codiceUtente}`;
+};
+var setGdpr = async (codiceUtente, options) => {
+  return accessiFetch(
+    getSetGdprUrl(codiceUtente),
+    {
+      ...options,
+      method: "PATCH"
+    }
+  );
+};
 var getGetTipiFiltroUrl = () => {
   return `/api/accessi/filtri/tipi`;
 };
@@ -1105,6 +1156,7 @@ POST /api/accessi/auth/two-factor/resend
 POST /api/accessi/auth/confirm-reset-password/{token}
 { "newPassword": "NuovaSegreta123!" }`, "Reset in due passi"),
       p(`L'invio non rivela se l'email esiste (anti-enumerazione). Il token di reset \xE8 monouso ed \xE8 firmato con una chiave dedicata.`),
+      note("warn", `Policy password (solo quando si imposta)`, `Reset, set-password admin e bootstrap richiedono almeno 8 caratteri con maiuscola, minuscola, cifra e carattere speciale, senza spazi e non comuni. Se non conforme l'API risponde 400 con code ACCESSI_WEAK_PASSWORD e l'elenco dei requisiti in details. La policy NON si applica al login: le password preesistenti eventualmente deboli continuano ad autenticare e vengono migrate senza blocco.`),
       note("info", `Pagina personalizzata`, `Imposta customResetPage per usare la tua pagina di reset invece di quella inclusa. confirmationEmailReturnUrl e confirmationEmailPrefix controllano il ritorno.`)
     ]
   },
@@ -1201,12 +1253,18 @@ POST /api/accessi/auth/confirm-reset-password/{token}
           ["GET", "/api/accessi/user/get-users", "Elenco con paginazione (limit e offset, header X-Total-Count)."],
           ["POST", "/api/accessi/user/create-managed-user", "Crea un utente locale e invia il reset password."],
           ["PUT", "/api/accessi/user/update-user/:codiceUtente", "Aggiorna profilo e policy (campi privilegiati solo superutente)."],
-          ["DELETE", "/api/accessi/user/delete-user/:codiceUtente", "Soft delete: STAREG=DELETE."],
+          ["DELETE", "/api/accessi/user/delete-user/:codiceUtente", "Soft delete: STAREG=DELETE. Admin o superutente."],
+          ["DELETE", "/api/accessi/user/delete-user-permanent/:codiceUtente", "Eliminazione definitiva: rimuove utente e record collegati. Solo admin."],
+          ["POST", "/api/accessi/user/set-password/:codiceUtente", "Imposta direttamente la password: hash lato backend e scadenza secondo policy, nessuna email."],
           ["POST", "/api/accessi/user/set-stato", "Imposta lo stato di registrazione."],
           ["PATCH", "/api/accessi/user/set-gdpr/:codiceUtente", "Registra il consenso GDPR."],
           ["POST", "/api/accessi/user/register", "Registrazione pubblica, solo se publicRegistration.enabled."]
         ]
       ),
+      note("warn", `Eliminazione: soft o definitiva`, `Il soft delete (STAREG=DELETE) \xE8 disponibile per admin e superutenti ed \xE8 reversibile. L'eliminazione definitiva rimuove utente e record collegati in transazione ed \xE8 riservata agli admin; il superutente senza flag Admin pu\xF2 solo flaggare l'utente come eliminato. Se l'utente ha dati collegati in altre tabelle (per esempio campi estesi del backend) l'eliminazione definitiva fallisce con code ACCESSI_USER_DELETE_HAS_REFERENCES e messaggio esplicito: usa allora il soft delete.`),
+      note("ok", `Creazione con invito atomica`, `La creazione utente con invio email \xE8 atomica: se SMTP non \xE8 configurato si fallisce prima di scrivere, e se l'invio fallisce l'utente creato viene annullato (codice ACCESSI_USER_INVITE_EMAIL_FAILED). Non restano utenti senza password. In alternativa un admin crea l'utente e imposta la password dal form dedicato.`),
+      note("ok", `Admin: controllo completo del profilo`, `Dalla scheda utente un admin modifica tutti i campi Accessi: anagrafica, cellulare, lingua, avatar, pagina di default, metadata JSON, 2FA/passwordless/login con password, flag, GDPR, stato registrazione, scadenza password e filtri (tabella FILTRI). La password si imposta direttamente con set-password. Le scritture sono idempotenti (UPDATE OR INSERT su UTENTI_CONFIG) e verificate dal backend; non serve accedere al database.`),
+      note("info", `Consenso GDPR`, `Il pulsante "Registra consenso GDPR" completa il processo: imposta FLGGDPR e DATGDPR e scrive la riga storica in UTENTI_GDPR (endpoint set-gdpr). Anche impostare flagGdpr via update-user completa il processo con la stessa riga storica.`),
       good("ts", [
         "await fetch('/api/accessi/user/create-managed-user', {",
         "  method: 'POST',",
@@ -1413,9 +1471,13 @@ POST /api/accessi/auth/confirm-reset-password/{token}
         `SQL: esporta il DDL delle entit\xE0 Accessi (tabelle, generatori, FK, indici, check, trigger) per replicare il database.`
       ]),
       note("info", `Superutente (FLGSUPER)`, `Riceve TUTTE le abilitazioni al livello massimo (30) dopo il login. In console vede solo la sezione Utenti e gestisce utenti, ruoli e grant.`),
-      note("info", `Admin (FLGADMIN)`, `Accede a tutta la console (catalogo, token, SSO, utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI/RUOLI_MNU.`),
+      note("info", `Admin (FLGADMIN)`, `Accede a tutta la console (catalogo, token, SSO, utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI/RUOLI_MNU. Gerarchia: ADMIN > SUPER > utente.`),
+      note("info", `Gerarchia dei ruoli`, `Vale ADMIN (2) > SUPER (1) > utente comune (0). Un attore pu\xF2 gestire solo utenti di rango pari o inferiore: un superutente pu\xF2 amministrare totalmente utenti comuni e superutenti (profilo, password, flag, ruoli, grant, stato, eliminazione, filtri e identit\xE0/utenti SSO) ma NON pu\xF2 toccare un admin. Un admin pu\xF2 gestire chiunque. La regola \xE8 imposta dal backend (ensureCanManageTargetUser): un tentativo non consentito restituisce 403.`),
+      note("info", `Gestione dei flag`, `Dalla scheda utente i flag sono mostrati in base al ruolo di chi \xE8 connesso: un admin pu\xF2 assegnare o togliere sia il flag Admin sia il flag Superutente; un superutente senza flag Admin pu\xF2 gestire solo il flag Superutente. I flag si impostano anche in creazione (utente locale o SSO).`),
+      note("warn", `Ultimo admin`, `Per non restare chiusi fuori dalla console, l'ultimo admin attivo non pu\xF2 essere disattivato, bloccato, eliminato n\xE9 privato del flag Admin: l'operazione restituisce 400 finch\xE9 non viene promosso un altro admin.`),
       note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con FLGSUPER o FLGADMIN. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`),
-      note("info", `Bootstrap admin`, `Con adminBootstrap.enabled il backend stampa a ogni avvio un token casuale (monouso, valido fino al riavvio). Nella schermata di login della console trovi "Crea utente admin": incolla il token e crea il primo admin senza email di conferma. La password \xE8 opzionale: se assente viene generata e mostrata una sola volta.`)
+      note("info", `Bootstrap admin`, `Con adminBootstrap.enabled il backend stampa a ogni avvio un token casuale (monouso, valido fino al riavvio). Nella schermata di login della console trovi "Crea utente admin": incolla il token e crea il primo admin senza email di conferma. La password \xE8 opzionale: se assente viene generata e mostrata una sola volta.`),
+      note("ok", `Auto-ingresso dal frontend`, `Se un frontend ha gi\xE0 una sessione Accessi valida e l'utente \xE8 abilitato alla console, pu\xF2 aprire la console senza rifare il login: \`POST /api/accessi/console/entry\` con \`Authorization: Bearer <jwt>\` restituisce un ticket monouso; apri poi \`/api/accessi/console#entry=<ticket>\`. Il JWT non finisce mai nell'URL; il ticket dura 60 secondi ed \xE8 utilizzabile una sola volta (endpoint di scambio protetto da rate limit).`)
     ]
   },
   // -------------------------------------------------------------------------
@@ -1464,7 +1526,7 @@ POST /api/accessi/auth/confirm-reset-password/{token}
         [
           ["Auth", "POST auth/login, auth/get-user-by-token, auth/confirm-reset-password/:token, auth/two-factor/verify, auth/two-factor/resend"],
           ["Email", "POST email/send-reset-password-email, GET email/reset-password-page/:token"],
-          ["Utenti", "GET user/get-users, POST user/create-managed-user, PUT user/update-user/:codiceUtente, DELETE user/delete-user/:codiceUtente, POST user/set-stato, PATCH user/set-gdpr/:codiceUtente, POST user/register"],
+          ["Utenti", "GET user/get-users, POST user/create-managed-user, PUT user/update-user/:codiceUtente, DELETE user/delete-user/:codiceUtente, DELETE user/delete-user-permanent/:codiceUtente, POST user/set-password/:codiceUtente, POST user/set-stato, PATCH user/set-gdpr/:codiceUtente, POST user/register"],
           ["Permessi", "GET permission/roles, POST permission/create-role, PUT permission/update-role/:codiceRuolo, DELETE permission/delete-role/:codiceRuolo, POST permission/assign-roles/:codiceUtente, POST permission/assign-permissions/:codiceUtente, GET permission/grants/:codiceUtente, GET permission/menus, GET permission/menu-types, GET permission/groups-with-menus"],
           ["Catalogo", "POST/PUT/DELETE permission/menus[/:codiceMenu], permission/menu-groups[/:codiceGruppo], permission/menu-types[/:codiceTipo]"],
           ["Configurator", "PATCH configurator/menus/:codiceMenu/enabled, PATCH configurator/groups/:codiceGruppo/enabled"],
@@ -1556,7 +1618,7 @@ function buildAiDigest() {
 }
 
 // src/accessi-module/Console/changelog.md
-var changelog_default = "# Changelog Accessi\n\nNovit\xE0 e modifiche rilevanti della libreria `emilsoftware-utilities` (modulo Accessi).\n\n## 2.0.0-dev.33\n\n### Cambiamenti\n- Rimosse le logiche applicative residue dallo schema Accessi:\n  - `MENU_GRP.NOMECAMPO`\n  - `UTENTI.ENABLEIA`\n  - `UTENTI_CONFIG.PAGDEF`\n  - `UTENTI.CELLUTE`\n- Telefono canonico: `UTENTI_CONFIG.CELLULARE` (allargato a `VARCHAR(30)`).\n- Migrazione automatica: copia `UTENTI.CELLUTE` \u2192 `UTENTI_CONFIG.CELLULARE`, poi `DROP` delle colonne obsolete.\n- Ruoli chiariti:\n  - `FLGSUPER`: superutente, riceve **tutte** le abilitazioni al livello massimo (30) dopo il login; in console vede **solo** la sezione **Utenti**.\n  - `FLGADMIN`: accede a **tutta** la console (catalogo, token, SSO, utenti) ma **non** influisce sulle abilitazioni.\n- Aggiunta la sezione **Changelog** in console (sotto la Wiki).\n\n### Note\n- `FILTRI` e `FILTRI_TIPO` restano invariati (piano di migrazione futuro).\n- I backend che usavano i campi rimossi devono gestirli in tabelle proprie.\n\n## 2.0.0-dev.32\n\n### Cambiamenti\n- Rimosso il supporto ai flag applicativi in `UTENTI_CONFIG`: `FLGMOP`, `FLGPIANA`, `FLGADDETTI`, `FLGOSPITI`, `FLGPIANARFID`, `FLGCONTA`, `FLGCUBI`, `FLGCICLPASS`, `FLGDIPENDENTI`, `FLGINVENTARI`, `CAUMOV`, `NUMMAC`, `RAGSOCCLI`.\n- Rinominata la colonna `FLGADMINCONFIG` in `FLGADMIN` (con copia dei valori e `DROP`).\n\n## 2.0.0-dev.31\n\n### Aggiunte\n- Esposizione dei servizi Accessi all'host Express (`getAccessiModuleServices`) per delegare login, SSO e token senza reimplementarli.\n\n### Correzioni\n- `UserService.getUsers`: filtri estesi (`codiceUtente[]`, `numRep[]`, `codDipendente`, `cellulare`, `tipFil`, `flagSuper`).\n\n## 2.0.0-dev.24\n\n### Cambiamenti (breaking)\n- Chiavi JWT derivate per scopo (`access`, `reset`, `2fa`) e claim `typ` obbligatorio: gli access token precedenti non sono pi\xF9 validi.\n- Endpoint Allegati protetti di default.\n- Pool di connessioni attivo di default (`poolSize` 5).\n\n### Aggiunte\n- Service token macchina-a-macchina (gestione, guard, console).\n- CRUD completo dei cataloghi dalla console Accessi.\n- Supporto Firebird 2.5 nel migrator e nei test di integrazione.\n";
+var changelog_default = "# Changelog Accessi\n\nNovit\xE0 e modifiche rilevanti della libreria `emilsoftware-utilities` (modulo Accessi).\n\n## 2.0.0-dev.43\n\n### Cambiamenti\n- Gerarchia dei ruoli formalizzata **ADMIN > SUPER > utente**: un superutente non puo' gestire un admin su `update-user`, `delete-user` (soft e hard), `set-password`, `force-password-reset`, `set-stato`, `assign-roles` e `assign-permissions` (`ensureCanManageTargetUser`, 403 se violato).\n- Guard **ultimo admin attivo**: non puo' essere disattivato, bloccato, eliminato o privato del flag Admin (400), per evitare il lockout della console.\n- Creazione utente (`create-managed-user` e registrazione pubblica) resa **atomica** rispetto all'invio email: fail-fast se SMTP non configurato e rollback dell'utente creato se l'invio fallisce (`ACCESSI_USER_INVITE_EMAIL_FAILED`).\n- Console: form password separato (Invio imposta la password invece di salvare il profilo), scheda utente in sola lettura per target di rango superiore.\n- SSO: anche il superutente puo' creare utenti SSO e gestirne identita/policy (`federated-auth/users/*`) sugli utenti non-admin; il catalogo dei provider SSO resta riservato agli admin.\n- Coerenza: i filtri utente (`saveFiltriUtente`) rispettano la gerarchia; il flag GDPR impostato dal profilo allinea anche `DATGDPR`; la scheda in sola lettura disabilita anche il collegamento SSO.\n- Eliminazione definitiva: se l'utente ha dati collegati (tabelle esterne/FK) risponde 400 con `code: ACCESSI_USER_DELETE_HAS_REFERENCES` e messaggio esplicito, suggerendo il soft delete (la hard delete resta invariata quando non ci sono vincoli).\n- Consenso GDPR completo: `update-user` con `flagGdpr` scrive anche la riga storica `UTENTI_GDPR`; in console il pulsante \"Registra consenso GDPR\" usa `set-gdpr`.\n- Console: aggiunto il pulsante \"Invia reset password legacy\" (super e admin).\n- Console: **auto-ingresso dal frontend** tramite ticket monouso (`POST /api/accessi/console/entry` + apertura di `#entry=<ticket>`), senza JWT nell'URL; il ticket e' legato all'utente, dura 60s, e' monouso e lo scambio e' protetto da rate limit (`publicAuthRateLimit.consoleEntry`).\n\n## 2.0.0-dev.42\n\n### Aggiunte\n- Gestione dei flag di privilegio dalla console Accessi:\n  - un admin pu\xF2 assegnare o togliere sia `FLGADMIN` sia `FLGSUPER`;\n  - un superutente senza `FLGADMIN` pu\xF2 gestire solo `FLGSUPER`;\n  - i flag sono impostabili in creazione (utente locale o SSO) e in modifica profilo.\n- Eliminazione utenti con due modalit\xE0:\n  - soft delete (`delete-user`, `STAREG=DELETE`) per admin e superutenti;\n  - eliminazione definitiva (`delete-user-permanent`, solo admin) che rimuove in transazione utente e record collegati.\n- Gestione completa dell'utente dalla console (admin): anagrafica estesa (cellulare, lingua, avatar, metadata JSON), GDPR, scadenza password, tutti i filtri (`FILTRI`) e **impostazione diretta della password** (`POST /api/accessi/user/set-password/:codiceUtente`), senza accesso al database.\n- Scritture utente idempotenti: `UTENTI_CONFIG` in `UPDATE OR INSERT ... MATCHING (CODUTE)`; i campi non inviati restano invariati.\n- Policy password moderna quando si imposta una password (reset, set-password admin, bootstrap): minimo 8 caratteri con maiuscola, minuscola, cifra e carattere speciale, senza spazi e non comune. In caso di violazione risposta 400 con `code: ACCESSI_WEAK_PASSWORD` e `details`. La policy **non** si applica al login, cos\xEC le password preesistenti deboli continuano a funzionare.\n\n### Correzioni\n- Il backend verifica i flag in base al ruolo dell'utente connesso (`ensurePrivilegeFlagChanges`): inviare un flag non consentito restituisce 403.\n\n## 2.0.0-dev.33\n\n### Cambiamenti\n- Rimosse le logiche applicative residue dallo schema Accessi:\n  - `MENU_GRP.NOMECAMPO`\n  - `UTENTI.ENABLEIA`\n  - `UTENTI_CONFIG.PAGDEF`\n  - `UTENTI.CELLUTE`\n- Telefono canonico: `UTENTI_CONFIG.CELLULARE` (allargato a `VARCHAR(30)`).\n- Migrazione automatica: copia `UTENTI.CELLUTE` \u2192 `UTENTI_CONFIG.CELLULARE`, poi `DROP` delle colonne obsolete.\n- Ruoli chiariti:\n  - `FLGSUPER`: superutente, riceve **tutte** le abilitazioni al livello massimo (30) dopo il login; in console vede **solo** la sezione **Utenti**.\n  - `FLGADMIN`: accede a **tutta** la console (catalogo, token, SSO, utenti) ma **non** influisce sulle abilitazioni.\n- Aggiunta la sezione **Changelog** in console (sotto la Wiki).\n\n### Note\n- `FILTRI` e `FILTRI_TIPO` restano invariati (piano di migrazione futuro).\n- I backend che usavano i campi rimossi devono gestirli in tabelle proprie.\n\n## 2.0.0-dev.32\n\n### Cambiamenti\n- Rimosso il supporto ai flag applicativi in `UTENTI_CONFIG`: `FLGMOP`, `FLGPIANA`, `FLGADDETTI`, `FLGOSPITI`, `FLGPIANARFID`, `FLGCONTA`, `FLGCUBI`, `FLGCICLPASS`, `FLGDIPENDENTI`, `FLGINVENTARI`, `CAUMOV`, `NUMMAC`, `RAGSOCCLI`.\n- Rinominata la colonna `FLGADMINCONFIG` in `FLGADMIN` (con copia dei valori e `DROP`).\n\n## 2.0.0-dev.31\n\n### Aggiunte\n- Esposizione dei servizi Accessi all'host Express (`getAccessiModuleServices`) per delegare login, SSO e token senza reimplementarli.\n\n### Correzioni\n- `UserService.getUsers`: filtri estesi (`codiceUtente[]`, `numRep[]`, `codDipendente`, `cellulare`, `tipFil`, `flagSuper`).\n\n## 2.0.0-dev.24\n\n### Cambiamenti (breaking)\n- Chiavi JWT derivate per scopo (`access`, `reset`, `2fa`) e claim `typ` obbligatorio: gli access token precedenti non sono pi\xF9 validi.\n- Endpoint Allegati protetti di default.\n- Pool di connessioni attivo di default (`poolSize` 5).\n\n### Aggiunte\n- Service token macchina-a-macchina (gestione, guard, console).\n- CRUD completo dei cataloghi dalla console Accessi.\n- Supporto Firebird 2.5 nel migrator e nei test di integrazione.\n";
 
 // src/accessi-module/Console/help.ts
 var p2 = (text) => ({ kind: "p", text });
@@ -1714,6 +1776,113 @@ var HELP = {
       p2(`E una stringa libera (massimo 50 caratteri): la libreria la conserva e la restituisce nel profilo; l'instradamento effettivo lo decide il frontend.`)
     ]
   },
+  "user-cellulare": {
+    title: "Cellulare",
+    blocks: [
+      p2(`Numero di cellulare dell'utente (UTENTI_CONFIG.CELLULARE). \xC8 il recapito canonico per SMS o notifiche applicative; Accessi non lo invia da solo.`)
+    ]
+  },
+  "user-lingua": {
+    title: "Codice lingua",
+    blocks: [
+      p2(`Lingua preferita dell'utente (UTENTI_CONFIG.CODLINGUA). Stringa breve come it, en, sl; viene restituita nel profilo e il frontend decide come usarla.`)
+    ]
+  },
+  "user-avatar": {
+    title: "Avatar",
+    blocks: [
+      p2(`Riferimento all'avatar (UTENTI_CONFIG.AVATAR, massimo 30 caratteri): tipicamente un nome file o una chiave, non un base64.`)
+    ]
+  },
+  "user-scadenza-password": {
+    title: "Scadenza password",
+    blocks: [
+      p2(`Data di scadenza della password (UTENTI.DATSCAPWD). Lascia vuoto per non forzare una scadenza; usa una data passata per richiedere il cambio al prossimo login, se la policy \xE8 attiva.`)
+    ]
+  },
+  "user-gdpr": {
+    title: "Consenso GDPR",
+    blocks: [
+      p2(`Lo stato mostra se il consenso \xE8 registrato. Il pulsante "Registra consenso GDPR" (endpoint set-gdpr) imposta FLGGDPR e DATGDPR e scrive la riga storica in UTENTI_GDPR.`),
+      note2("info", "Completo e tracciato", `A differenza del flag impostato a mano, il flusso dedicato registra anche la data e lo storico dell'accettazione.`)
+    ]
+  },
+  "user-json": {
+    title: "Metadata JSON",
+    blocks: [
+      p2(`Campo libero JSON (UTENTI_CONFIG.JSON_METADATA) per dati applicativi del backend. Deve essere JSON valido se il backend lo interpreta.`)
+    ]
+  },
+  "user-set-password": {
+    title: "Imposta password",
+    blocks: [
+      p2(`Imposta direttamente una nuova password locale: viene hashata dal backend e la scadenza segue la policy. Nessuna email viene inviata.`),
+      p2(`Requisiti di sicurezza:`),
+      list2([
+        `Almeno 8 caratteri (massimo 100).`,
+        `Almeno una lettera maiuscola e una minuscola.`,
+        `Almeno una cifra e un carattere speciale (es. ! ? @ # $ %).`,
+        `Nessuno spazio e non deve essere una password comune.`
+      ]),
+      note2("danger", "Password non conforme", `Se non rispetta i requisiti l API risponde 400 con codice ACCESSI_WEAK_PASSWORD e l elenco dei requisiti mancanti; la password non viene salvata.`),
+      note2("warn", "Sostituisce la password attuale", `L'utente dovr\xE0 usare subito la nuova password. Per fargliela scegliere, usa "Invia reset password".`)
+    ]
+  },
+  "user-filter-numrep": {
+    title: "Numero reparto (NUMREP)",
+    blocks: [p2(`Reparto associato all'utente nella tabella FILTRI. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-idxpers": {
+    title: "Indice personale (IDXPERS)",
+    blocks: [p2(`Indice del personale nella tabella FILTRI. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclisuper": {
+    title: "Cliente padre (CODCLISUPER)",
+    blocks: [p2(`Codice del cliente padre. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codage": {
+    title: "Agente (CODAGE)",
+    blocks: [p2(`Codice dell'agente associato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclicol": {
+    title: "Cliente collegato (CODCLICOL)",
+    blocks: [p2(`Codice del cliente collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codclienti": {
+    title: "Clienti (CODCLIENTI)",
+    blocks: [p2(`Elenco di codici cliente separati da virgola (testo libero). Vuoto rimuove il valore.`)]
+  },
+  "user-filter-tipfil": {
+    title: "Tipo filtro (TIPFIL)",
+    blocks: [p2(`Tipo di filtro applicato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-idxpos": {
+    title: "Postazione (IDXPOS)",
+    blocks: [p2(`Indice della postazione nella tabella ANTENNE_POS. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-coddip": {
+    title: "Dipendente (CODDIP)",
+    blocks: [p2(`Codice del dipendente collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-filter-codvet": {
+    title: "Vettore (CODVET)",
+    blocks: [p2(`Codice del vettore collegato. Vuoto rimuove il valore.`)]
+  },
+  "user-super": {
+    title: "Superutente (FLGSUPER)",
+    blocks: [
+      p2(`Assegna il flag superutente. Un superutente riceve TUTTE le abilitazioni al livello massimo (30) dopo il login e in console vede solo la sezione Utenti, dove gestisce utenti, ruoli e grant.`),
+      note2("warn", "Non \xE8 un ruolo", `Il flag non sostituisce i ruoli o i grant: li amplia assegnando ogni menu attivo al livello massimo. Usalo solo per gli amministratori di Accessi.`),
+      note2("info", "Chi lo modifica", `Un admin pu\xF2 assegnare o togliere sia Admin sia Superutente; un superutente senza Admin pu\xF2 gestire solo il flag Superutente. La verifica \xE8 ripetuta dal backend.`)
+    ]
+  },
+  "user-admin": {
+    title: "Admin (FLGADMIN)",
+    blocks: [
+      p2(`Assegna il flag admin. Un admin accede a tutta la console (catalogo, token di servizio, SSO e utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI e RUOLI_MNU.`),
+      note2("info", "Pu\xF2 gestire i flag", `Un admin pu\xF2 assegnare o togliere sia il flag Admin sia il flag Superutente. Un superutente senza Admin non pu\xF2 modificare il flag Admin.`)
+    ]
+  },
   "user-state": {
     title: "Stato di registrazione",
     blocks: [
@@ -1892,7 +2061,16 @@ var HELP = {
     title: "Imposta stato eliminato",
     blocks: [
       p2(`Esegue un soft delete: imposta lo stato di registrazione a "Eliminato" (50). L'utente non pu\xF2 pi\xF9 accedere, ma i dati restano nel database.`),
-      note2("info", "Reversibile", `Non \xE8 una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`)
+      note2("info", "Reversibile", `Non \xE8 una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),
+      note2("info", "Chi pu\xF2 farlo", `Sia admin sia superutente possono eseguire il soft delete.`)
+    ]
+  },
+  "user-delete-permanent": {
+    title: "Elimina definitivamente",
+    blocks: [
+      p2(`Cancella l'utente e tutti i record collegati (configurazione, password, ruoli, abilitazioni, filtri, identit\xE0 SSO, challenge 2FA e GDPR). Operazione irreversibile.`),
+      note2("danger", "Non reversibile", `I dati vengono rimossi fisicamente dal database; non \xE8 possibile ripristinare l'utente.`),
+      note2("info", "Solo admin", `Il pulsante \xE8 mostrato e accettato solo per il flag Admin. Un superutente senza Admin pu\xF2 solo flaggare l'utente come eliminato.`)
     ]
   },
   // ----------------------------------------------------- selezioni di menu
@@ -2400,19 +2578,48 @@ async function bootstrap() {
     byId("login-error").textContent = error instanceof Error ? error.message : "Sessione non valida.";
   }
 }
+async function exchangeConsoleEntry(ticket) {
+  try {
+    const response = await fetch(`${consoleBasePath}/entry/exchange`, {
+      method: "POST",
+      headers: { "Content-Type": "application/json", Accept: "application/json" },
+      body: JSON.stringify({ ticket })
+    });
+    const payload = await response.json().catch(() => void 0);
+    const value = payload?.Result?.token?.value;
+    if (!response.ok || typeof value !== "string" || value === "") {
+      throw new Error(payload?.message ?? "Apertura automatica della console non riuscita.");
+    }
+    token = value;
+    sessionStorage.setItem("accessi-console-token", value);
+    setAccessiConsoleToken(value);
+    await bootstrap();
+  } catch (error) {
+    token = null;
+    setAccessiConsoleToken(null);
+    sessionStorage.removeItem("accessi-console-token");
+    finishBoot("login");
+    byId("login-error").textContent = error instanceof Error ? error.message : "Apertura automatica della console non riuscita.";
+  }
+}
 async function showUsers() {
   const { users, total } = await loadUsersPage();
   usersTotal = total;
   const totalPages = Math.max(1, Math.ceil(total / USERS_PAGE_SIZE));
   if (usersPage >= totalPages) usersPage = totalPages - 1;
-  render(`<div class="toolbar"><button id="new-local">Nuovo utente locale</button>${federatedAuthenticationAvailable ? '<button id="new-sso">Nuovo utente SSO</button>' : ""}<button id="reload-users" class="secondary">Aggiorna</button></div>
+  render(`<div class="toolbar"><button id="new-local">Nuovo utente locale</button>${federatedAuthenticationAvailable ? '<button id="new-sso">Nuovo utente SSO</button>' : ""}<button id="reload-users" class="secondary">Aggiorna</button><button id="reset-legacy" class="secondary">Invia reset password legacy</button></div>
     <div class="pager-row pager-row-top">${pagerMarkup(totalPages)}</div>
     <table><thead><tr><th>Utente</th><th>Stato</th><th>Accesso</th><th>2FA</th><th>Ruoli</th><th></th></tr></thead><tbody>
-    ${users.map(({ utente, userGrants }) => `<tr><td>${escapeHtml(utente.email)}<br><span class="muted">${escapeHtml(utente.nome)} ${escapeHtml(utente.cognome)}</span></td><td>${escapeHtml(utente.statoRegistrazione)}</td><td>${utente.passwordlessLoginEnabled ? "codice email" : utente.passwordLoginEnabled === false ? "solo SSO" : "password"}</td><td>${utente.flagDueFattori ? "Attiva" : "Disattiva"}</td><td class="roles-col">${rolesCell(utente.codiceUtente, userGrants)}</td><td><button data-user="${utente.codiceUtente}">Gestisci</button></td></tr>`).join("") || '<tr><td colspan="6" class="muted">Nessun utente.</td></tr>'}
+    ${users.map(({ utente, userGrants }) => `<tr><td>${escapeHtml(utente.email)}<br><span class="muted">${escapeHtml(utente.nome)} ${escapeHtml(utente.cognome)}</span></td><td>${escapeHtml(utente.statoRegistrazione)}</td><td>${utente.passwordlessLoginEnabled ? "codice email" : utente.passwordLoginEnabled === false ? "solo SSO" : "password"}</td><td>${utente.flagDueFattori ? "Attiva" : "Disattiva"}</td><td class="roles-col">${rolesCell(utente.codiceUtente, userGrants)}</td><td><button data-user="${utente.codiceUtente}"${canManageUser(utente) ? "" : ' disabled title="Non puoi gestire un utente di rango superiore" aria-disabled="true"'}>Gestisci</button></td></tr>`).join("") || '<tr><td colspan="6" class="muted">Nessun utente.</td></tr>'}
     </tbody></table><div class="pager-row pager-row-bottom">${pagerMarkup(totalPages)}</div>`);
   byId("new-local").onclick = () => showLocalUserForm();
   if (federatedAuthenticationAvailable) byId("new-sso").onclick = () => handleAction(showSsoUserForm);
   byId("reload-users").onclick = () => handleAction(() => show("users"));
+  byId("reset-legacy").onclick = () => handleAction(async () => {
+    if (!window.confirm("Inviare l email di reset a tutti gli utenti con password non ancora migrata? Richiede un servizio email configurato.")) return;
+    await forcePasswordResetLegacy();
+    showNotice("Email di reset inviate agli utenti con password legacy.");
+  });
   document.querySelectorAll("[data-goto]").forEach((button) => {
     button.onclick = () => handleAction(async () => {
       const target = button.dataset.goto;
@@ -2435,15 +2642,160 @@ function authenticationPolicyFields(user) {
     <p class="form-help">Accesso senza password (richiede il codice email).</p>
     </fieldset>`;
 }
+function canManageSuperFlag() {
+  return Boolean(currentUser?.flagSuper || currentUser?.flagAdmin);
+}
+function canManageAdminFlag() {
+  return Boolean(currentUser?.flagAdmin);
+}
+function consoleUserRank(user) {
+  if (user?.flagAdmin) return 2;
+  if (user?.flagSuper) return 1;
+  return 0;
+}
+function canManageUser(user) {
+  if (currentUser && user.codiceUtente === currentUser.codiceUtente) return true;
+  return consoleUserRank(currentUser) >= consoleUserRank(user);
+}
+function setUserManagementEnabled(enabled) {
+  for (const id of ["disable-user", "purge-user", "save-state", "set-password", "save-profile", "set-gdpr"]) {
+    const element = document.getElementById(id);
+    if (element) element.disabled = !enabled;
+  }
+  for (const selector of ["#roles button", "#grants button", "#link-sso button"]) {
+    document.querySelectorAll(selector).forEach((button) => {
+      button.disabled = !enabled;
+    });
+  }
+  for (const selector of ["#profile", "#password-form", "#roles", "#grants", "#link-sso"]) {
+    document.querySelectorAll(
+      `${selector} input, ${selector} select, ${selector} textarea`
+    ).forEach((field) => {
+      field.disabled = !enabled;
+    });
+  }
+  document.querySelectorAll("[data-identity-toggle], [data-identity-delete]").forEach((button) => {
+    button.disabled = !enabled;
+  });
+}
+function privilegeFields(user) {
+  const manageSuper = canManageSuperFlag();
+  const manageAdmin = canManageAdminFlag();
+  if (!manageSuper && !manageAdmin) return "";
+  return `<fieldset><legend>Privilegi Accessi (opzionale)</legend>
+    ${manageAdmin ? `<label class="check"><input name="flagAdmin" type="checkbox" ${user.flagAdmin ? "checked" : ""}> Admin ${helpDot("user-admin")}</label><p class="form-help">Accede a tutta la console (catalogo, token, SSO, utenti) e puo gestire i flag. Non modifica le abilitazioni.</p>` : ""}
+    ${manageSuper ? `<label class="check"><input name="flagSuper" type="checkbox" ${user.flagSuper ? "checked" : ""}> Superutente ${helpDot("user-super")}</label><p class="form-help">Riceve tutte le abilitazioni al livello massimo e gestisce utenti, ruoli e grant.</p>` : ""}
+    </fieldset>`;
+}
+function privilegePayload(form) {
+  const fields = new FormData(form);
+  const payload = {};
+  if (canManageSuperFlag()) payload.flagSuper = fields.has("flagSuper");
+  if (canManageAdminFlag()) payload.flagAdmin = fields.has("flagAdmin");
+  return payload;
+}
+function optionalText(values, key) {
+  if (!(key in values)) return void 0;
+  const raw = (values[key] ?? "").trim();
+  return raw === "" ? null : raw;
+}
+function optionalNumber(values, key) {
+  if (!(key in values)) return void 0;
+  const raw = (values[key] ?? "").trim();
+  if (raw === "") return null;
+  const parsed = Number(raw);
+  return Number.isFinite(parsed) ? parsed : null;
+}
+function passwordPolicyViolations(password) {
+  const violations = [];
+  if (password.length < 8) violations.push("almeno 8 caratteri");
+  if (password.length > 100) violations.push("al massimo 100 caratteri");
+  if (/\s/.test(password)) violations.push("nessuno spazio");
+  if (!/[A-Z]/.test(password)) violations.push("una lettera maiuscola");
+  if (!/[a-z]/.test(password)) violations.push("una lettera minuscola");
+  if (!/\d/.test(password)) violations.push("una cifra");
+  if (!/[^A-Za-z0-9]/.test(password)) violations.push("un carattere speciale");
+  return violations;
+}
+function dateInputValue(value) {
+  const text = typeof value === "string" ? value : "";
+  const match = /^(\d{4}-\d{2}-\d{2})/.exec(text);
+  return match?.[1] ?? "";
+}
+function extendedProfileFields(user) {
+  return `<fieldset><legend>Anagrafica estesa</legend>
+    <label>Cellulare ${helpDot("user-cellulare")}<input name="cellulare" maxlength="30" value="${escapeHtml(user.cellulare ?? "")}"></label>
+    <label>Codice lingua ${helpDot("user-lingua")}<input name="codiceLingua" maxlength="2" value="${escapeHtml(user.codiceLingua ?? "")}"></label>
+    <label>Avatar ${helpDot("user-avatar")}<input name="avatar" maxlength="30" value="${escapeHtml(user.avatar ?? "")}"></label>
+    <label>Scadenza password ${helpDot("user-scadenza-password")}<input name="dataScadenzaPassword" type="date" value="${dateInputValue(user.dataScadenzaPassword)}"></label>
+    <fieldset class="gdpr-status"><legend>GDPR ${helpDot("user-gdpr")}</legend><p class="form-help">${user.flagGdpr ? `Consenso registrato${dateInputValue(user.dataGdpr) ? ` il ${escapeHtml(dateInputValue(user.dataGdpr))}` : ""}.` : "Consenso non ancora registrato."}</p><button type="button" id="set-gdpr" class="secondary">Registra consenso GDPR</button></fieldset>
+    <label>Metadata JSON ${helpDot("user-json")}<textarea name="jsonMetadata" rows="3">${escapeHtml(user.jsonMetadata ?? "")}</textarea></label>
+    </fieldset>`;
+}
+function filterFields(user) {
+  return `<fieldset><legend>Filtri utente (FILTRI)</legend>
+    <label>Numero reparto ${helpDot("user-filter-numrep")}<input name="numRep" type="number" value="${escapeHtml(user.numRep ?? "")}"></label>
+    <label>Indice personale ${helpDot("user-filter-idxpers")}<input name="idxPers" type="number" value="${escapeHtml(user.idxPers ?? "")}"></label>
+    <label>Cliente padre ${helpDot("user-filter-codclisuper")}<input name="codCliSuper" type="number" value="${escapeHtml(user.codCliSuper ?? "")}"></label>
+    <label>Agente ${helpDot("user-filter-codage")}<input name="codAge" type="number" value="${escapeHtml(user.codAge ?? "")}"></label>
+    <label>Cliente collegato ${helpDot("user-filter-codclicol")}<input name="codCliCol" type="number" value="${escapeHtml(user.codCliCol ?? "")}"></label>
+    <label>Clienti (separati da virgola) ${helpDot("user-filter-codclienti")}<input name="codClienti" value="${escapeHtml(user.codClienti ?? "")}"></label>
+    <label>Tipo filtro ${helpDot("user-filter-tipfil")}<input name="tipFil" type="number" value="${escapeHtml(user.tipFil ?? "")}"></label>
+    <label>Postazione ${helpDot("user-filter-idxpos")}<input name="idxPos" type="number" value="${escapeHtml(user.idxPos ?? "")}"></label>
+    <label>Dipendente ${helpDot("user-filter-coddip")}<input name="codDip" type="number" value="${escapeHtml(user.codDip ?? "")}"></label>
+    <label>Vettore ${helpDot("user-filter-codvet")}<input name="codVet" type="number" value="${escapeHtml(user.codVet ?? "")}"></label>
+    </fieldset>`;
+}
+function profilePayload(form, codiceUtente) {
+  const values = formValues(form);
+  const fields = new FormData(form);
+  const payload = {
+    codiceUtente,
+    email: values.email ?? "",
+    nome: optionalText(values, "nome"),
+    cognome: optionalText(values, "cognome"),
+    cellulare: optionalText(values, "cellulare"),
+    codiceLingua: optionalText(values, "codiceLingua"),
+    avatar: optionalText(values, "avatar"),
+    paginaDefault: optionalText(values, "paginaDefault"),
+    jsonMetadata: optionalText(values, "jsonMetadata"),
+    dataScadenzaPassword: optionalText(values, "dataScadenzaPassword"),
+    flagDueFattori: fields.has("flagDueFattori"),
+    passwordlessLoginEnabled: fields.has("passwordlessLoginEnabled"),
+    numRep: optionalNumber(values, "numRep"),
+    idxPers: optionalNumber(values, "idxPers"),
+    codCliSuper: optionalNumber(values, "codCliSuper"),
+    codAge: optionalNumber(values, "codAge"),
+    codCliCol: optionalNumber(values, "codCliCol"),
+    codClienti: optionalText(values, "codClienti"),
+    tipFil: optionalNumber(values, "tipFil"),
+    idxPos: optionalNumber(values, "idxPos"),
+    codDip: optionalNumber(values, "codDip"),
+    codVet: optionalNumber(values, "codVet"),
+    ...privilegePayload(form)
+  };
+  if (federatedAuthenticationAvailable) {
+    payload.passwordLoginEnabled = fields.has("passwordLoginEnabled");
+  }
+  return payload;
+}
+function passwordFields() {
+  return `<form id="password-form" class="user-editor-section" data-user-panel="profile" role="tabpanel" aria-labelledby="user-tab-profile">
+    <h3>Password</h3>
+    <label>Nuova password ${helpDot("user-set-password")}<input name="newPassword" type="password" autocomplete="new-password" minlength="8" maxlength="100"><span class="form-help">Almeno 8 caratteri con maiuscola, minuscola, cifra e carattere speciale; nessuno spazio. Viene salvata come hash e la scadenza segue la policy; nessuna email inviata.</span></label>
+    <button type="submit" id="set-password" class="secondary">Imposta password</button>
+    </form>`;
+}
 function showLocalUserForm() {
   render(`<button id="back">Indietro</button><h2>Nuovo utente locale</h2><p class="muted">Viene inviata l'e-mail per impostare la password.</p>
-    <form id="local-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Identificativo di accesso; ricever\xC3\xA0 l'email per la password.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label><button>Crea utente</button></form>`);
+    <form id="local-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Identificativo di accesso; ricever\xC3\xA0 l'email per la password.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${privilegeFields({})}<button>Crea utente</button></form>`);
   byId("back").onclick = () => show("users");
   const localUserForm = document.getElementById("local-user");
   if (localUserForm) localUserForm.onsubmit = (event) => {
     event.preventDefault();
     handleAction(async () => {
-      await createManagedUser(formValues(eventForm(event)));
+      const form = eventForm(event);
+      await createManagedUser({ ...formValues(form), ...privilegePayload(form) });
       showNotice("Utente creato; inviata la procedura di impostazione password.");
       await show("users");
     });
@@ -2455,7 +2807,7 @@ async function showSsoUserForm() {
     throw new Error("Prima di creare un utente SSO, censisci e abilita almeno un provider SSO.");
   }
   render(`<button id="back">Indietro</button><h2>Nuovo utente SSO</h2><p class="muted">Salva solo collegamenti gi\xC3\xA0 verificati dal backend.</p>
-    <form id="sso-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Email di contatto e identificativo Accessi dell'utente.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${federatedIdentityFields(providers)}<label class="check"><input name="passwordLoginEnabled" type="checkbox"> Abilita anche la password locale ${helpDot("user-password-login")}</label><span class="form-help">Se disattivato, l'utente accede solo via SSO.</span><button>Crea utente SSO</button></form>`);
+    <form id="sso-user"><label>Email ${helpDot("user-email")}<input name="email" type="email" required><span class="form-help">Email di contatto e identificativo Accessi dell'utente.</span></label><label>Nome ${helpDot("user-name")}<input name="nome"></label><label>Cognome ${helpDot("user-name")}<input name="cognome"></label>${federatedIdentityFields(providers)}<label class="check"><input name="passwordLoginEnabled" type="checkbox"> Abilita anche la password locale ${helpDot("user-password-login")}</label><span class="form-help">Se disattivato, l'utente accede solo via SSO.</span>${privilegeFields({})}<button>Crea utente SSO</button></form>`);
   byId("back").onclick = () => show("ssoUsers");
   const ssoUserForm = document.getElementById("sso-user");
   if (ssoUserForm) ssoUserForm.onsubmit = (event) => {
@@ -2468,11 +2820,11 @@ async function showSsoUserForm() {
         subject: values.subject ?? "",
         note: values.note || void 0,
         passwordLoginEnabled: new FormData(form).has("passwordLoginEnabled"),
-        user: { email: values.email ?? "", nome: values.nome || void 0, cognome: values.cognome || void 0 }
+        user: { email: values.email ?? "", nome: values.nome || void 0, cognome: values.cognome || void 0, ...privilegePayload(form) }
       };
       await createFederatedUser(request);
       showNotice("Utente SSO creato e collegamento registrato.");
-      await show("ssoUsers");
+      await show(currentUser?.flagAdmin ? "ssoUsers" : "users");
     });
   };
 }
@@ -2570,9 +2922,11 @@ async function showUser(rawCode) {
   const linked = federatedAuthenticationAvailable ? result(await getFederatedIdentities(codiceUtente)) : [];
   const identitySection = federatedAuthenticationAvailable ? federatedIdentitySection(linked, providerList) : "";
   const defaultUserTab = federatedAuthenticationAvailable ? "sso" : "profile";
-  render(`<div class="user-action-bar"><button id="back" type="button" class="secondary">Indietro</button><label class="inline-field">Stato registrazione ${helpDot("user-state")}<select id="user-state">${registrationStateOptions(user.statoRegistrazione)}</select></label><button id="save-state" type="button" class="secondary">Aggiorna stato</button><button id="disable-user" type="button" class="danger-button">Imposta stato eliminato</button>${helpDot("user-delete")}</div><div class="page-header"><div><p class="eyebrow">Utente ${codiceUtente}</p><h2>${escapeHtml(user.email)}</h2></div><span class="muted">Gestione profilo, ruoli e autorizzazioni</span></div>${userDetailTabs(federatedAuthenticationAvailable)}<div class="user-editor">
+  const manageable = canManageUser(user);
+  render(`${manageable ? "" : '<div class="notice notice-error" role="alert"><span class="notice-icon" aria-hidden="true">!</span><span class="notice-text">Stai visualizzando un utente di rango superiore: scheda in sola lettura.</span></div>'}<div class="user-action-bar"><button id="back" type="button" class="secondary">Indietro</button><label class="inline-field">Stato registrazione ${helpDot("user-state")}<select id="user-state">${registrationStateOptions(user.statoRegistrazione)}</select></label><button id="save-state" type="button" class="secondary">Aggiorna stato</button><button id="disable-user" type="button" class="danger-button">Imposta stato eliminato</button>${helpDot("user-delete")}${currentUser?.flagAdmin ? `<button id="purge-user" type="button" class="danger-button">Elimina definitivamente</button>${helpDot("user-delete-permanent")}` : ""}</div><div class="page-header"><div><p class="eyebrow">Utente ${codiceUtente}</p><h2>${escapeHtml(user.email)}</h2></div><span class="muted">Gestione profilo, ruoli e autorizzazioni</span></div>${userDetailTabs(federatedAuthenticationAvailable)}<div class="user-editor">
     ${identitySection}
-    <form id="profile" data-user-panel="profile" role="tabpanel" aria-labelledby="user-tab-profile"><h3>Profilo e accesso</h3><label>Nome ${helpDot("user-name")}<input name="nome" value="${escapeHtml(user.nome)}"></label><label>Cognome ${helpDot("user-name")}<input name="cognome" value="${escapeHtml(user.cognome)}"></label><label>Email ${helpDot("user-email")}<input name="email" type="email" value="${escapeHtml(user.email)}" required><span class="form-help">Identificativo di accesso e recapito.</span></label><label>Pagina di default ${helpDot("user-default-page")}<input name="paginaDefault" maxlength="50" value="${escapeHtml(user.paginaDefault)}"><span class="form-help">Pagina mostrata dopo il login (percorso o codice pagina).</span></label>${federatedAuthenticationAvailable ? `<label class="check"><input name="passwordLoginEnabled" type="checkbox" ${user.passwordLoginEnabled !== false ? "checked" : ""}> Login con password ${helpDot("user-password-login")}</label><span class="form-help">Se disabilitato, il login con email e password restituisce un errore esplicito; restano valide le identit\xC3\xA0 SSO attive.</span>` : ""}${authenticationPolicyFields(user)}<button>Salva</button></form>
+    <form id="profile" data-user-panel="profile" role="tabpanel" aria-labelledby="user-tab-profile"><h3>Profilo e accesso</h3><label>Nome ${helpDot("user-name")}<input name="nome" value="${escapeHtml(user.nome)}"></label><label>Cognome ${helpDot("user-name")}<input name="cognome" value="${escapeHtml(user.cognome)}"></label><label>Email ${helpDot("user-email")}<input name="email" type="email" value="${escapeHtml(user.email)}" required><span class="form-help">Identificativo di accesso e recapito.</span></label><label>Pagina di default ${helpDot("user-default-page")}<input name="paginaDefault" maxlength="50" value="${escapeHtml(user.paginaDefault)}"><span class="form-help">Pagina mostrata dopo il login (percorso o codice pagina).</span></label>${federatedAuthenticationAvailable ? `<label class="check"><input name="passwordLoginEnabled" type="checkbox" ${user.passwordLoginEnabled !== false ? "checked" : ""}> Login con password ${helpDot("user-password-login")}</label><span class="form-help">Se disabilitato, il login con email e password restituisce un errore esplicito; restano valide le identit\xC3\xA0 SSO attive.</span>` : ""}${authenticationPolicyFields(user)}${extendedProfileFields(user)}${privilegeFields(user)}${filterFields(user)}<button id="save-profile" type="submit">Salva</button></form>
+    ${passwordFields()}
     ${roleAssignmentEditor(allRoles, userGrants.ruoli, menuGroups)}
     ${directGrantEditor(menuGroups, userGrants.abilitazioni)}
     </div>`);
@@ -2602,25 +2956,16 @@ async function showUser(rawCode) {
     profileForm.onsubmit = (event) => {
       event.preventDefault();
       handleAction(async () => {
-        const values = formValues(eventForm(event));
-        const fields = new FormData(eventForm(event));
-        await updateUtente(codiceUtente, {
-          codiceUtente,
-          email: values.email ?? "",
-          nome: values.nome || void 0,
-          cognome: values.cognome || void 0,
-          paginaDefault: values.paginaDefault || void 0,
-          flagDueFattori: fields.has("flagDueFattori"),
-          passwordlessLoginEnabled: fields.has("passwordlessLoginEnabled"),
-          ...federatedAuthenticationAvailable ? { passwordLoginEnabled: fields.has("passwordLoginEnabled") } : {}
-        });
-        if (codiceUtente === currentUser?.codiceUtente && (fields.has("flagDueFattori") !== Boolean(user.flagDueFattori) || fields.has("passwordlessLoginEnabled") !== Boolean(user.passwordlessLoginEnabled))) {
+        const form = eventForm(event);
+        const fields = new FormData(form);
+        await updateUtente(codiceUtente, profilePayload(form, codiceUtente));
+        if (codiceUtente === currentUser?.codiceUtente && (fields.has("flagDueFattori") !== Boolean(user.flagDueFattori) || fields.has("passwordlessLoginEnabled") !== Boolean(user.passwordlessLoginEnabled) || canManageSuperFlag() && fields.has("flagSuper") !== Boolean(user.flagSuper) || canManageAdminFlag() && fields.has("flagAdmin") !== Boolean(user.flagAdmin))) {
           token = null;
           sessionStorage.removeItem("accessi-console-token");
           setAccessiConsoleToken(null);
           resetLogin();
           await bootstrap();
-          byId("login-error").textContent = "Policy aggiornata. Accedi di nuovo con la nuova configurazione.";
+          byId("login-error").textContent = "Privilegi o policy aggiornati. Accedi di nuovo con la nuova configurazione.";
           return;
         }
         await showUser(String(codiceUtente));
@@ -2629,6 +2974,26 @@ async function showUser(rawCode) {
       });
     };
   }
+  const passwordForm = document.getElementById("password-form");
+  if (passwordForm) passwordForm.onsubmit = (event) => {
+    event.preventDefault();
+    handleAction(async () => {
+      const newPassword = (document.querySelector('#password-form input[name="newPassword"]')?.value ?? "").trim();
+      const violations = passwordPolicyViolations(newPassword);
+      if (violations.length > 0) throw new Error(`La password non rispetta i requisiti: richiede ${violations.join(", ")}.`);
+      if (!window.confirm(`Impostare una nuova password per ${user.email}?`)) return;
+      await setUserPassword(codiceUtente, { newPassword });
+      showNotice("Password aggiornata.");
+      await showUser(String(codiceUtente));
+    });
+  };
+  const setGdprButton = document.getElementById("set-gdpr");
+  if (setGdprButton) setGdprButton.onclick = () => handleAction(async () => {
+    if (!window.confirm(`Registrare il consenso GDPR per ${user.email}?`)) return;
+    await setGdpr(codiceUtente);
+    showNotice("Consenso GDPR registrato.");
+    await showUser(String(codiceUtente));
+  });
   const rolesForm = document.getElementById("roles");
   if (rolesForm) rolesForm.onsubmit = (event) => {
     event.preventDefault();
@@ -2688,6 +3053,14 @@ async function showUser(rawCode) {
     showNotice("Utente impostato come eliminato.");
     await show("users");
   });
+  const purgeUser = document.getElementById("purge-user");
+  if (purgeUser) purgeUser.onclick = () => handleAction(async () => {
+    if (!window.confirm(`Eliminare DEFINITIVAMENTE l'utente ${user.email} e tutti i dati collegati? Operazione irreversibile.`)) return;
+    await deleteUserPermanently(codiceUtente);
+    showNotice("Utente eliminato definitivamente.");
+    await show("users");
+  });
+  if (!manageable) setUserManagementEnabled(false);
 }
 async function showRoles() {
   const [rolesResponse, groupsResponse] = await Promise.all([getRoles(), getGroupsWithMenus({ includeDisabled: true })]);
@@ -3399,8 +3772,12 @@ window.addEventListener("keydown", (event) => {
 });
 window.addEventListener("resize", positionHelp);
 window.addEventListener("scroll", positionHelp, true);
+var entryTicket = /^#entry=([a-f0-9]{64})$/i.exec(window.location.hash)?.[1];
 var ssoChallenge = /^#two-factor=([a-f0-9]{64})$/.exec(window.location.hash)?.[1];
-if (ssoChallenge) {
+if (entryTicket) {
+  window.history.replaceState(null, "", window.location.pathname);
+  void exchangeConsoleEntry(entryTicket);
+} else if (ssoChallenge) {
   token = null;
   setAccessiConsoleToken(null);
   sessionStorage.removeItem("accessi-console-token");