emilsoftware-utilities 2.0.0-dev.6 → 2.0.0-dev.61

package/dist/accessi-module/Console/help.js

@@ -0,0 +1,417 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.HELP = void 0;
+const p = (text) => ({ kind: 'p', text });
+const list = (items) => ({ kind: 'list', items });
+const code = (language, codeText, title) => ({ kind: 'code', language, title, code: codeText });
+const note = (tone, title, text) => ({ kind: 'callout', tone, title, text });
+const table = (head, rows) => ({ kind: 'table', head, rows });
+exports.HELP = {
+    // ------------------------------------------------------------------ SSO
+    'sso-provider': {
+        title: 'Provider SSO',
+        blocks: [
+            p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),
+            p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),
+            note('info', 'Chi crea il provider', `Prima si censisce il provider in "SSO → Provider" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),
+        ],
+    },
+    'sso-subject': {
+        title: 'ID utente del provider (subject)',
+        blocks: [
+            p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),
+            p(`Ecco il claim corretto per i provider più comuni:`),
+            table(['Provider', 'Claim da usare', 'Note'], [
+                ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],
+                ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],
+                ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],
+                ['Okta', 'sub', 'Claim standard OIDC.'],
+                ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],
+                ['Keycloak', 'sub', 'Claim standard OIDC.'],
+                ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],
+                ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],
+                ['OIDC generico', 'sub', 'Claim standard OIDC.'],
+            ]),
+            note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),
+            code('ts', [
+                '// Nel backend, dopo aver validato il token del provider:',
+                '// Azure AD / Entra ID',
+                "const subject = claims.oid;",
+                '// Google / Okta / Keycloak / OIDC generico',
+                "const subject = claims.sub;",
+                '// Apple (disponibile al primo login, salvalo subito)',
+                "const subject = claims.sub;",
+                '// SAML',
+                "const subject = assertion.nameId;",
+            ].join('\n'), 'Come ricavare il subject'),
+        ],
+    },
+    'sso-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio "migrato da AD il 2026-01-10"). Non viene inviata al provider.`),
+        ],
+    },
+    'provider-key': {
+        title: 'Chiave provider',
+        blocks: [
+            p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),
+            note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),
+        ],
+    },
+    'provider-description': {
+        title: 'Descrizione',
+        blocks: [
+            p(`Nome leggibile mostrato agli amministratori (per esempio "Azure AD – Acme produzione"). Non è la chiave tecnica: può contenere spazi.`),
+        ],
+    },
+    'provider-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),
+        ],
+    },
+    'provider-active': {
+        title: 'Provider attivo',
+        blocks: [
+            p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),
+        ],
+    },
+    // --------------------------------------------------------- service token
+    'token-label': {
+        title: 'Descrizione del token',
+        blocks: [
+            p(`Nome del token, mostrato agli amministratori (per esempio "Integrazione IA – produzione"). Non è un segreto.`),
+        ],
+    },
+    'token-scopes': {
+        title: 'Scope',
+        blocks: [
+            p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),
+            list([
+                `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,
+                `Esempi: ia, chat, tools, report:read.`,
+                `Separa gli scope con una virgola.`,
+            ]),
+            code('ts', [
+                '@UseGuards(ServiceTokenGuard)',
+                "@RequireServiceTokenScopes('ia')",
+                '@Post("internal/ask")',
+                'ask() { /* il token deve avere lo scope ia */ }',
+            ].join('\n'), 'Come li usa il backend'),
+            note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),
+        ],
+    },
+    'token-ttl': {
+        title: 'Durata (giorni)',
+        blocks: [
+            p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),
+            note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),
+        ],
+    },
+    // ----------------------------------------------------------------- utenti
+    'user-email': {
+        title: 'Email',
+        blocks: [
+            p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),
+        ],
+    },
+    'user-name': {
+        title: 'Nome e cognome',
+        blocks: [
+            p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),
+        ],
+    },
+    'user-password-login': {
+        title: 'Login con password',
+        blocks: [
+            p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),
+            note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),
+        ],
+    },
+    'user-2fa': {
+        title: 'Codice via email (2FA)',
+        blocks: [
+            p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),
+            list([
+                `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,
+                `Non sono token: fino alla verifica non esiste alcun JWT.`,
+            ]),
+        ],
+    },
+    'user-passwordless': {
+        title: 'Accesso con il solo codice email',
+        blocks: [
+            p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),
+            note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),
+        ],
+    },
+    'user-default-page': {
+        title: 'Pagina di default',
+        blocks: [
+            p(`Percorso o codice della pagina verso cui indirizzare l'utente dopo il login. Esempio: /dashboard oppure la chiave di una pagina gestita dal frontend.`),
+            p(`La console propone in autocomplete tutte le rotte presenti nel catalogo dei menu. Puoi filtrare la lista scrivendo oppure inserire un valore libero.`),
+            p(`E una stringa libera (massimo 50 caratteri): la libreria la conserva e la restituisce nel profilo; l'instradamento effettivo lo decide il frontend.`),
+        ],
+    },
+    'user-cellulare': {
+        title: 'Cellulare',
+        blocks: [
+            p(`Numero di cellulare dell'utente (UTENTI_CONFIG.CELLULARE). È il recapito canonico per SMS o notifiche applicative; Accessi non lo invia da solo.`),
+        ],
+    },
+    'user-lingua': {
+        title: 'Codice lingua',
+        blocks: [
+            p(`Lingua preferita dell'utente (UTENTI_CONFIG.CODLINGUA). Stringa breve come it, en, sl; viene restituita nel profilo e il frontend decide come usarla.`),
+        ],
+    },
+    'user-avatar': {
+        title: 'Avatar',
+        blocks: [
+            p(`Riferimento all'avatar (UTENTI_CONFIG.AVATAR, massimo 30 caratteri): tipicamente un nome file o una chiave, non un base64.`),
+        ],
+    },
+    'user-scadenza-password': {
+        title: 'Scadenza password',
+        blocks: [
+            p(`Data di scadenza della password (UTENTI.DATSCAPWD). Lascia vuoto per non forzare una scadenza; usa una data passata per richiedere il cambio al prossimo login, se la policy è attiva.`),
+        ],
+    },
+    'user-gdpr': {
+        title: 'Consenso GDPR',
+        blocks: [
+            p(`Lo stato mostra se il consenso è registrato. Il pulsante "Registra consenso GDPR" (endpoint set-gdpr) imposta FLGGDPR e DATGDPR e scrive la riga storica in UTENTI_GDPR.`),
+            note('info', 'Completo e tracciato', `A differenza del flag impostato a mano, il flusso dedicato registra anche la data e lo storico dell'accettazione.`),
+        ],
+    },
+    'user-json': {
+        title: 'Metadata JSON',
+        blocks: [
+            p(`Campo libero JSON (UTENTI_CONFIG.JSON_METADATA) per dati applicativi del backend. Deve essere JSON valido se il backend lo interpreta.`),
+        ],
+    },
+    'user-set-password': {
+        title: 'Imposta password',
+        blocks: [
+            p(`Imposta direttamente una nuova password locale: viene hashata dal backend e la scadenza segue la policy. Nessuna email viene inviata.`),
+            p(`Requisiti di sicurezza:`),
+            list([
+                `Almeno 8 caratteri (massimo 100).`,
+                `Almeno una lettera maiuscola e una minuscola.`,
+                `Almeno una cifra e un carattere speciale (es. ! ? @ # $ %).`,
+                `Nessuno spazio e non deve essere una password comune.`,
+            ]),
+            note('danger', 'Password non conforme', `Se non rispetta i requisiti l API risponde 400 con codice ACCESSI_WEAK_PASSWORD e l elenco dei requisiti mancanti; la password non viene salvata.`),
+            note('warn', 'Sostituisce la password attuale', `L'utente dovrà usare subito la nuova password. Per fargliela scegliere, usa "Invia reset password".`),
+        ],
+    },
+    'user-super': {
+        title: 'Superutente (FLGSUPER)',
+        blocks: [
+            p(`Assegna il flag superutente. Un superutente riceve TUTTE le abilitazioni al livello massimo (30) dopo il login e in console vede solo la sezione Utenti, dove gestisce utenti, ruoli e grant.`),
+            note('warn', 'Non è un ruolo', `Il flag non sostituisce i ruoli o i grant: li amplia assegnando ogni menu attivo al livello massimo. Usalo solo per gli amministratori di Accessi.`),
+            note('info', 'Chi lo modifica', `Un admin può assegnare o togliere sia Admin sia Superutente; un superutente senza Admin può gestire solo il flag Superutente. La verifica è ripetuta dal backend.`),
+        ],
+    },
+    'user-admin': {
+        title: 'Admin (FLGADMIN)',
+        blocks: [
+            p(`Assegna il flag admin. Un admin accede a tutta la console (catalogo, token di servizio, SSO e utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI e RUOLI_MNU.`),
+            note('info', 'Può gestire i flag', `Un admin può assegnare o togliere sia il flag Admin sia il flag Superutente. Un superutente senza Admin non può modificare il flag Admin.`),
+        ],
+    },
+    'user-state': {
+        title: 'Stato di registrazione',
+        blocks: [
+            table(['Stato', 'Significato'], [
+                ['Non definito / Inserito', 'Utente non confermato.'],
+                ['Invitato (10)', 'Richiede il rinnovo della password.'],
+                ['Confermato (20)', 'Utente valido, può accedere.'],
+                ['Eliminato (50)', 'Soft delete: login bloccato.'],
+                ['Bloccato (99)', 'Login bloccato.'],
+            ]),
+        ],
+    },
+    // ------------------------------------------------------------------ ruoli
+    'role-description': {
+        title: 'Descrizione del ruolo',
+        blocks: [
+            p(`Nome del ruolo (per esempio "Gestore ordini"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),
+        ],
+    },
+    'role-level': {
+        title: 'Livello di abilitazione',
+        blocks: [
+            table(['Livello', 'Valore', 'Uso tipico'], [
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+                ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],
+            ]),
+            p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),
+        ],
+    },
+    // --------------------------------------------------------- catalogo menu
+    'menu-code': {
+        title: 'Codice menu',
+        blocks: [
+            p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),
+            note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),
+        ],
+    },
+    'menu-group-code': {
+        title: 'Codice gruppo',
+        blocks: [
+            p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-type-code': {
+        title: 'Codice tipo menu',
+        blocks: [
+            p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),
+        ],
+    },
+    'menu-group-order': {
+        title: 'Ordine del gruppo',
+        blocks: [
+            p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-order': {
+        title: 'Ordine del menu',
+        blocks: [
+            p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),
+        ],
+    },
+    'menu-page': {
+        title: 'Pagina',
+        blocks: [
+            p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),
+        ],
+    },
+    'menu-icon': {
+        title: 'Icona',
+        blocks: [
+            p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),
+        ],
+    },
+    'menu-rifmenu': {
+        title: 'Menu di riferimento',
+        blocks: [
+            p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),
+        ],
+    },
+    'menu-note': {
+        title: 'Nota',
+        blocks: [
+            p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),
+        ],
+    },
+    'menu-enabled': {
+        title: 'Menu abilitato',
+        blocks: [
+            p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),
+        ],
+    },
+    'menu-group-enabled': {
+        title: 'Gruppo abilitato',
+        blocks: [
+            p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),
+        ],
+    },
+    // ------------------------------------------------------------ assegnazioni
+    'role-assignment': {
+        title: 'Assegnazione dei ruoli',
+        blocks: [
+            p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),
+            list([
+                `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,
+                `Per rimuovere un ruolo, deselezionalo.`,
+                `Non modificare i grant diretti: quelli si gestiscono nella scheda "Grant diretti".`,
+            ]),
+            note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),
+        ],
+    },
+    'grant-direct': {
+        title: 'Grant diretti',
+        blocks: [
+            p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),
+            list([
+                `Imposta il livello per concedere l'accesso.`,
+                `Scegli "nessuno" per rimuovere il grant diretto.`,
+                `Il salvataggio sostituisce l'intero set di grant diretti.`,
+            ]),
+        ],
+    },
+    'grant-level': {
+        title: 'Livello di grant',
+        blocks: [
+            table(['Voce', 'Valore', 'Significato'], [
+                ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],
+                ['Lettura', '10', 'Sola consultazione.'],
+                ['Scrittura', '20', 'Modifica dei dati.'],
+            ]),
+            p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),
+        ],
+    },
+    'user-delete': {
+        title: 'Imposta stato eliminato',
+        blocks: [
+            p(`Esegue un soft delete: imposta lo stato di registrazione a "Eliminato" (50). L'utente non può più accedere, ma i dati restano nel database.`),
+            note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),
+            note('info', 'Chi può farlo', `Sia admin sia superutente possono eseguire il soft delete.`),
+        ],
+    },
+    'user-delete-permanent': {
+        title: 'Elimina definitivamente',
+        blocks: [
+            p(`Cancella l'utente e tutti i record collegati (configurazione, password, ruoli, abilitazioni, identità SSO, challenge 2FA e GDPR). Operazione irreversibile.`),
+            note('danger', 'Non reversibile', `I dati vengono rimossi fisicamente dal database; non è possibile ripristinare l'utente.`),
+            note('info', 'Solo admin', `Il pulsante è mostrato e accettato solo per il flag Admin. Un superutente senza Admin può solo flaggare l'utente come eliminato.`),
+        ],
+    },
+    'user-login-as': {
+        title: 'Login as',
+        blocks: [
+            p(`Genera un accesso temporaneo all'applicazione come l'utente selezionato. Non richiede la password dell'utente e non modifica il suo profilo.`),
+            note('danger', 'La durata è quella standard', `Il token dura quanto la sessione Accessi standard (jwtOptions.expiresIn). È una credenziale: chiunque ottenga l'URL può usarlo fino alla scadenza per entrare nell'applicazione come l'utente target. Non condividerlo, non salvarlo in log o chat e non incollarlo in documenti.`),
+            note('info', 'Chi può usarlo', `Solo superutenti e admin. Vale la gerarchia ADMIN > SUPER: un superutente non può impersonare un admin.`),
+            p(`Il token viene aggiunto all'URL scelto come parametro di query loginAsToken. Da quel momento è l'applicazione di destinazione a decidere come validarlo e cosa consentire.`),
+        ],
+    },
+    'login-as-url': {
+        title: 'URL dell applicazione',
+        blocks: [
+            p(`Inserisci l'indirizzo assoluto dell'applicazione in cui vuoi entrare, per esempio https://app.example.com/dashboard.`),
+            p(`Il modulo aggiunge automaticamente ?loginAsToken=<token> conservando le query e il fragment già presenti. Sono ammessi solo URL http e https.`),
+            note('warn', 'Nessun controllo sull applicazione', `Accessi non verifica che l'URL appartenga a un ambiente autorizzato: incollalo con attenzione per non inviare il token a un dominio sbagliato.`),
+        ],
+    },
+    // ----------------------------------------------------- selezioni di menu
+    'menu-group-select': {
+        title: 'Gruppo',
+        blocks: [
+            p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in "Menu e gruppi → Gruppi".`),
+        ],
+    },
+    'menu-type-select': {
+        title: 'Tipo menu',
+        blocks: [
+            p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia "Nessun tipo". I tipi si gestiscono in "Menu e gruppi → Tipi menu".`),
+        ],
+    },
+    // ------------------------------------------------------------------ login
+    'login-email': {
+        title: 'Email o utente',
+        blocks: [
+            p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),
+        ],
+    },
+    'login-password': {
+        title: 'Password',
+        blocks: [
+            p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),
+        ],
+    },
+};
+//# sourceMappingURL=help.js.map

package/dist/accessi-module/Console/help.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"help.js","sourceRoot":"","sources":["../../../src/accessi-module/Console/help.ts"],"names":[],"mappings":";;;AAcA,MAAM,CAAC,GAAG,CAAC,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,IAAI,EAAE,CAAC,CAAC;AAC7D,MAAM,IAAI,GAAG,CAAC,KAAe,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC,CAAC;AACvE,MAAM,IAAI,GAAG,CAAC,QAAgB,EAAE,QAAgB,EAAE,KAAc,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,QAAQ,EAAE,KAAK,EAAE,IAAI,EAAE,QAAQ,EAAE,CAAC,CAAC;AACpI,MAAM,IAAI,GAAG,CAAC,IAAuC,EAAE,KAAa,EAAE,IAAY,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;AAC3I,MAAM,KAAK,GAAG,CAAC,IAAc,EAAE,IAAgB,EAAa,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC;AAElF,QAAA,IAAI,GAA8B;IAC7C,yEAAyE;IACzE,cAAc,EAAE;QACd,KAAK,EAAE,cAAc;QACrB,MAAM,EAAE;YACN,CAAC,CAAC,mMAAmM,CAAC;YACtM,CAAC,CAAC,8IAA8I,CAAC;YACjJ,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,2IAA2I,CAAC;SAClL;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,kMAAkM,CAAC;YACrM,CAAC,CAAC,mDAAmD,CAAC;YACtD,KAAK,CACH,CAAC,UAAU,EAAE,gBAAgB,EAAE,MAAM,CAAC,EACtC;gBACE,CAAC,qBAAqB,EAAE,KAAK,EAAE,mDAAmD,CAAC;gBACnF,CAAC,QAAQ,EAAE,KAAK,EAAE,iDAAiD,CAAC;gBACpE,CAAC,OAAO,EAAE,KAAK,EAAE,4FAA4F,CAAC;gBAC9G,CAAC,MAAM,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBACvC,CAAC,OAAO,EAAE,KAAK,EAAE,8CAA8C,CAAC;gBAChE,CAAC,UAAU,EAAE,KAAK,EAAE,sBAAsB,CAAC;gBAC3C,CAAC,2BAA2B,EAAE,KAAK,EAAE,uBAAuB,CAAC;gBAC7D,CAAC,UAAU,EAAE,QAAQ,EAAE,yCAAyC,CAAC;gBACjE,CAAC,eAAe,EAAE,KAAK,EAAE,sBAAsB,CAAC;aACjD,CACF;YACD,IAAI,CAAC,QAAQ,EAAE,mBAAmB,EAAE,mHAAmH,CAAC;YACxJ,IAAI,CAAC,IAAI,EAAE;gBACT,2DAA2D;gBAC3D,wBAAwB;gBACxB,6BAA6B;gBAC7B,6CAA6C;gBAC7C,6BAA6B;gBAC7B,uDAAuD;gBACvD,6BAA6B;gBAC7B,SAAS;gBACT,mCAAmC;aACpC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,0BAA0B,CAAC;SAC1C;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,kKAAkK,CAAC;SACtK;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,0KAA0K,CAAC;YAC7K,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qKAAqK,CAAC;SAClM;KACF;IACD,sBAAsB,EAAE;QACtB,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,uIAAuI,CAAC;SAC3I;KACF;IACD,eAAe,EAAE;QACf,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,oJAAoJ,CAAC;SACxJ;KACF;IAED,0EAA0E;IAC1E,aAAa,EAAE;QACb,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,4LAA4L,CAAC;YAC/L,IAAI,CAAC;gBACH,iEAAiE;gBACjE,uCAAuC;gBACvC,mCAAmC;aACpC,CAAC;YACF,IAAI,CAAC,IAAI,EAAE;gBACT,+BAA+B;gBAC/B,kCAAkC;gBAClC,uBAAuB;gBACvB,iDAAiD;aAClD,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,wBAAwB,CAAC;YACvC,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iIAAiI,CAAC;SAC/J;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,4EAA4E,CAAC;YAC/E,IAAI,CAAC,QAAQ,EAAE,kBAAkB,EAAE,yGAAyG,CAAC;SAC9I;KACF;IAED,2EAA2E;IAC3E,YAAY,EAAE;QACZ,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,uGAAuG,CAAC;SAC3G;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iGAAiG,CAAC;SACrG;KACF;IACD,qBAAqB,EAAE;QACrB,KAAK,EAAE,oBAAoB;QAC3B,MAAM,EAAE;YACN,CAAC,CAAC,0IAA0I,CAAC;YAC7I,IAAI,CAAC,MAAM,EAAE,iBAAiB,EAAE,iGAAiG,CAAC;SACnI;KACF;IACD,UAAU,EAAE;QACV,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,gJAAgJ,CAAC;YACnJ,IAAI,CAAC;gBACH,mEAAmE;gBACnE,0DAA0D;aAC3D,CAAC;SACH;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,kCAAkC;QACzC,MAAM,EAAE;YACN,CAAC,CAAC,gIAAgI,CAAC;YACnI,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,sGAAsG,CAAC;SAC7I;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,mBAAmB;QAC1B,MAAM,EAAE;YACN,CAAC,CAAC,uJAAuJ,CAAC;YAC1J,CAAC,CAAC,sJAAsJ,CAAC;YACzJ,CAAC,CAAC,qJAAqJ,CAAC;SACzJ;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,WAAW;QAClB,MAAM,EAAE;YACN,CAAC,CAAC,kJAAkJ,CAAC;SACtJ;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,uJAAuJ,CAAC;SAC3J;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,4HAA4H,CAAC;SAChI;KACF;IACD,wBAAwB,EAAE;QACxB,KAAK,EAAE,mBAAmB;QAC1B,MAAM,EAAE;YACN,CAAC,CAAC,wLAAwL,CAAC;SAC5L;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,0KAA0K,CAAC;YAC7K,IAAI,CAAC,MAAM,EAAE,sBAAsB,EAAE,mHAAmH,CAAC;SAC1J;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,wIAAwI,CAAC;SAC5I;KACF;IACD,mBAAmB,EAAE;QACnB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,uIAAuI,CAAC;YAC1I,CAAC,CAAC,yBAAyB,CAAC;YAC5B,IAAI,CAAC;gBACH,mCAAmC;gBACnC,+CAA+C;gBAC/C,6DAA6D;gBAC7D,uDAAuD;aACxD,CAAC;YACF,IAAI,CAAC,QAAQ,EAAE,uBAAuB,EAAE,mJAAmJ,CAAC;YAC5L,IAAI,CAAC,MAAM,EAAE,iCAAiC,EAAE,qGAAqG,CAAC;SACvJ;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,+LAA+L,CAAC;YAClM,IAAI,CAAC,MAAM,EAAE,gBAAgB,EAAE,oJAAoJ,CAAC;YACpL,IAAI,CAAC,MAAM,EAAE,iBAAiB,EAAE,mKAAmK,CAAC;SACrM;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,qMAAqM,CAAC;YACxM,IAAI,CAAC,MAAM,EAAE,oBAAoB,EAAE,2IAA2I,CAAC;SAChL;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,KAAK,CACH,CAAC,OAAO,EAAE,aAAa,CAAC,EACxB;gBACE,CAAC,yBAAyB,EAAE,wBAAwB,CAAC;gBACrD,CAAC,eAAe,EAAE,qCAAqC,CAAC;gBACxD,CAAC,iBAAiB,EAAE,8BAA8B,CAAC;gBACnD,CAAC,gBAAgB,EAAE,8BAA8B,CAAC;gBAClD,CAAC,eAAe,EAAE,iBAAiB,CAAC;aACrC,CACF;SACF;KACF;IAED,2EAA2E;IAC3E,kBAAkB,EAAE;QAClB,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,kJAAkJ,CAAC;SACtJ;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,KAAK,CACH,CAAC,SAAS,EAAE,QAAQ,EAAE,YAAY,CAAC,EACnC;gBACE,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;gBACzC,CAAC,aAAa,EAAE,IAAI,EAAE,0CAA0C,CAAC;aAClE,CACF;YACD,CAAC,CAAC,8GAA8G,CAAC;SAClH;KACF;IAED,0EAA0E;IAC1E,WAAW,EAAE;QACX,KAAK,EAAE,aAAa;QACpB,MAAM,EAAE;YACN,CAAC,CAAC,wIAAwI,CAAC;YAC3I,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,qFAAqF,CAAC;SAClH;KACF;IACD,iBAAiB,EAAE;QACjB,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,sGAAsG,CAAC;SAC1G;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,uHAAuH,CAAC;SAC3H;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,mBAAmB;QAC1B,MAAM,EAAE;YACN,CAAC,CAAC,+FAA+F,CAAC;SACnG;KACF;IACD,YAAY,EAAE;QACZ,KAAK,EAAE,iBAAiB;QACxB,MAAM,EAAE;YACN,CAAC,CAAC,kGAAkG,CAAC;SACtG;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,mIAAmI,CAAC;SACvI;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,OAAO;QACd,MAAM,EAAE;YACN,CAAC,CAAC,8HAA8H,CAAC;SAClI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,qBAAqB;QAC5B,MAAM,EAAE;YACN,CAAC,CAAC,sHAAsH,CAAC;SAC1H;KACF;IACD,WAAW,EAAE;QACX,KAAK,EAAE,MAAM;QACb,MAAM,EAAE;YACN,CAAC,CAAC,yEAAyE,CAAC;SAC7E;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,iJAAiJ,CAAC;SACrJ;KACF;IACD,oBAAoB,EAAE;QACpB,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,CAAC,CAAC,sIAAsI,CAAC;SAC1I;KACF;IAED,4EAA4E;IAC5E,iBAAiB,EAAE;QACjB,KAAK,EAAE,wBAAwB;QAC/B,MAAM,EAAE;YACN,CAAC,CAAC,kHAAkH,CAAC;YACrH,IAAI,CAAC;gBACH,sEAAsE;gBACtE,wCAAwC;gBACxC,oFAAoF;aACrF,CAAC;YACF,IAAI,CAAC,MAAM,EAAE,oBAAoB,EAAE,2FAA2F,CAAC;SAChI;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,eAAe;QACtB,MAAM,EAAE;YACN,CAAC,CAAC,2IAA2I,CAAC;YAC9I,IAAI,CAAC;gBACH,6CAA6C;gBAC7C,kDAAkD;gBAClD,2DAA2D;aAC5D,CAAC;SACH;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,kBAAkB;QACzB,MAAM,EAAE;YACN,KAAK,CACH,CAAC,MAAM,EAAE,QAAQ,EAAE,aAAa,CAAC,EACjC;gBACE,CAAC,SAAS,EAAE,GAAG,EAAE,0EAA0E,CAAC;gBAC5F,CAAC,SAAS,EAAE,IAAI,EAAE,qBAAqB,CAAC;gBACxC,CAAC,WAAW,EAAE,IAAI,EAAE,oBAAoB,CAAC;aAC1C,CACF;YACD,CAAC,CAAC,kEAAkE,CAAC;SACtE;KACF;IACD,aAAa,EAAE;QACb,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,CAAC,CAAC,6IAA6I,CAAC;YAChJ,IAAI,CAAC,MAAM,EAAE,aAAa,EAAE,iGAAiG,CAAC;YAC9H,IAAI,CAAC,MAAM,EAAE,eAAe,EAAE,4DAA4D,CAAC;SAC5F;KACF;IACD,uBAAuB,EAAE;QACvB,KAAK,EAAE,yBAAyB;QAChC,MAAM,EAAE;YACN,CAAC,CAAC,6JAA6J,CAAC;YAChK,IAAI,CAAC,QAAQ,EAAE,iBAAiB,EAAE,yFAAyF,CAAC;YAC5H,IAAI,CAAC,MAAM,EAAE,YAAY,EAAE,kIAAkI,CAAC;SAC/J;KACF;IACD,eAAe,EAAE;QACf,KAAK,EAAE,UAAU;QACjB,MAAM,EAAE;YACN,CAAC,CAAC,8IAA8I,CAAC;YACjJ,IAAI,CAAC,QAAQ,EAAE,6BAA6B,EAAE,mRAAmR,CAAC;YAClU,IAAI,CAAC,MAAM,EAAE,gBAAgB,EAAE,yGAAyG,CAAC;YACzI,CAAC,CAAC,4KAA4K,CAAC;SAChL;KACF;IACD,cAAc,EAAE;QACd,KAAK,EAAE,uBAAuB;QAC9B,MAAM,EAAE;YACN,CAAC,CAAC,sHAAsH,CAAC;YACzH,CAAC,CAAC,+IAA+I,CAAC;YAClJ,IAAI,CAAC,MAAM,EAAE,oCAAoC,EAAE,gJAAgJ,CAAC;SACrM;KACF;IAED,0EAA0E;IAC1E,mBAAmB,EAAE;QACnB,KAAK,EAAE,QAAQ;QACf,MAAM,EAAE;YACN,CAAC,CAAC,yGAAyG,CAAC;SAC7G;KACF;IACD,kBAAkB,EAAE;QAClB,KAAK,EAAE,WAAW;QAClB,MAAM,EAAE;YACN,CAAC,CAAC,qKAAqK,CAAC;SACzK;KACF;IAED,2EAA2E;IAC3E,aAAa,EAAE;QACb,KAAK,EAAE,gBAAgB;QACvB,MAAM,EAAE;YACN,CAAC,CAAC,+JAA+J,CAAC;SACnK;KACF;IACD,gBAAgB,EAAE;QAChB,KAAK,EAAE,UAAU;QACjB,MAAM,EAAE;YACN,CAAC,CAAC,6GAA6G,CAAC;SACjH;KACF;CACF,CAAC","sourcesContent":["/**\n * Contenuti di aiuto contestuale della console Accessi.\n *\n * Ogni voce spiega, in italiano corretto, che cosa inserire in un campo\n * tecnico e da dove prendere il valore. Sono mostrati come miniguida nel\n * tooltip aperto dall'icona \"i\" accanto al campo.\n */\nimport type { WikiBlock } from './wiki';\n\nexport interface HelpEntry {\n  title: string;\n  blocks: WikiBlock[];\n}\n\nconst p = (text: string): WikiBlock => ({ kind: 'p', text });\nconst list = (items: string[]): WikiBlock => ({ kind: 'list', items });\nconst code = (language: string, codeText: string, title?: string): WikiBlock => ({ kind: 'code', language, title, code: codeText });\nconst note = (tone: 'info' | 'ok' | 'warn' | 'danger', title: string, text: string): WikiBlock => ({ kind: 'callout', tone, title, text });\nconst table = (head: string[], rows: string[][]): WikiBlock => ({ kind: 'table', head, rows });\n\nexport const HELP: Record<string, HelpEntry> = {\n  // ------------------------------------------------------------------ SSO\n  'sso-provider': {\n    title: 'Provider SSO',\n    blocks: [\n      p(`La chiave del provider censito in Accessi. Deve coincidere esattamente con quella usata dal backend quando valida il login SSO e chiama FederatedAuthService.authenticate({ provider, subject }).`),\n      p(`Se il backend usa la chiave azure-ad-acme-prod, qui va la stessa stringa: una differenza, anche di un carattere, fa fallire il collegamento.`),\n      note('info', 'Chi crea il provider', `Prima si censisce il provider in \"SSO → Provider\" (superutente), poi lo si sceglie qui. Se l'elenco è vuoto, non ci sono provider attivi.`),\n    ],\n  },\n  'sso-subject': {\n    title: 'ID utente del provider (subject)',\n    blocks: [\n      p(`È l'identificatore STABILE della persona nel provider, non l'email. Il backend lo ottiene dopo aver validato il token del provider e lo passa ad Accessi; Accessi non vede mai il token esterno.`),\n      p(`Ecco il claim corretto per i provider più comuni:`),\n      table(\n        ['Provider', 'Claim da usare', 'Note'],\n        [\n          ['Azure AD / Entra ID', 'oid', 'Object ID. Non usare preferred_username né email.'],\n          ['Google', 'sub', 'ID numerico di 21 cifre. Non l indirizzo email.'],\n          ['Apple', 'sub', 'Identificatore stabile per la tua app; disponibile solo al primo login, va salvato subito.'],\n          ['Okta', 'sub', 'Claim standard OIDC.'],\n          ['Auth0', 'sub', 'Formato auth0|... oppure google-oauth2|... .'],\n          ['Keycloak', 'sub', 'Claim standard OIDC.'],\n          ['Microsoft personale (MSA)', 'sub', 'Account outlook/live.'],\n          ['SAML 2.0', 'NameID', 'Identificatore persistente dell utente.'],\n          ['OIDC generico', 'sub', 'Claim standard OIDC.'],\n        ],\n      ),\n      note('danger', 'Mai usare l email', `L'email può cambiare e non è un identificatore stabile: usarla come subject crea duplicati e collegamenti errati.`),\n      code('ts', [\n        '// Nel backend, dopo aver validato il token del provider:',\n        '// Azure AD / Entra ID',\n        \"const subject = claims.oid;\",\n        '// Google / Okta / Keycloak / OIDC generico',\n        \"const subject = claims.sub;\",\n        '// Apple (disponibile al primo login, salvalo subito)',\n        \"const subject = claims.sub;\",\n        '// SAML',\n        \"const subject = assertion.nameId;\",\n      ].join('\\n'), 'Come ricavare il subject'),\n    ],\n  },\n  'sso-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna per gli amministratori, utile a ricordare perché il collegamento esiste (per esempio \"migrato da AD il 2026-01-10\"). Non viene inviata al provider.`),\n    ],\n  },\n  'provider-key': {\n    title: 'Chiave provider',\n    blocks: [\n      p(`Identificativo tecnico del provider, usato dal backend nel payload SSO. Scegli una chiave descrittiva e stabile, per esempio azure-ad-acme-prod o google-workspace-acme.`),\n      note('warn', 'Immutabile', `Dopo il censimento la chiave non si modifica: identità e configurazione del backend la referenziano. Se serve cambiarla, disabilita il provider e creane uno nuovo.`),\n    ],\n  },\n  'provider-description': {\n    title: 'Descrizione',\n    blocks: [\n      p(`Nome leggibile mostrato agli amministratori (per esempio \"Azure AD – Acme produzione\"). Non è la chiave tecnica: può contenere spazi.`),\n    ],\n  },\n  'provider-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota interna del catalogo. Non inserire segreti, issuer, client id o dati personali: quei valori restano nel backend.`),\n    ],\n  },\n  'provider-active': {\n    title: 'Provider attivo',\n    blocks: [\n      p(`Se disattivato, il provider non accetta nuovi login e nuovi collegamenti; le identità e lo storico restano. Riattivalo quando il backend è pronto.`),\n    ],\n  },\n\n  // --------------------------------------------------------- service token\n  'token-label': {\n    title: 'Descrizione del token',\n    blocks: [\n      p(`Nome del token, mostrato agli amministratori (per esempio \"Integrazione IA – produzione\"). Non è un segreto.`),\n    ],\n  },\n  'token-scopes': {\n    title: 'Scope',\n    blocks: [\n      p(`Etichette che il backend controlla per autorizzare le chiamate tecniche. Un token non è un superutente: abilita solo le rotte protette con ServiceTokenGuard e @RequireServiceTokenScopes.`),\n      list([\n        `Formato: lettere, numeri, ':', '_' o '-', massimo 40 caratteri.`,\n        `Esempi: ia, chat, tools, report:read.`,\n        `Separa gli scope con una virgola.`,\n      ]),\n      code('ts', [\n        '@UseGuards(ServiceTokenGuard)',\n        \"@RequireServiceTokenScopes('ia')\",\n        '@Post(\"internal/ask\")',\n        'ask() { /* il token deve avere lo scope ia */ }',\n      ].join('\\n'), 'Come li usa il backend'),\n      note('warn', 'Scope vuoto', `Senza scope il token non soddisfa nessun @RequireServiceTokenScopes, ma passa comunque le rotte protette senza scope richiesto.`),\n    ],\n  },\n  'token-ttl': {\n    title: 'Durata (giorni)',\n    blocks: [\n      p(`Giorni di validità del token. Alla scadenza il token smette di funzionare.`),\n      note('danger', 'Nessuna scadenza', `Se lasci vuoto questo campo e non imposti una data, il token non scade mai: sconsigliato in produzione.`),\n    ],\n  },\n\n  // ----------------------------------------------------------------- utenti\n  'user-email': {\n    title: 'Email',\n    blocks: [\n      p(`Identificativo di accesso dell'utente e recapito per le email di reset o codici. Deve essere univoca.`),\n    ],\n  },\n  'user-name': {\n    title: 'Nome e cognome',\n    blocks: [\n      p(`Dati anagrafici mostrati in console e restituiti nel profilo. Non incidono sull'autenticazione.`),\n    ],\n  },\n  'user-password-login': {\n    title: 'Login con password',\n    blocks: [\n      p(`Se disattivato, il login con email e password viene rifiutato (PASSWORD_LOGIN_DISABLED). Restano validi i login con identità SSO attive.`),\n      note('info', 'Utente solo SSO', `È l'opzione tipica per gli utenti federati: nessuna password locale, accesso solo dal provider.`),\n    ],\n  },\n  'user-2fa': {\n    title: 'Codice via email (2FA)',\n    blocks: [\n      p(`Richiede un codice monouso inviato per email dopo la password o dopo il provider SSO. È per-utente e disattivata per impostazione predefinita.`),\n      list([\n        `Codice a 6 cifre, valido 10 minuti, 5 tentativi, massimo 3 invii.`,\n        `Non sono token: fino alla verifica non esiste alcun JWT.`,\n      ]),\n    ],\n  },\n  'user-passwordless': {\n    title: 'Accesso con il solo codice email',\n    blocks: [\n      p(`Abilita il login senza password: si inserisce solo l'email e si usa il codice ricevuto. Richiede il codice email (2FA) attivo.`),\n      note('warn', 'Non sono due fattori', `L'accesso con il solo codice è autenticazione tramite possesso della casella email: un solo fattore.`),\n    ],\n  },\n  'user-default-page': {\n    title: 'Pagina di default',\n    blocks: [\n      p(`Percorso o codice della pagina verso cui indirizzare l'utente dopo il login. Esempio: /dashboard oppure la chiave di una pagina gestita dal frontend.`),\n      p(`La console propone in autocomplete tutte le rotte presenti nel catalogo dei menu. Puoi filtrare la lista scrivendo oppure inserire un valore libero.`),\n      p(`E una stringa libera (massimo 50 caratteri): la libreria la conserva e la restituisce nel profilo; l'instradamento effettivo lo decide il frontend.`),\n    ],\n  },\n  'user-cellulare': {\n    title: 'Cellulare',\n    blocks: [\n      p(`Numero di cellulare dell'utente (UTENTI_CONFIG.CELLULARE). È il recapito canonico per SMS o notifiche applicative; Accessi non lo invia da solo.`),\n    ],\n  },\n  'user-lingua': {\n    title: 'Codice lingua',\n    blocks: [\n      p(`Lingua preferita dell'utente (UTENTI_CONFIG.CODLINGUA). Stringa breve come it, en, sl; viene restituita nel profilo e il frontend decide come usarla.`),\n    ],\n  },\n  'user-avatar': {\n    title: 'Avatar',\n    blocks: [\n      p(`Riferimento all'avatar (UTENTI_CONFIG.AVATAR, massimo 30 caratteri): tipicamente un nome file o una chiave, non un base64.`),\n    ],\n  },\n  'user-scadenza-password': {\n    title: 'Scadenza password',\n    blocks: [\n      p(`Data di scadenza della password (UTENTI.DATSCAPWD). Lascia vuoto per non forzare una scadenza; usa una data passata per richiedere il cambio al prossimo login, se la policy è attiva.`),\n    ],\n  },\n  'user-gdpr': {\n    title: 'Consenso GDPR',\n    blocks: [\n      p(`Lo stato mostra se il consenso è registrato. Il pulsante \"Registra consenso GDPR\" (endpoint set-gdpr) imposta FLGGDPR e DATGDPR e scrive la riga storica in UTENTI_GDPR.`),\n      note('info', 'Completo e tracciato', `A differenza del flag impostato a mano, il flusso dedicato registra anche la data e lo storico dell'accettazione.`),\n    ],\n  },\n  'user-json': {\n    title: 'Metadata JSON',\n    blocks: [\n      p(`Campo libero JSON (UTENTI_CONFIG.JSON_METADATA) per dati applicativi del backend. Deve essere JSON valido se il backend lo interpreta.`),\n    ],\n  },\n  'user-set-password': {\n    title: 'Imposta password',\n    blocks: [\n      p(`Imposta direttamente una nuova password locale: viene hashata dal backend e la scadenza segue la policy. Nessuna email viene inviata.`),\n      p(`Requisiti di sicurezza:`),\n      list([\n        `Almeno 8 caratteri (massimo 100).`,\n        `Almeno una lettera maiuscola e una minuscola.`,\n        `Almeno una cifra e un carattere speciale (es. ! ? @ # $ %).`,\n        `Nessuno spazio e non deve essere una password comune.`,\n      ]),\n      note('danger', 'Password non conforme', `Se non rispetta i requisiti l API risponde 400 con codice ACCESSI_WEAK_PASSWORD e l elenco dei requisiti mancanti; la password non viene salvata.`),\n      note('warn', 'Sostituisce la password attuale', `L'utente dovrà usare subito la nuova password. Per fargliela scegliere, usa \"Invia reset password\".`),\n    ],\n  },\n  'user-super': {\n    title: 'Superutente (FLGSUPER)',\n    blocks: [\n      p(`Assegna il flag superutente. Un superutente riceve TUTTE le abilitazioni al livello massimo (30) dopo il login e in console vede solo la sezione Utenti, dove gestisce utenti, ruoli e grant.`),\n      note('warn', 'Non è un ruolo', `Il flag non sostituisce i ruoli o i grant: li amplia assegnando ogni menu attivo al livello massimo. Usalo solo per gli amministratori di Accessi.`),\n      note('info', 'Chi lo modifica', `Un admin può assegnare o togliere sia Admin sia Superutente; un superutente senza Admin può gestire solo il flag Superutente. La verifica è ripetuta dal backend.`),\n    ],\n  },\n  'user-admin': {\n    title: 'Admin (FLGADMIN)',\n    blocks: [\n      p(`Assegna il flag admin. Un admin accede a tutta la console (catalogo, token di servizio, SSO e utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI e RUOLI_MNU.`),\n      note('info', 'Può gestire i flag', `Un admin può assegnare o togliere sia il flag Admin sia il flag Superutente. Un superutente senza Admin non può modificare il flag Admin.`),\n    ],\n  },\n  'user-state': {\n    title: 'Stato di registrazione',\n    blocks: [\n      table(\n        ['Stato', 'Significato'],\n        [\n          ['Non definito / Inserito', 'Utente non confermato.'],\n          ['Invitato (10)', 'Richiede il rinnovo della password.'],\n          ['Confermato (20)', 'Utente valido, può accedere.'],\n          ['Eliminato (50)', 'Soft delete: login bloccato.'],\n          ['Bloccato (99)', 'Login bloccato.'],\n        ],\n      ),\n    ],\n  },\n\n  // ------------------------------------------------------------------ ruoli\n  'role-description': {\n    title: 'Descrizione del ruolo',\n    blocks: [\n      p(`Nome del ruolo (per esempio \"Gestore ordini\"). Deve avere almeno un menu selezionato: il salvataggio sostituisce integralmente i menu del ruolo.`),\n    ],\n  },\n  'role-level': {\n    title: 'Livello di abilitazione',\n    blocks: [\n      table(\n        ['Livello', 'Valore', 'Uso tipico'],\n        [\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n          ['Legacy (30)', '30', 'Valore storico, mantenuto senza perdita.'],\n        ],\n      ),\n      p(`Il controllo confronta tipoAbilitazione >= soglia: un livello 20 soddisfa anche una richiesta di livello 10.`),\n    ],\n  },\n\n  // --------------------------------------------------------- catalogo menu\n  'menu-code': {\n    title: 'Codice menu',\n    blocks: [\n      p(`Chiave tecnica del menu, stabile e senza spazi (per esempio ORDINI o MNU001). È la chiave primaria: non si modifica dopo la creazione.`),\n      note('warn', 'Immutabile', `Il codice è referenziato da ruoli e grant: per cambiarlo, elimina e ricrea il menu.`),\n    ],\n  },\n  'menu-group-code': {\n    title: 'Codice gruppo',\n    blocks: [\n      p(`Un solo carattere (per esempio A). Raggruppa i menu nella navigazione. Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-type-code': {\n    title: 'Codice tipo menu',\n    blocks: [\n      p(`Un solo carattere (per esempio X). Classifica i menu (amministrazione, operativo, ...). Immutabile dopo la creazione.`),\n    ],\n  },\n  'menu-group-order': {\n    title: 'Ordine del gruppo',\n    blocks: [\n      p(`Numero che determina l'ordine dei gruppi nella navigazione: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-order': {\n    title: 'Ordine del menu',\n    blocks: [\n      p(`Numero che determina l'ordine dei menu all'interno del gruppo: valori più bassi compaiono prima.`),\n    ],\n  },\n  'menu-page': {\n    title: 'Pagina',\n    blocks: [\n      p(`Percorso o nome della pagina del frontend associata al menu (per esempio /ordini). È informativo: lo usano la UI host e i client.`),\n    ],\n  },\n  'menu-icon': {\n    title: 'Icona',\n    blocks: [\n      p(`Identificatore dell'icona usato dalla UI host (per esempio fa-box o un nome concordato). Accessi non impone un set di icone.`),\n    ],\n  },\n  'menu-rifmenu': {\n    title: 'Menu di riferimento',\n    blocks: [\n      p(`Codice di un altro menu che fa da padre, per costruire gerarchie di menu. Lascia vuoto per un menu di primo livello.`),\n    ],\n  },\n  'menu-note': {\n    title: 'Nota',\n    blocks: [\n      p(`Nota descrittiva mostrata agli amministratori. Non incide sui permessi.`),\n    ],\n  },\n  'menu-enabled': {\n    title: 'Menu abilitato',\n    blocks: [\n      p(`Se disattivato, il menu non compare nel catalogo attivo e non viene considerato nel calcolo dei grant. I collegamenti a ruoli e utenti restano.`),\n    ],\n  },\n  'menu-group-enabled': {\n    title: 'Gruppo abilitato',\n    blocks: [\n      p(`Disattiva l'intero gruppo: i menu al suo interno non sono considerati attivi, ma restano configurabili per una riattivazione futura.`),\n    ],\n  },\n\n  // ------------------------------------------------------------ assegnazioni\n  'role-assignment': {\n    title: 'Assegnazione dei ruoli',\n    blocks: [\n      p(`Il salvataggio SOSTITUISCE integralmente i ruoli dell'utente: la lista selezionata diventa l'unico set di ruoli.`),\n      list([\n        `Per aggiungere un ruolo, selezionalo mantenendo quelli già presenti.`,\n        `Per rimuovere un ruolo, deselezionalo.`,\n        `Non modificare i grant diretti: quelli si gestiscono nella scheda \"Grant diretti\".`,\n      ]),\n      note('warn', 'Non è incrementale', `Inviare solo il nuovo ruolo rimuove gli altri. Invia sempre la lista completa desiderata.`),\n    ],\n  },\n  'grant-direct': {\n    title: 'Grant diretti',\n    blocks: [\n      p(`Permessi assegnati direttamente all'utente, indipendenti dai ruoli. Hanno precedenza sui permessi ereditati dai ruoli per lo stesso menu.`),\n      list([\n        `Imposta il livello per concedere l'accesso.`,\n        `Scegli \"nessuno\" per rimuovere il grant diretto.`,\n        `Il salvataggio sostituisce l'intero set di grant diretti.`,\n      ]),\n    ],\n  },\n  'grant-level': {\n    title: 'Livello di grant',\n    blocks: [\n      table(\n        ['Voce', 'Valore', 'Significato'],\n        [\n          ['nessuno', '—', 'Nessun grant diretto per quel menu (il permesso può arrivare dai ruoli).'],\n          ['Lettura', '10', 'Sola consultazione.'],\n          ['Scrittura', '20', 'Modifica dei dati.'],\n        ],\n      ),\n      p(`Il confronto è tipoAbilitazione >= soglia richiesta dalla rotta.`),\n    ],\n  },\n  'user-delete': {\n    title: 'Imposta stato eliminato',\n    blocks: [\n      p(`Esegue un soft delete: imposta lo stato di registrazione a \"Eliminato\" (50). L'utente non può più accedere, ma i dati restano nel database.`),\n      note('info', 'Reversibile', `Non è una cancellazione fisica: puoi ripristinare l'utente cambiando lo stato di registrazione.`),\n      note('info', 'Chi può farlo', `Sia admin sia superutente possono eseguire il soft delete.`),\n    ],\n  },\n  'user-delete-permanent': {\n    title: 'Elimina definitivamente',\n    blocks: [\n      p(`Cancella l'utente e tutti i record collegati (configurazione, password, ruoli, abilitazioni, identità SSO, challenge 2FA e GDPR). Operazione irreversibile.`),\n      note('danger', 'Non reversibile', `I dati vengono rimossi fisicamente dal database; non è possibile ripristinare l'utente.`),\n      note('info', 'Solo admin', `Il pulsante è mostrato e accettato solo per il flag Admin. Un superutente senza Admin può solo flaggare l'utente come eliminato.`),\n    ],\n  },\n  'user-login-as': {\n    title: 'Login as',\n    blocks: [\n      p(`Genera un accesso temporaneo all'applicazione come l'utente selezionato. Non richiede la password dell'utente e non modifica il suo profilo.`),\n      note('danger', 'La durata è quella standard', `Il token dura quanto la sessione Accessi standard (jwtOptions.expiresIn). È una credenziale: chiunque ottenga l'URL può usarlo fino alla scadenza per entrare nell'applicazione come l'utente target. Non condividerlo, non salvarlo in log o chat e non incollarlo in documenti.`),\n      note('info', 'Chi può usarlo', `Solo superutenti e admin. Vale la gerarchia ADMIN > SUPER: un superutente non può impersonare un admin.`),\n      p(`Il token viene aggiunto all'URL scelto come parametro di query loginAsToken. Da quel momento è l'applicazione di destinazione a decidere come validarlo e cosa consentire.`),\n    ],\n  },\n  'login-as-url': {\n    title: 'URL dell applicazione',\n    blocks: [\n      p(`Inserisci l'indirizzo assoluto dell'applicazione in cui vuoi entrare, per esempio https://app.example.com/dashboard.`),\n      p(`Il modulo aggiunge automaticamente ?loginAsToken=<token> conservando le query e il fragment già presenti. Sono ammessi solo URL http e https.`),\n      note('warn', 'Nessun controllo sull applicazione', `Accessi non verifica che l'URL appartenga a un ambiente autorizzato: incollalo con attenzione per non inviare il token a un dominio sbagliato.`),\n    ],\n  },\n\n  // ----------------------------------------------------- selezioni di menu\n  'menu-group-select': {\n    title: 'Gruppo',\n    blocks: [\n      p(`Gruppo di appartenenza del menu. Se l'elenco è vuoto, crea prima un gruppo in \"Menu e gruppi → Gruppi\".`),\n    ],\n  },\n  'menu-type-select': {\n    title: 'Tipo menu',\n    blocks: [\n      p(`Classificazione del menu (amministrazione, operativo, ...). È facoltativa: se non serve, lascia \"Nessun tipo\". I tipi si gestiscono in \"Menu e gruppi → Tipi menu\".`),\n    ],\n  },\n\n  // ------------------------------------------------------------------ login\n  'login-email': {\n    title: 'Email o utente',\n    blocks: [\n      p(`Indirizzo email dell'utente Accessi. Se l'account è abilitato al solo codice, dopo questo passo riceverai un codice via email invece di inserire la password.`),\n    ],\n  },\n  'login-password': {\n    title: 'Password',\n    blocks: [\n      p(`Password locale dell'utente. Non serve per gli account passwordless, che accedono con il solo codice email.`),\n    ],\n  },\n};\n"]}

package/dist/accessi-module/Console/index.html

@@ -0,0 +1,141 @@
+<!doctype html>
+<html lang="it">
+<head>
+  <meta charset="utf-8">
+  <meta name="viewport" content="width=device-width,initial-scale=1">
+  <meta name="theme-color" content="#0d5c63">
+  <meta name="referrer" content="no-referrer">
+  <title>Accessi Console</title>
+  <script>
+    // Never retain legacy credentials accidentally submitted through a GET form.
+    if (window.location.search) window.history.replaceState(null, '', window.location.pathname + window.location.hash);
+  </script>
+  <link rel="stylesheet" href="/api/accessi/console/assets/console.css">
+</head>
+<body>
+  <div id="loading-overlay" aria-live="polite" aria-busy="true">
+    <div class="loading-panel" role="status">
+      <span class="loading-spinner" aria-hidden="true"></span>
+      <span><strong>Caricamento</strong><small>Verifica della sessione in corso.</small></span>
+    </div>
+  </div>
+  <main id="app">
+    <section id="login" class="card" aria-labelledby="login-title" hidden>
+      <h1 id="login-title">Accessi Console</h1>
+      <p>Gestione di utenti, ruoli, grant e accessi.</p>
+      <form id="login-form" method="post" action="" novalidate>
+        <label>Email o utente <button type="button" class="help-dot" data-help="login-email" aria-label="Aiuto: Email o utente">i</button><input name="email" required autocomplete="username"></label>
+        <label id="password-field" hidden>Password <button type="button" class="help-dot" data-help="login-password" aria-label="Aiuto: Password">i</button><input name="password" type="password" autocomplete="current-password" disabled></label>
+        <button id="login-submit" type="submit">Continua</button>
+      </form>
+      <form id="two-factor-form" hidden>
+        <p class="form-help">Inserisci il codice ricevuto via email.</p>
+        <label>Codice di accesso<input name="code" inputmode="numeric" autocomplete="one-time-code" pattern="[0-9]{6}" minlength="6" maxlength="6" required></label>
+        <p id="two-factor-status" class="form-help" role="status"></p>
+        <button type="submit">Verifica e accedi</button>
+        <button id="resend-code" type="button" class="secondary">Invia un nuovo codice</button>
+      </form>
+      <button id="restart-login" type="button" class="secondary" hidden>Ricomincia</button>
+      <p id="login-error" class="error" role="alert"></p>
+      <details id="bootstrap-admin-panel" class="bootstrap-admin" hidden>
+        <summary>Crea utente admin (bootstrap)</summary>
+        <p class="form-help">Usa il token di avvio stampato nel log del backend. Disponibile solo se <code>adminBootstrap.enabled</code> è attivo. Non richiede conferma email.</p>
+        <form id="bootstrap-admin-form">
+          <label>Token di avvio<input name="token" required autocomplete="off" spellcheck="false"></label>
+          <label>Email<input name="email" type="email" required autocomplete="off"></label>
+          <label>Nome<input name="nome"></label>
+          <label>Cognome<input name="cognome"></label>
+          <label>Password (opzionale)<input name="password" type="password" autocomplete="new-password"></label>
+          <label class="check"><input name="superUser" type="checkbox" checked> Crea anche come superutente</label>
+          <button type="submit">Crea utente admin</button>
+          <p id="bootstrap-admin-status" class="form-help" role="status"></p>
+        </form>
+      </details>
+    </section>
+
+    <section id="console" hidden>
+      <aside class="sidebar">
+        <div class="brand">
+          <span class="brand-mark" aria-hidden="true">A</span>
+          <span class="brand-text"><strong>Accessi</strong><small id="who"></small></span>
+        </div>
+        <nav id="nav" aria-label="Sezioni console">
+          <ul class="nav-tree">
+            <li>
+              <a data-view="users" href="./utenti">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/><circle cx="9" cy="7" r="4"/><path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/></svg>
+                <span>Utenti</span>
+              </a>
+            </li>
+            <li>
+              <a data-view="roles" href="./ruoli-e-grant">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z"/><path d="M9 12l2 2 4-4"/></svg>
+                <span>Ruoli e grant</span>
+              </a>
+            </li>
+            <li>
+              <details data-nav-group="menus" open>
+                <summary>
+                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polygon points="12 2 2 7 12 12 22 7 12 2"/><polyline points="2 17 12 22 22 17"/><polyline points="2 12 12 17 22 12"/></svg>
+                  <span>Menu e gruppi</span>
+                  <svg class="nav-chevron" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.9" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="9 6 15 12 9 18"/></svg>
+                </summary>
+                <ul>
+                  <li><a data-view="menuGroups" href="./menu-e-gruppi/gruppi">Gruppi</a></li>
+                  <li><a data-view="menuItems" href="./menu-e-gruppi/menu">Menu</a></li>
+                  <li><a data-view="menuTypes" href="./menu-e-gruppi/tipi-menu">Tipi menu</a></li>
+                  <li><a data-view="menuScopes" href="./menu-e-gruppi/scope">Scope</a></li>
+                </ul>
+              </details>
+            </li>
+            <li>
+              <a data-view="tokens" href="./token-di-servizio">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M21 2l-2 2m-7.61 7.61a5.5 5.5 0 1 1-7.778 7.778 5.5 5.5 0 0 1 7.777-7.777zm0 0L15.5 7.5m0 0l3 3L22 7l-3-3m-3.5 3.5L19 4"/></svg>
+                <span>Token di servizio</span>
+              </a>
+            </li>
+            <li>
+              <details id="sso-navigation" data-nav-group="sso" open hidden>
+                <summary>
+                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M10 13a5 5 0 0 0 7.07 0l3-3a5 5 0 0 0-7.07-7.07l-1.5 1.5"/><path d="M14 11a5 5 0 0 0-7.07 0l-3 3a5 5 0 0 0 7.07 7.07l1.5-1.5"/></svg>
+                  <span>SSO</span>
+                  <svg class="nav-chevron" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.9" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="9 6 15 12 9 18"/></svg>
+                </summary>
+                <ul>
+                  <li><a data-view="ssoProviders" href="./sso/provider">Provider</a></li>
+                  <li><a data-view="ssoUsers" href="./sso/utenti">Utenti e identità</a></li>
+                </ul>
+              </details>
+            </li>
+            <li>
+              <a data-view="wiki" href="./wiki">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M4 19.5A2.5 2.5 0 0 1 6.5 17H20"/><path d="M6.5 2H20v20H6.5A2.5 2.5 0 0 1 4 19.5v-15A2.5 2.5 0 0 1 6.5 2z"/></svg>
+                <span>Wiki</span>
+              </a>
+            </li>
+            <li>
+              <a data-view="changelog" href="./changelog">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M12 8v4l3 2"/><circle cx="12" cy="12" r="9"/></svg>
+                <span>Changelog</span>
+              </a>
+            </li>
+            <li>
+              <a data-view="sql" href="./sql">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><ellipse cx="12" cy="5" rx="9" ry="3"/><path d="M21 12c0 1.66-4 3-9 3s-9-1.34-9-3"/><path d="M3 5v14c0 1.66 4 3 9 3s9-1.34 9-3V5"/></svg>
+                <span>SQL</span>
+              </a>
+            </li>
+          </ul>
+        </nav>
+        <button id="logout" class="secondary sidebar-logout" type="button">Esci</button>
+      </aside>
+
+      <div class="content">
+        <div id="notice" role="status" aria-live="polite"></div>
+        <section id="view" aria-live="polite"></section>
+      </div>
+    </section>
+  </main>
+  <script type="module" src="/api/accessi/console/assets/console.js"></script>
+</body>
+</html>