emilsoftware-utilities 2.0.0-dev.7 → 2.0.0-dev.70

package/dist/accessi-module/AccessiModule.d.ts

@@ -6,10 +6,64 @@
  */
 import { Options } from 'node-firebird';
 import { DynamicModule } from '@nestjs/common';
+import type { INestApplication, LoggerService } from '@nestjs/common';
+import type { OpenApiSetupOptions } from '../openapi/OpenApiConfig';
+import type { AccessiAccessTokenAlgorithm } from './security/jwtTokenOptions';
+import type { ConsoleEntryStore } from './security/consoleEntry';
+import type { RateLimitStore } from './security/rateLimitStore';
+import type { AccessiEdgeRateLimitOptions } from './security/edgeRateLimit';
+import type { SessionRevocationOptions } from './security/sessionRevocation';
+import type { AccessTokenRevocationOptions } from './security/accessTokenRevocation';
+import type { RefreshTokenRotationOptions } from './security/refreshTokenRotation';
+/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */
 export interface JwtOptions {
+    /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */
     secret: string;
+    /** Issuer (`iss`) opzionale degli access token. Consigliato in una topologia multi-servizio. */
+    issuer?: string;
+    /** Audience (`aud`) opzionale degli access token. */
+    audience?: string | string[];
+    /** Algoritmo degli access token. Default `HS256` per retrocompatibilita. */
+    algorithm?: AccessiAccessTokenAlgorithm;
+    /** Chiave privata PEM per RS/ES. Obbligatoria quando `algorithm` non e HS*. */
+    privateKey?: string;
+    /** Chiave pubblica PEM per la verifica RS/ES. */
+    publicKey?: string;
+    /** Key id pubblicato nella JWKS, per rotazione chiavi. */
+    keyId?: string;
+    /** Path pubblico della JWKS. Default `accessi/.well-known/jwks.json` con algoritmi asimmetrici. */
+    jwksPath?: string;
+    /** Chiavi pubbliche precedenti, esposte in JWKS durante la rotazione. */
+    previousPublicKeys?: Array<{
+        publicKey: string;
+        keyId: string;
+        algorithm?: AccessiAccessTokenAlgorithm;
+    }>;
+    /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */
     expiresIn: string;
+    /**
+     * Durata del refresh token. Se assente il refresh token non viene emesso.
+     * Consigliato: `30d`.
+     */
+    refreshExpiresIn?: string;
+}
+/** Configurazione dei ticket di ingresso alla console. */
+export interface ConsoleEntryOptions {
+    /** Durata del ticket in millisecondi. Default 60000. */
+    ttlMs?: number;
+    /** Store condiviso (es. Redis) per deployment multi-istanza. Default: memoria. */
+    store?: ConsoleEntryStore;
+}
+/** Impostazioni HTTP del servizio Accessi. */
+export interface AccessiHttpOptions {
+    /** Opzioni CORS Nest. `false` disabilita CORS. Default: exposedHeaders ['X-Total-Count']. */
+    cors?: Parameters<INestApplication['enableCors']>[0] | false;
+    /** Trust proxy per IP reali dietro load balancer/reverse proxy. */
+    trustProxy?: boolean | number | string;
+    /** Header di sicurezza di base su console/OpenAPI. Default: true. */
+    securityHeaders?: boolean;
 }
+/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */
 export interface EmailOptions {
     host: string;
     port: number;
@@ -24,26 +78,117 @@ export interface EmailOptions {
         pass: string;
     };
 }
+/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */
 export interface ExtensionFieldsOptions {
+    /** Connessione al database contenente la tabella estesa. */
     databaseOptions: Options;
+    /** Chiave con cui i dati saranno esposti nella risposta. */
     objectKey: string;
+    /** Tabella applicativa contenente i dati estesi. */
     tableName: string;
+    /** Colonne consentite; non valorizzarle mai con input HTTP. */
     tableFields: string[];
+    /** Colonna correlata a `UTENTI.CODUTE`. */
     tableJoinFieldName: string;
 }
+/** Limite per una singola categoria di endpoint pubblici. */
 export interface PublicAuthRateLimitRuleOptions {
     windowMs: number;
     maxAttempts: number;
 }
+/** Protezione degli endpoint pubblici. Default in memoria; in cluster usare uno store condiviso. */
 export interface PublicAuthRateLimitOptions {
     enabled?: boolean;
+    /** Store condiviso (es. Redis). Default: memoria del processo. */
+    store?: RateLimitStore;
     login?: PublicAuthRateLimitRuleOptions;
     register?: PublicAuthRateLimitRuleOptions;
     passwordResetEmail?: PublicAuthRateLimitRuleOptions;
     passwordResetConfirm?: PublicAuthRateLimitRuleOptions;
+    refresh?: PublicAuthRateLimitRuleOptions;
     getUserByToken?: PublicAuthRateLimitRuleOptions;
+    twoFactorVerify?: PublicAuthRateLimitRuleOptions;
+    twoFactorResend?: PublicAuthRateLimitRuleOptions;
+    adminBootstrap?: PublicAuthRateLimitRuleOptions;
+    consoleEntry?: PublicAuthRateLimitRuleOptions;
+}
+/**
+ * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del
+ * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.
+ * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.
+ */
+export interface AdminBootstrapOptions {
+    /** Abilita il bootstrap admin. Default `false`. */
+    enabled?: boolean;
+    /** Crea l'utente come superutente oltre che admin. Default `true`. */
+    superUser?: boolean;
+}
+/** Controls the legacy public username/password registration endpoint. Disabled by default. */
+export interface PublicRegistrationOptions {
+    /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */
+    enabled?: boolean;
+}
+/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */
+export interface ServiceTokenOptions {
+    /** Abilita gli endpoint amministrativi dei service token. Default `true`. */
+    enabled?: boolean;
+    /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */
+    defaultTtlDays?: number;
+    /** Store condiviso per il rate limit dei service token. Default: memoria. */
+    rateLimitStore?: RateLimitStore;
+}
+/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */
+export type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';
+/**
+ * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel
+ * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la
+ * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,
+ * quindi viene applicato una sola volta per database (idempotenza lato DB).
+ */
+export interface SystemSeedsOptions {
+    /** `false` disabilita il seed automatico, ad esempio per ambienti gestiti manualmente. */
+    enabled?: boolean;
 }
+export interface CatalogScriptsOptions {
+    /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */
+    enabled?: boolean;
+    /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */
+    folder: string;
+    /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */
+    onChecksumMismatch?: CatalogScriptChecksumPolicy;
+    /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */
+    stopOnError?: boolean;
+    /** Globi/estensioni inclusi. Default: tutti i `.sql`. */
+    include?: string[];
+    /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */
+    maxScriptsPerRun?: number;
+    /**
+     * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono
+     * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.
+     */
+    allowDdl?: boolean;
+}
+/**
+ * Enables Accessi's provider-agnostic federated identity capability.
+ *
+ * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.
+ * The hosting backend must validate its own SSO flow and pass only a verified
+ * `{ provider, subject }` identity to FederatedAuthService.
+ */
+export interface FederatedAuthenticationOptions {
+    /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */
+    enabled?: boolean;
+    /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */
+    autoUpdateSchema?: boolean;
+    /** Allows a backend to create a user from a verified external identity without a master user. Default false. */
+    allowSelfRegistration?: boolean;
+}
+/**
+ * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.
+ * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.
+ */
 export interface AccessiOptions {
+    /** Connessione Firebird alla base dati Accessi. */
     databaseOptions: Options;
     /**
      * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'
@@ -54,19 +199,73 @@ export interface AccessiOptions {
      * N.B si sostituisce al confirmationMailURl
      */
     customResetPage?: string;
+    /** URL di ritorno della pagina standard di reset dopo il completamento. */
     confirmationEmailReturnUrl: string;
+    /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */
     confirmationEmailPrefix?: string;
+    /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */
     encryptionKey: string;
+    /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */
     mockDemoUser: boolean;
+    /** Attiva il controllo della scadenza password durante il login locale. */
     passwordExpiration?: boolean;
+    /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */
     passwordExpirationDays?: number;
+    /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */
     legacyPasswordMigrationOnStartup?: boolean;
+    /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */
     autoUpdateDatabase?: boolean;
+    /** Parametri JWT dei token emessi da Accessi. */
     jwtOptions: JwtOptions;
+    /** Parametri SMTP per reset e attivazione password. */
     emailOptions: EmailOptions;
     publicAuthRateLimit?: PublicAuthRateLimitOptions;
+    /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */
+    publicRegistration?: PublicRegistrationOptions;
+    /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */
+    federatedAuthentication?: FederatedAuthenticationOptions;
     extensionFieldsOptions?: ExtensionFieldsOptions[];
+    /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */
+    serviceTokens?: ServiceTokenOptions;
+    /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */
+    catalogScripts?: CatalogScriptsOptions;
+    /** Seed di sistema eseguiti dopo la riconciliazione dello schema. Default: abilitati. */
+    systemSeeds?: SystemSeedsOptions;
+    /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */
+    adminBootstrap?: AdminBootstrapOptions;
+    /** Base URL pubblica usata solo per loggare gli indirizzi (console, OpenAPI, API). */
+    publicBaseUrl?: string;
+    /** Base URL API per la console quando UI e API sono su domini diversi. */
+    consoleApiBaseUrl?: string;
+    /**
+     * Documentazione OpenAPI del modulo. Default invariati:
+     * UI `accessi/openapi`, JSON `accessi/openapi.json`.
+     */
+    openapi?: OpenApiSetupOptions;
+    /** Logger Nest usato dal sotto-app Accessi. Se assente Nest usa il proprio logger. */
+    logger?: LoggerService;
+    /** Buffer dei log di bootstrap del sotto-app. Default `true` (comportamento storico). */
+    bufferLogs?: boolean;
+    /** Ticket di ingresso console: TTL e store condiviso per deployment multi-istanza. */
+    consoleEntry?: ConsoleEntryOptions;
+    /** Limite grossolano per IP davanti alle rotte Accessi. Opzionale. */
+    edgeRateLimit?: AccessiEdgeRateLimitOptions;
+    /** CORS, trust proxy e header di sicurezza del servizio. */
+    http?: AccessiHttpOptions;
+    /** Revoca sessioni per utente tramite store memory/Redis. */
+    sessionRevocation?: SessionRevocationOptions;
+    /** Revoca dei singoli access token tramite `jti`, memory/Redis. */
+    accessTokenRevocation?: AccessTokenRevocationOptions;
+    /** Refresh token monouso tramite rotazione memory/Redis; rileva il riuso e revoca la famiglia. */
+    refreshTokenRotation?: RefreshTokenRotationOptions;
 }
 export declare class AccessiModule {
+    /**
+     * Registra Accessi nel contenitore Nest del backend ospitante.
+     *
+     * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend
+     * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.
+     * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.
+     */
     static forRoot(options: AccessiOptions): DynamicModule;
 }

package/dist/accessi-module/AccessiModule.js

@@ -8,6 +8,7 @@ var __decorate = (this && this.__decorate) || function (decorators, target, key,
 var AccessiModule_1;
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.AccessiModule = void 0;
+const TwoFactorService_1 = require("./Services/TwoFactorService/TwoFactorService");
 const common_1 = require("@nestjs/common");
 const AuthService_1 = require("./Services/AuthService/AuthService");
 const EmailService_1 = require("./Services/EmailService/EmailService");
@@ -24,8 +25,31 @@ const ConfiguratorService_1 = require("./Services/ConfiguratorService/Configurat
 const jwt_strategy_1 = require("./jwt/jwt.strategy");
 const authenticateGen_1 = require("./middleware/authenticateGen");
 const AccessiDatabaseUpdater_1 = require("./database-updates/AccessiDatabaseUpdater");
+const FederatedAuthService_1 = require("./federated-auth/FederatedAuthService");
+const FederatedAuthController_1 = require("./federated-auth/FederatedAuthController");
+const FederatedAuthExchangeController_1 = require("./federated-auth/FederatedAuthExchangeController");
+const AccessiConsoleController_1 = require("./Controllers/AccessiConsoleController");
+const ConsoleEntryController_1 = require("./Controllers/ConsoleEntryController");
+const ServiceTokenController_1 = require("./Controllers/ServiceTokenController");
+const ServiceTokenService_1 = require("./Services/ServiceTokenService/ServiceTokenService");
+const serviceTokenGuard_1 = require("./security/serviceTokenGuard");
+const SchemaController_1 = require("./Controllers/SchemaController");
+const AccessiIntrospectionController_1 = require("./Controllers/AccessiIntrospectionController");
+const SchemaExportService_1 = require("./Services/SchemaExportService/SchemaExportService");
+const AdminBootstrapService_1 = require("./Services/AdminBootstrapService/AdminBootstrapService");
+const jwksBootstrap_1 = require("./security/jwksBootstrap");
+const emailConfiguration_1 = require("./security/emailConfiguration");
 let AccessiModule = AccessiModule_1 = class AccessiModule {
+    /**
+     * Registra Accessi nel contenitore Nest del backend ospitante.
+     *
+     * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend
+     * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.
+     * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.
+     */
     static forRoot(options) {
+        // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.
+        (0, emailConfiguration_1.assertEmailConfigured)(options);
         return {
             module: AccessiModule_1,
             providers: [
@@ -34,6 +58,7 @@ let AccessiModule = AccessiModule_1 = class AccessiModule {
                     useValue: options,
                 },
                 AuthService_1.AuthService,
+                TwoFactorService_1.TwoFactorService,
                 UserService_1.UserService,
                 EmailService_1.EmailService,
                 PermissionService_1.PermissionService,
@@ -41,7 +66,10 @@ let AccessiModule = AccessiModule_1 = class AccessiModule {
                 ConfiguratorService_1.ConfiguratorService,
                 jwt_strategy_1.JwtSimpleGuard,
                 authenticateGen_1.AuthenticateGenService,
-                AccessiDatabaseUpdater_1.AccessiDatabaseUpdater
+                AccessiDatabaseUpdater_1.AccessiDatabaseUpdater,
+                FederatedAuthService_1.FederatedAuthService,
+                ServiceTokenService_1.ServiceTokenService,
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService
             ],
             exports: [
                 'ACCESSI_OPTIONS',
@@ -52,7 +80,10 @@ let AccessiModule = AccessiModule_1 = class AccessiModule {
                 FiltriService_1.FiltriService,
                 ConfiguratorService_1.ConfiguratorService,
                 jwt_strategy_1.JwtSimpleGuard,
-                authenticateGen_1.AuthenticateGenService
+                authenticateGen_1.AuthenticateGenService,
+                FederatedAuthService_1.FederatedAuthService,
+                ServiceTokenService_1.ServiceTokenService,
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService
             ],
         };
     }
@@ -67,10 +98,17 @@ exports.AccessiModule = AccessiModule = AccessiModule_1 = __decorate([
             PermissionController_1.PermissionController,
             UserController_1.UserController,
             FiltriController_1.FiltriController,
-            ConfiguratorController_1.ConfiguratorController
+            ConfiguratorController_1.ConfiguratorController,
+            FederatedAuthController_1.FederatedAuthController,
+            AccessiConsoleController_1.AccessiConsoleController,
+            ConsoleEntryController_1.ConsoleEntryController,
+            FederatedAuthExchangeController_1.FederatedAuthExchangeController,
+            ServiceTokenController_1.ServiceTokenController,
+            SchemaController_1.SchemaController,
+            AccessiIntrospectionController_1.AccessiIntrospectionController,
         ],
-        providers: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater],
-        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService],
+        providers: [AuthService_1.AuthService, TwoFactorService_1.TwoFactorService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService],
+        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService],
     })
 ], AccessiModule);
 //# sourceMappingURL=AccessiModule.js.map

package/dist/accessi-module/AccessiModule.js.map

@@ -1 +1 @@
-{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAOA,2CAA+D;AAC/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AAkF5E,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;aACvB;YACD,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;aACvB;SACF,CAAC;IACJ,CAAC;CACF,CAAA;AAhCY,sCAAa;wBAAb,aAAa;IAbzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;SACvB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,CAAC;QAC1K,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,CAAC;KACjJ,CAAC;GACW,aAAa,CAgCzB","sourcesContent":["/**\r\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\r\n *\r\n * @module AccessiModule\r\n * @author mttdev382\r\n */\r\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\r\nimport { AuthService } from './Services/AuthService/AuthService';\r\nimport { EmailService } from './Services/EmailService/EmailService';\r\nimport { PermissionService } from './Services/PermissionService/PermissionService';\r\nimport { UserService } from './Services/UserService/UserService';\r\nimport { EmailController } from './Controllers/EmailController';\r\nimport { AuthController } from './Controllers/AuthController';\r\nimport { PermissionController } from './Controllers/PermissionController';\r\nimport { UserController } from './Controllers/UserController';\r\nimport { FiltriService } from './Services/FiltriService/FiltriService';\r\nimport { FiltriController } from './Controllers/FiltriController';\r\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\r\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\r\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\r\nimport { AuthenticateGenService } from './middleware/authenticateGen';\r\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\r\n\r\nexport interface JwtOptions {\r\n  secret: string;\r\n  expiresIn: string;\r\n}\r\n\r\nexport interface EmailOptions {\r\n  host: string;\r\n  port: number;\r\n  secure: boolean;\r\n  requireTLS : boolean;\r\n  tls: {\r\n    rejectUnauthorized: boolean,\r\n  }\r\n  from: string;\r\n  auth: {\r\n    user: string;\r\n    pass: string;\r\n  };\r\n}\r\n\r\nexport interface ExtensionFieldsOptions {\r\n  databaseOptions: Options;\r\n  objectKey: string;\r\n  tableName: string;\r\n  tableFields: string[];\r\n  tableJoinFieldName: string;\r\n}\r\n\r\nexport interface PublicAuthRateLimitRuleOptions {\r\n  windowMs: number;\r\n  maxAttempts: number;\r\n}\r\n\r\nexport interface PublicAuthRateLimitOptions {\r\n  enabled?: boolean;\r\n  login?: PublicAuthRateLimitRuleOptions;\r\n  register?: PublicAuthRateLimitRuleOptions;\r\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\r\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\r\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\r\n}\r\n\r\nexport interface AccessiOptions {\r\n  databaseOptions: Options;\r\n  /**\r\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\r\n   */\r\n  confirmationEmailUrl: string;\r\n  /**\r\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\r\n   * N.B si sostituisce al confirmationMailURl\r\n   */\r\n  customResetPage?: string;\r\n  confirmationEmailReturnUrl: string;\r\n  confirmationEmailPrefix?: string;\r\n  encryptionKey: string;\r\n  mockDemoUser: boolean;\r\n  passwordExpiration?: boolean;\n  passwordExpirationDays?: number;\n  legacyPasswordMigrationOnStartup?: boolean;\n  autoUpdateDatabase?: boolean;\n  jwtOptions: JwtOptions;\r\n  emailOptions: EmailOptions;\r\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\r\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\r\n}\r\n\r\n@Global()\r\n@Module({\r\n  controllers: [\r\n    EmailController,\r\n    AuthController,\r\n    PermissionController,\r\n    UserController,\r\n    FiltriController,\r\n    ConfiguratorController\r\n  ],\r\n  providers: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater],\r\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService],\r\n})\r\nexport class AccessiModule {\r\n  static forRoot(options: AccessiOptions): DynamicModule {\r\n    return {\r\n      module: AccessiModule,\r\n      providers: [\r\n        {\r\n          provide: 'ACCESSI_OPTIONS',\r\n          useValue: options,\r\n        },\r\n        AuthService,\r\n        UserService,\r\n        EmailService,\r\n        PermissionService,\r\n        FiltriService,\r\n        ConfiguratorService,\r\n        JwtSimpleGuard,\r\n        AuthenticateGenService,\r\n        AccessiDatabaseUpdater\r\n      ],\r\n      exports: [\r\n        'ACCESSI_OPTIONS',\r\n        AuthService,\r\n        UserService,\r\n        EmailService,\r\n        PermissionService,\r\n        FiltriService,\r\n        ConfiguratorService,\r\n        JwtSimpleGuard,\r\n        AuthenticateGenService\r\n      ],\r\n    };\r\n  }\r\n}\r\n"]}
+{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAU/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,sGAAmG;AACnG,qFAAkF;AAClF,iFAA8E;AAC9E,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,qEAAkE;AAClE,iGAA8F;AAC9F,4FAAyF;AACzF,kGAA+F;AAC/F,4DAAuE;AACvE,sEAAsE;AAyR/D,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B;aAAC;YAC7F,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB;aAAC;SACjE,CAAC;IACJ,CAAC;CACF,CAAA;AA9CY,sCAAa;wBAAb,aAAa;IApBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;YACtB,iEAA+B;YAC/B,+CAAsB;YACtB,mCAAgB;YAChB,+DAA8B;SAC/B;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B,CAAC;QACnU,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,CAAC;KAC3P,CAAC;GACW,aAAa,CA8CzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport type { INestApplication, LoggerService } from '@nestjs/common';\nimport type { OpenApiSetupOptions } from '../openapi/OpenApiConfig';\nimport type { AccessiAccessTokenAlgorithm } from './security/jwtTokenOptions';\nimport type { ConsoleEntryStore } from './security/consoleEntry';\nimport type { RateLimitStore } from './security/rateLimitStore';\nimport type { AccessiEdgeRateLimitOptions } from './security/edgeRateLimit';\nimport type { SessionRevocationOptions } from './security/sessionRevocation';\nimport type { AccessTokenRevocationOptions } from './security/accessTokenRevocation';\nimport type { RefreshTokenRotationOptions } from './security/refreshTokenRotation';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { FederatedAuthExchangeController } from './federated-auth/FederatedAuthExchangeController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ConsoleEntryController } from './Controllers/ConsoleEntryController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { SchemaController } from './Controllers/SchemaController';\nimport { AccessiIntrospectionController } from './Controllers/AccessiIntrospectionController';\nimport { SchemaExportService } from './Services/SchemaExportService/SchemaExportService';\nimport { AdminBootstrapService } from './Services/AdminBootstrapService/AdminBootstrapService';\nimport { AccessiJwksBootstrapService } from './security/jwksBootstrap';\nimport { assertEmailConfigured } from './security/emailConfiguration';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Issuer (`iss`) opzionale degli access token. Consigliato in una topologia multi-servizio. */\n  issuer?: string;\n  /** Audience (`aud`) opzionale degli access token. */\n  audience?: string | string[];\n  /** Algoritmo degli access token. Default `HS256` per retrocompatibilita. */\n  algorithm?: AccessiAccessTokenAlgorithm;\n  /** Chiave privata PEM per RS/ES. Obbligatoria quando `algorithm` non e HS*. */\n  privateKey?: string;\n  /** Chiave pubblica PEM per la verifica RS/ES. */\n  publicKey?: string;\n  /** Key id pubblicato nella JWKS, per rotazione chiavi. */\n  keyId?: string;\n  /** Path pubblico della JWKS. Default `accessi/.well-known/jwks.json` con algoritmi asimmetrici. */\n  jwksPath?: string;\n  /** Chiavi pubbliche precedenti, esposte in JWKS durante la rotazione. */\n  previousPublicKeys?: Array<{\n    publicKey: string;\n    keyId: string;\n    algorithm?: AccessiAccessTokenAlgorithm;\n  }>;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n  /**\n   * Durata del refresh token. Se assente il refresh token non viene emesso.\n   * Consigliato: `30d`.\n   */\n  refreshExpiresIn?: string;\n}\n\n/** Configurazione dei ticket di ingresso alla console. */\nexport interface ConsoleEntryOptions {\n  /** Durata del ticket in millisecondi. Default 60000. */\n  ttlMs?: number;\n  /** Store condiviso (es. Redis) per deployment multi-istanza. Default: memoria. */\n  store?: ConsoleEntryStore;\n}\n\n/** Impostazioni HTTP del servizio Accessi. */\nexport interface AccessiHttpOptions {\n  /** Opzioni CORS Nest. `false` disabilita CORS. Default: exposedHeaders ['X-Total-Count']. */\n  cors?: Parameters<INestApplication['enableCors']>[0] | false;\n  /** Trust proxy per IP reali dietro load balancer/reverse proxy. */\n  trustProxy?: boolean | number | string;\n  /** Header di sicurezza di base su console/OpenAPI. Default: true. */\n  securityHeaders?: boolean;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione degli endpoint pubblici. Default in memoria; in cluster usare uno store condiviso. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  /** Store condiviso (es. Redis). Default: memoria del processo. */\n  store?: RateLimitStore;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  refresh?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n  adminBootstrap?: PublicAuthRateLimitRuleOptions;\n  consoleEntry?: PublicAuthRateLimitRuleOptions;\n}\n\n/**\n * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del\n * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.\n * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.\n */\nexport interface AdminBootstrapOptions {\n  /** Abilita il bootstrap admin. Default `false`. */\n  enabled?: boolean;\n  /** Crea l'utente come superutente oltre che admin. Default `true`. */\n  superUser?: boolean;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n  /** Store condiviso per il rate limit dei service token. Default: memoria. */\n  rateLimitStore?: RateLimitStore;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface SystemSeedsOptions {\n  /** `false` disabilita il seed automatico, ad esempio per ambienti gestiti manualmente. */\n  enabled?: boolean;\n}\n\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n  /**\n   * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono\n   * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.\n   */\n  allowDdl?: boolean;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n  /** Seed di sistema eseguiti dopo la riconciliazione dello schema. Default: abilitati. */\n  systemSeeds?: SystemSeedsOptions;\n  /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */\n  adminBootstrap?: AdminBootstrapOptions;\n  /** Base URL pubblica usata solo per loggare gli indirizzi (console, OpenAPI, API). */\n  publicBaseUrl?: string;\n  /** Base URL API per la console quando UI e API sono su domini diversi. */\n  consoleApiBaseUrl?: string;\n  /**\n   * Documentazione OpenAPI del modulo. Default invariati:\n   * UI `accessi/openapi`, JSON `accessi/openapi.json`.\n   */\n  openapi?: OpenApiSetupOptions;\n  /** Logger Nest usato dal sotto-app Accessi. Se assente Nest usa il proprio logger. */\n  logger?: LoggerService;\n  /** Buffer dei log di bootstrap del sotto-app. Default `true` (comportamento storico). */\n  bufferLogs?: boolean;\n  /** Ticket di ingresso console: TTL e store condiviso per deployment multi-istanza. */\n  consoleEntry?: ConsoleEntryOptions;\n  /** Limite grossolano per IP davanti alle rotte Accessi. Opzionale. */\n  edgeRateLimit?: AccessiEdgeRateLimitOptions;\n  /** CORS, trust proxy e header di sicurezza del servizio. */\n  http?: AccessiHttpOptions;\n  /** Revoca sessioni per utente tramite store memory/Redis. */\n  sessionRevocation?: SessionRevocationOptions;\n  /** Revoca dei singoli access token tramite `jti`, memory/Redis. */\n  accessTokenRevocation?: AccessTokenRevocationOptions;\n  /** Refresh token monouso tramite rotazione memory/Redis; rileva il riuso e revoca la famiglia. */\n  refreshTokenRotation?: RefreshTokenRotationOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ConsoleEntryController,\n    FederatedAuthExchangeController,\n    ServiceTokenController,\n    SchemaController,\n    AccessiIntrospectionController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n    };\n  }\n}\n"]}

package/dist/accessi-module/Console/accessiFetch.d.ts

@@ -0,0 +1,25 @@
+declare global {
+    interface Window {
+        __ACCESSI_API_BASE_URL__?: string;
+    }
+}
+/** Emesso quando una richiesta autenticata riceve 401: la console deve riportare al login. */
+export declare const ACCESSI_UNAUTHORIZED_EVENT = "accessi-console-unauthorized";
+/** Errore del client console: conserva status, codice stabile Accessi e dettagli di validazione. */
+export declare class AccessiRequestError extends Error {
+    readonly status: number;
+    readonly code?: string | undefined;
+    readonly details?: string[] | undefined;
+    constructor(message: string, status: number, code?: string | undefined, details?: string[] | undefined);
+}
+/** Imposta il JWT usato da tutte le funzioni generate da Orval. */
+export declare function setAccessiConsoleToken(token: string | null): void;
+/** Prefissa le chiamate relative del client generato (es. `https://accessi.example.com`). */
+export declare function setAccessiFetchBaseUrl(url: string | null): void;
+/** Token provider per client esterni alla console (server-to-server o frontend). */
+export declare function setAccessiFetchTokenProvider(provider: (() => string | null | Promise<string | null>) | null): void;
+/**
+ * Trasporto comune del client Orval: aggiunge il Bearer token e converte le
+ * risposte di errore Accessi in Error JavaScript leggibili dalla console.
+ */
+export declare function accessiFetch<T>(url: string, options: RequestInit): Promise<T>;

package/dist/accessi-module/Console/accessiFetch.js

@@ -0,0 +1,104 @@
+"use strict";
+var __awaiter = (this && this.__awaiter) || function (thisArg, _arguments, P, generator) {
+    function adopt(value) { return value instanceof P ? value : new P(function (resolve) { resolve(value); }); }
+    return new (P || (P = Promise))(function (resolve, reject) {
+        function fulfilled(value) { try { step(generator.next(value)); } catch (e) { reject(e); } }
+        function rejected(value) { try { step(generator["throw"](value)); } catch (e) { reject(e); } }
+        function step(result) { result.done ? resolve(result.value) : adopt(result.value).then(fulfilled, rejected); }
+        step((generator = generator.apply(thisArg, _arguments || [])).next());
+    });
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.AccessiRequestError = exports.ACCESSI_UNAUTHORIZED_EVENT = void 0;
+exports.setAccessiConsoleToken = setAccessiConsoleToken;
+exports.setAccessiFetchBaseUrl = setAccessiFetchBaseUrl;
+exports.setAccessiFetchTokenProvider = setAccessiFetchTokenProvider;
+exports.accessiFetch = accessiFetch;
+let accessToken = null;
+let baseUrl = null;
+let tokenProvider = null;
+const loadingEventName = 'accessi-console-network';
+/** Emesso quando una richiesta autenticata riceve 401: la console deve riportare al login. */
+exports.ACCESSI_UNAUTHORIZED_EVENT = 'accessi-console-unauthorized';
+/** Errore del client console: conserva status, codice stabile Accessi e dettagli di validazione. */
+class AccessiRequestError extends Error {
+    constructor(message, status, code, details) {
+        super(message);
+        this.status = status;
+        this.code = code;
+        this.details = details;
+        this.name = 'AccessiRequestError';
+    }
+}
+exports.AccessiRequestError = AccessiRequestError;
+/** Notifies the browser shell without coupling generated Orval calls to the UI implementation. */
+function notifyNetworkActivity(active) {
+    if (typeof window !== 'undefined') {
+        window.dispatchEvent(new CustomEvent(loadingEventName, { detail: { active } }));
+    }
+}
+/** Imposta il JWT usato da tutte le funzioni generate da Orval. */
+function setAccessiConsoleToken(token) {
+    accessToken = token;
+}
+/** Prefissa le chiamate relative del client generato (es. `https://accessi.example.com`). */
+function setAccessiFetchBaseUrl(url) {
+    baseUrl = url ? url.replace(/\/+$/, '') : null;
+}
+/** Token provider per client esterni alla console (server-to-server o frontend). */
+function setAccessiFetchTokenProvider(provider) {
+    tokenProvider = provider;
+}
+/** Legge una stringa non vuota dal payload di errore Accessi, ignorando tipi inattesi. */
+function payloadString(payload, key) {
+    if (!payload || typeof payload !== 'object')
+        return undefined;
+    const value = payload[key];
+    return typeof value === 'string' && value.length > 0 ? value : undefined;
+}
+/**
+ * Trasporto comune del client Orval: aggiunge il Bearer token e converte le
+ * risposte di errore Accessi in Error JavaScript leggibili dalla console.
+ */
+function accessiFetch(url, options) {
+    return __awaiter(this, void 0, void 0, function* () {
+        var _a, _b, _c, _d;
+        const headers = new Headers(options.headers);
+        headers.set('Accept', 'application/json');
+        if (options.body !== undefined && !headers.has('Content-Type')) {
+            headers.set('Content-Type', 'application/json');
+        }
+        const resolvedToken = tokenProvider ? yield tokenProvider() : accessToken;
+        const authenticatedRequest = resolvedToken !== null && resolvedToken !== undefined;
+        if (resolvedToken)
+            headers.set('Authorization', `Bearer ${resolvedToken}`);
+        const runtimeBaseUrl = baseUrl !== null && baseUrl !== void 0 ? baseUrl : (typeof window !== 'undefined' ? (_a = window.__ACCESSI_API_BASE_URL__) !== null && _a !== void 0 ? _a : null : null);
+        const requestUrl = runtimeBaseUrl && url.startsWith('/')
+            ? `${runtimeBaseUrl.replace(/\/+$/, '')}${url}`
+            : url;
+        notifyNetworkActivity(true);
+        try {
+            const response = yield fetch(requestUrl, Object.assign(Object.assign({}, options), { headers }));
+            const payload = yield response.json().catch(() => undefined);
+            if (!response.ok) {
+                const message = (_c = (_b = payloadString(payload, 'message')) !== null && _b !== void 0 ? _b : payloadString(payload, 'error')) !== null && _c !== void 0 ? _c : `Errore HTTP ${response.status}`;
+                const rawDetails = payload && typeof payload === 'object' ? payload.details : undefined;
+                const details = Array.isArray(rawDetails) ? rawDetails.map((item) => String(item)) : undefined;
+                // Un 401 su una richiesta autenticata significa sessione scaduta/revocata: il token non e piu valido.
+                if (response.status === 401 && authenticatedRequest && typeof window !== 'undefined') {
+                    window.dispatchEvent(new CustomEvent(exports.ACCESSI_UNAUTHORIZED_EVENT));
+                }
+                throw new AccessiRequestError(message, response.status, (_d = payloadString(payload, 'code')) !== null && _d !== void 0 ? _d : payloadString(payload, 'error'), details);
+            }
+            return {
+                data: payload,
+                status: response.status,
+                headers: response.headers,
+            };
+        }
+        finally {
+            notifyNetworkActivity(false);
+        }
+    });
+}
+//# sourceMappingURL=accessiFetch.js.map

package/dist/accessi-module/Console/accessiFetch.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"accessiFetch.js","sourceRoot":"","sources":["../../../src/accessi-module/Console/accessiFetch.ts"],"names":[],"mappings":";;;;;;;;;;;;AA8BA,wDAEC;AAGD,wDAEC;AAGD,oEAIC;AAaD,oCAqCC;AA9FD,IAAI,WAAW,GAAkB,IAAI,CAAC;AACtC,IAAI,OAAO,GAAkB,IAAI,CAAC;AAClC,IAAI,aAAa,GAA0D,IAAI,CAAC;AAQhF,MAAM,gBAAgB,GAAG,yBAAyB,CAAC;AACnD,8FAA8F;AACjF,QAAA,0BAA0B,GAAG,8BAA8B,CAAC;AAEzE,oGAAoG;AACpG,MAAa,mBAAoB,SAAQ,KAAK;IAC5C,YAAY,OAAe,EAAW,MAAc,EAAW,IAAa,EAAW,OAAkB;QACvG,KAAK,CAAC,OAAO,CAAC,CAAC;QADqB,WAAM,GAAN,MAAM,CAAQ;QAAW,SAAI,GAAJ,IAAI,CAAS;QAAW,YAAO,GAAP,OAAO,CAAW;QAEvG,IAAI,CAAC,IAAI,GAAG,qBAAqB,CAAC;IACpC,CAAC;CACF;AALD,kDAKC;AAED,kGAAkG;AAClG,SAAS,qBAAqB,CAAC,MAAe;IAC5C,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;QAClC,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,gBAAgB,EAAE,EAAE,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,mEAAmE;AACnE,SAAgB,sBAAsB,CAAC,KAAoB;IACzD,WAAW,GAAG,KAAK,CAAC;AACtB,CAAC;AAED,6FAA6F;AAC7F,SAAgB,sBAAsB,CAAC,GAAkB;IACvD,OAAO,GAAG,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACjD,CAAC;AAED,oFAAoF;AACpF,SAAgB,4BAA4B,CAC1C,QAA+D;IAE/D,aAAa,GAAG,QAAQ,CAAC;AAC3B,CAAC;AAED,0FAA0F;AAC1F,SAAS,aAAa,CAAC,OAAgB,EAAE,GAAW;IAClD,IAAI,CAAC,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ;QAAE,OAAO,SAAS,CAAC;IAC9D,MAAM,KAAK,GAAI,OAAmC,CAAC,GAAG,CAAC,CAAC;IACxD,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC;AAC3E,CAAC;AAED;;;GAGG;AACH,SAAsB,YAAY,CAAI,GAAW,EAAE,OAAoB;;;QACrE,MAAM,OAAO,GAAG,IAAI,OAAO,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC;QAC7C,OAAO,CAAC,GAAG,CAAC,QAAQ,EAAE,kBAAkB,CAAC,CAAC;QAC1C,IAAI,OAAO,CAAC,IAAI,KAAK,SAAS,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,EAAE,CAAC;YAC/D,OAAO,CAAC,GAAG,CAAC,cAAc,EAAE,kBAAkB,CAAC,CAAC;QAClD,CAAC;QACD,MAAM,aAAa,GAAG,aAAa,CAAC,CAAC,CAAC,MAAM,aAAa,EAAE,CAAC,CAAC,CAAC,WAAW,CAAC;QAC1E,MAAM,oBAAoB,GAAG,aAAa,KAAK,IAAI,IAAI,aAAa,KAAK,SAAS,CAAC;QACnF,IAAI,aAAa;YAAE,OAAO,CAAC,GAAG,CAAC,eAAe,EAAE,UAAU,aAAa,EAAE,CAAC,CAAC;QAC3E,MAAM,cAAc,GAAG,OAAO,aAAP,OAAO,cAAP,OAAO,GACzB,CAAC,OAAO,MAAM,KAAK,WAAW,CAAC,CAAC,CAAC,MAAA,MAAM,CAAC,wBAAwB,mCAAI,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QACtF,MAAM,UAAU,GAAG,cAAc,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC;YACtD,CAAC,CAAC,GAAG,cAAc,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,GAAG,GAAG,EAAE;YAC/C,CAAC,CAAC,GAAG,CAAC;QAER,qBAAqB,CAAC,IAAI,CAAC,CAAC;QAC5B,IAAI,CAAC;YACH,MAAM,QAAQ,GAAG,MAAM,KAAK,CAAC,UAAU,kCAAO,OAAO,KAAE,OAAO,IAAG,CAAC;YAClE,MAAM,OAAO,GAAG,MAAM,QAAQ,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;YAC7D,IAAI,CAAC,QAAQ,CAAC,EAAE,EAAE,CAAC;gBACjB,MAAM,OAAO,GAAG,MAAA,MAAA,aAAa,CAAC,OAAO,EAAE,SAAS,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,mCAAI,eAAe,QAAQ,CAAC,MAAM,EAAE,CAAC;gBACzH,MAAM,UAAU,GAAG,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ,CAAC,CAAC,CAAE,OAAiC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;gBACnH,MAAM,OAAO,GAAG,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;gBAC/F,sGAAsG;gBACtG,IAAI,QAAQ,CAAC,MAAM,KAAK,GAAG,IAAI,oBAAoB,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;oBACrF,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,kCAA0B,CAAC,CAAC,CAAC;gBACpE,CAAC;gBACD,MAAM,IAAI,mBAAmB,CAAC,OAAO,EAAE,QAAQ,CAAC,MAAM,EAAE,MAAA,aAAa,CAAC,OAAO,EAAE,MAAM,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,EAAE,OAAO,CAAC,CAAC;YACtI,CAAC;YACD,OAAO;gBACL,IAAI,EAAE,OAAO;gBACb,MAAM,EAAE,QAAQ,CAAC,MAAM;gBACvB,OAAO,EAAE,QAAQ,CAAC,OAAO;aACrB,CAAC;QACT,CAAC;gBAAS,CAAC;YACT,qBAAqB,CAAC,KAAK,CAAC,CAAC;QAC/B,CAAC;IACH,CAAC;CAAA","sourcesContent":["let accessToken: string | null = null;\nlet baseUrl: string | null = null;\nlet tokenProvider: (() => string | null | Promise<string | null>) | null = null;\n\ndeclare global {\n  interface Window {\n    __ACCESSI_API_BASE_URL__?: string;\n  }\n}\n\nconst loadingEventName = 'accessi-console-network';\n/** Emesso quando una richiesta autenticata riceve 401: la console deve riportare al login. */\nexport const ACCESSI_UNAUTHORIZED_EVENT = 'accessi-console-unauthorized';\n\n/** Errore del client console: conserva status, codice stabile Accessi e dettagli di validazione. */\nexport class AccessiRequestError extends Error {\n  constructor(message: string, readonly status: number, readonly code?: string, readonly details?: string[]) {\n    super(message);\n    this.name = 'AccessiRequestError';\n  }\n}\n\n/** Notifies the browser shell without coupling generated Orval calls to the UI implementation. */\nfunction notifyNetworkActivity(active: boolean): void {\n  if (typeof window !== 'undefined') {\n    window.dispatchEvent(new CustomEvent(loadingEventName, { detail: { active } }));\n  }\n}\n\n/** Imposta il JWT usato da tutte le funzioni generate da Orval. */\nexport function setAccessiConsoleToken(token: string | null): void {\n  accessToken = token;\n}\n\n/** Prefissa le chiamate relative del client generato (es. `https://accessi.example.com`). */\nexport function setAccessiFetchBaseUrl(url: string | null): void {\n  baseUrl = url ? url.replace(/\\/+$/, '') : null;\n}\n\n/** Token provider per client esterni alla console (server-to-server o frontend). */\nexport function setAccessiFetchTokenProvider(\n  provider: (() => string | null | Promise<string | null>) | null,\n): void {\n  tokenProvider = provider;\n}\n\n/** Legge una stringa non vuota dal payload di errore Accessi, ignorando tipi inattesi. */\nfunction payloadString(payload: unknown, key: string): string | undefined {\n  if (!payload || typeof payload !== 'object') return undefined;\n  const value = (payload as Record<string, unknown>)[key];\n  return typeof value === 'string' && value.length > 0 ? value : undefined;\n}\n\n/**\n * Trasporto comune del client Orval: aggiunge il Bearer token e converte le\n * risposte di errore Accessi in Error JavaScript leggibili dalla console.\n */\nexport async function accessiFetch<T>(url: string, options: RequestInit): Promise<T> {\n  const headers = new Headers(options.headers);\n  headers.set('Accept', 'application/json');\n  if (options.body !== undefined && !headers.has('Content-Type')) {\n    headers.set('Content-Type', 'application/json');\n  }\n  const resolvedToken = tokenProvider ? await tokenProvider() : accessToken;\n  const authenticatedRequest = resolvedToken !== null && resolvedToken !== undefined;\n  if (resolvedToken) headers.set('Authorization', `Bearer ${resolvedToken}`);\n  const runtimeBaseUrl = baseUrl\n    ?? (typeof window !== 'undefined' ? window.__ACCESSI_API_BASE_URL__ ?? null : null);\n  const requestUrl = runtimeBaseUrl && url.startsWith('/')\n    ? `${runtimeBaseUrl.replace(/\\/+$/, '')}${url}`\n    : url;\n\n  notifyNetworkActivity(true);\n  try {\n    const response = await fetch(requestUrl, { ...options, headers });\n    const payload = await response.json().catch(() => undefined);\n    if (!response.ok) {\n      const message = payloadString(payload, 'message') ?? payloadString(payload, 'error') ?? `Errore HTTP ${response.status}`;\n      const rawDetails = payload && typeof payload === 'object' ? (payload as { details?: unknown }).details : undefined;\n      const details = Array.isArray(rawDetails) ? rawDetails.map((item) => String(item)) : undefined;\n      // Un 401 su una richiesta autenticata significa sessione scaduta/revocata: il token non e piu valido.\n      if (response.status === 401 && authenticatedRequest && typeof window !== 'undefined') {\n        window.dispatchEvent(new CustomEvent(ACCESSI_UNAUTHORIZED_EVENT));\n      }\n      throw new AccessiRequestError(message, response.status, payloadString(payload, 'code') ?? payloadString(payload, 'error'), details);\n    }\n    return {\n      data: payload,\n      status: response.status,\n      headers: response.headers,\n    } as T;\n  } finally {\n    notifyNetworkActivity(false);\n  }\n}\n"]}