emilsoftware-utilities 2.0.0-dev.74 → 2.0.0-dev.76

package/dist/initEmilsoftwareModule.js.map

@@ -1 +1 @@
-{"version":3,"file":"initEmilsoftwareModule.js","sourceRoot":"","sources":["../src/initEmilsoftwareModule.ts"],"names":[],"mappings":";;;;;;;;;;;;;;AAuCA,wDA8GC;AArJD,sDAAwD;AACxD,uCAA2C;AAC3C,+DAA0D;AAG1D,2DAKiC;AACjC,qCAAkC;AAClC,6DAA+E;AAC/E,iFAIqD;AACrD,oEAAgF;AAChF,4DAAgE;AAChE,mFAA0F;AAC1F,qGAAkG;AAClG,yDAAsF;AACtF,2EAA+F;AAU/F;;;;;GAKG;AACH,SAAsB,sBAAsB,CACxC,GAAgB,EAChB,OAA4B;;;QAE5B,MAAM,MAAM,GAAW,IAAI,eAAM,CAAC,sBAAsB,CAAC,IAAI,CAAC,CAAC;QAC/D,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;YAC1B,IAAA,gDAA8B,GAAE,CAAC;QACrC,CAAC;QAED,IAAI,CAAC;YACD,gFAAgF;YAChF,wEAAwE;YACxE,yEAAyE;YACzE,wEAAwE;YACxE,wBAAwB;YACxB,8EAA8E;YAC9E,MAAM,eAAe,GAAG,IAAA,4CAA4B,EAChD,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,OAAO,EAChC,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,OAAO,CACnB,CAAC;YAEF,MAAM,WAAW,GAAG,IAAA,iBAAO,GAAE,CAAC;YAC9B,IAAI,CAAA,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,UAAU,MAAK,SAAS,EAAE,CAAC;gBAC1D,GAAG,CAAC,GAAG,CAAC,aAAa,EAAE,OAAO,CAAC,cAAc,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC;gBAC/D,WAAW,CAAC,GAAG,CAAC,aAAa,EAAE,OAAO,CAAC,cAAc,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC;YAC3E,CAAC;YACD,MAAM,QAAQ,GAAG,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc;gBACpC,CAAC,CAAC,IAAA,yBAAkB,EAAC,OAAO,CAAC,cAAc,CAAC;gBAC5C,CAAC,CAAC,SAAS,CAAC;YAChB,MAAM,WAAW,GAAG,CAAC,IAAY,EAAE,EAAE,CACjC,IAAI,KAAK,MAAM;gBACf,IAAI,CAAC,UAAU,CAAC,OAAO,CAAC;gBACxB,IAAA,oCAAoB,EAAC,IAAI,EAAE,eAAe,CAAC;gBAC3C,CAAC,QAAQ,KAAK,SAAS,IAAI,IAAI,KAAK,QAAQ,CAAC,CAAC;YAClD,MAAM,aAAa,GAAG,CAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,aAAa;gBACxD,CAAC,CAAC,IAAA,oDAAoC,kCAC/B,OAAO,CAAC,cAAc,CAAC,aAAa,KACvC,KAAK,EAAE,MAAA,OAAO,CAAC,cAAc,CAAC,aAAa,CAAC,KAAK,mCAAI,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,IACpF;gBACF,CAAC,CAAC,SAAS,CAAC;YAChB,IAAI,aAAa,EAAE,CAAC;gBAChB,GAAG,CAAC,GAAG,CAAC,aAAa,CAAC,CAAC;YAC3B,CAAC;YACD,IAAI,CAAA,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,eAAe,MAAK,KAAK,EAAE,CAAC;gBAC3D,GAAG,CAAC,GAAG,CAAC,CAAC,GAAY,EAAE,GAAG,EAAE,IAAI,EAAE,EAAE;oBAChC,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;wBACzB,OAAO,IAAI,EAAE,CAAC;oBAClB,CAAC;oBACD,GAAG,CAAC,SAAS,CAAC,wBAAwB,EAAE,SAAS,CAAC,CAAC;oBACnD,GAAG,CAAC,SAAS,CAAC,iBAAiB,EAAE,YAAY,CAAC,CAAC;oBAC/C,GAAG,CAAC,SAAS,CAAC,iBAAiB,EAAE,aAAa,CAAC,CAAC;oBAChD,GAAG,CAAC,SAAS,CAAC,oBAAoB,EAAE,0CAA0C,CAAC,CAAC;oBAChF,OAAO,IAAI,EAAE,CAAC;gBAClB,CAAC,CAAC,CAAC;YACP,CAAC;YAED,GAAG,CAAC,GAAG,CAAC,CAAC,GAAY,EAAE,GAAG,EAAE,IAAI,EAAE,EAAE;gBAChC,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;oBACzB,OAAO,IAAI,EAAE,CAAC;gBAClB,CAAC;gBACD,OAAO,WAAW,CAAC,GAAG,EAAE,GAAG,EAAE,IAAI,CAAC,CAAC;YACvC,CAAC,CAAC,CAAC;YAEH,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,IAAA,uBAAgB,EAAC,GAAG,EAAE,OAAO,CAAC,cAAc,CAAC,CAAC;gBAC9C,IAAI,QAAQ,EAAE,CAAC;oBACX,MAAM,CAAC,IAAI,CAAC,gCAAgC,QAAQ,EAAE,CAAC,CAAC;gBAC5D,CAAC;YACL,CAAC;YAED,MAAM,mBAAmB,GAAG,IAAI,iCAAc,CAAC,WAAW,CAAC,CAAC;YAC5D,MAAM,OAAO,GAAG,MAAM,kBAAW,CAAC,MAAM,CAAC,uCAAkB,CAAC,OAAO,CAAC,OAAO,CAAC,EAAE,mBAAmB,kBAC7F,UAAU,EAAE,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,UAAU,MAAK,KAAK,IACtC,CAAC,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,MAAM,EAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EACxD,CAAC;YAEH,IAAI,CAAA,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,IAAI,MAAK,KAAK,EAAE,CAAC;gBAChD,OAAO,CAAC,UAAU,CAAC,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,IAAI,CAAC,CAAC;YAC5D,CAAC;YACD,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,iFAAiF;gBACjF,OAAO,CAAC,cAAc,CAAC,IAAA,+CAA2B,GAAE,CAAC,CAAC;gBACtD,OAAO,CAAC,gBAAgB,CAAC,IAAI,uDAA0B,EAAE,CAAC,CAAC;YAC/D,CAAC;YAED,OAAO,CAAC,eAAe,CAAC,KAAK,EAAE;gBAC3B,OAAO,EAAE,IAAA,wCAAwB,EAAC,eAAe,CAAC;aACrD,CAAC,CAAC;YAEH,oEAAoE;YACpE,MAAM,QAAQ,GAAG,IAAA,4BAAY,EAAC,OAAO,EAAE,eAAe,CAAC,CAAC;YAExD,MAAM,OAAO,CAAC,IAAI,EAAE,CAAC;YACrB,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,MAAM,eAAe,GAAG,IAAA,8CAA6B,EAAC,GAAG,EAAE,OAAO,CAAC,CAAC;gBACpE,GAAG,CAAC,MAAM,CAAC,kBAAkB,GAAG,eAAe,CAAC,sBAAsB,CAAC;gBACvE,IAAA,uCAAqB,EAAC,eAAe,CAAC,sBAAsB,CAAC,CAAC;gBAC9D,IAAA,8BAAiB,EAAC,OAAO,CAAC,cAAc,EAAE,eAAe,CAAC,CAAC;YAC/D,CAAC;YAED,MAAM,CAAC,IAAI,CAAC,8CAA8C,CAAC,CAAC;YAE5D,OAAO,EAAE,OAAO,EAAE,QAAQ,EAAE,CAAC;QACjC,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACb,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,IAAA,+CAA6B,EAAC,KAAK,CAAC,CAAC;YACzC,CAAC;YACD,MAAM,CAAC,KAAK,CAAC,yCAAyC,EAAE,KAAK,CAAC,CAAC;YAC/D,MAAM,KAAK,CAAC;QAChB,CAAC;IACL,CAAC;CAAA","sourcesContent":["import express, { Application, Request } from \"express\";\nimport { NestFactory } from \"@nestjs/core\";\nimport { ExpressAdapter } from \"@nestjs/platform-express\";\nimport type { INestApplication } from \"@nestjs/common\";\nimport type { OpenAPIObject } from \"@nestjs/swagger\";\nimport {\n    buildOpenApiExcludePaths,\n    isOpenApiRequestPath,\n    resolveAccessiOpenApiOptions,\n    setupOpenApi\n} from \"./openapi/OpenApiConfig\";\nimport { Logger } from \"./Logger\";\nimport { EmilsoftwareModule, EmilsoftwareOptions } from \"./EmilsoftwareModule\";\nimport {\n    beginAccessiAuthInitialization,\n    failAccessiAuthInitialization,\n    setAccessiAuthService\n} from \"./accessi-module/middleware/authenticateGen\";\nimport { registerAccessiModuleServices } from \"./accessi-module/accessiRuntime\";\nimport { logAccessiStartup } from \"./accessi-module/startupLog\";\nimport { createAccessiValidationPipe } from './accessi-module/security/accessiValidation';\nimport { AccessiHttpExceptionFilter } from './accessi-module/security/AccessiHttpExceptionFilter';\nimport { getAccessiJwksPath, setupAccessiJwks } from './accessi-module/security/jwks';\nimport { createAccessiEdgeRateLimitMiddleware } from './accessi-module/security/edgeRateLimit';\n\n/** Esito del bootstrap del modulo unificato. */\nexport interface EmilsoftwareModuleInitializationResult {\n    /** Sotto-app Nest che serve Accessi, Allegati e la documentazione. */\n    nestApp: INestApplication;\n    /** Documento OpenAPI generato, mergiabile nel documento unico dell'host. */\n    document: OpenAPIObject;\n}\n\n/**\n * Initializes the unified module that combines Accessi and Allegati functionality\n * @param app Express application instance\n * @param options Configuration options for both modules\n * @returns Il sotto-app Nest e il documento OpenAPI generato.\n */\nexport async function initEmilsoftwareModule(\n    app: Application,\n    options: EmilsoftwareOptions\n): Promise<EmilsoftwareModuleInitializationResult> {\n    const logger: Logger = new Logger(initEmilsoftwareModule.name);\n    if (options?.accessiOptions) {\n        beginAccessiAuthInitialization();\n    }\n\n    try {\n        // Isolate Nest on a dedicated Express instance and dispatch only module routes.\n        // This keeps pre-existing routes/middlewares on the host app untouched.\n        // Prefisso OpenAPI configurabile (default `accessi/openapi`), cosi' piu'\n        // documentazioni possono convivere (backend su `/openapi`, moduli sotto\n        // `/<modulo>/openapi`).\n        // Precedenza: EmilsoftwareOptions.openapi > AccessiOptions.openapi > default.\n        const resolvedOpenApi = resolveAccessiOpenApiOptions(\n            options?.accessiOptions?.openapi,\n            options?.openapi\n        );\n\n        const nestHostApp = express();\n        if (options?.accessiOptions?.http?.trustProxy !== undefined) {\n            app.set('trust proxy', options.accessiOptions.http.trustProxy);\n            nestHostApp.set('trust proxy', options.accessiOptions.http.trustProxy);\n        }\n        const jwksPath = options?.accessiOptions\n            ? getAccessiJwksPath(options.accessiOptions)\n            : undefined;\n        const isNestRoute = (path: string) =>\n            path === \"/api\" ||\n            path.startsWith(\"/api/\") ||\n            isOpenApiRequestPath(path, resolvedOpenApi) ||\n            (jwksPath !== undefined && path === jwksPath);\n        const edgeRateLimit = options?.accessiOptions?.edgeRateLimit\n            ? createAccessiEdgeRateLimitMiddleware({\n                ...options.accessiOptions.edgeRateLimit,\n                match: options.accessiOptions.edgeRateLimit.match ?? ((path) => isNestRoute(path)),\n            })\n            : undefined;\n        if (edgeRateLimit) {\n            app.use(edgeRateLimit);\n        }\n        if (options?.accessiOptions?.http?.securityHeaders !== false) {\n            app.use((req: Request, res, next) => {\n                if (!isNestRoute(req.path)) {\n                    return next();\n                }\n                res.setHeader('X-Content-Type-Options', 'nosniff');\n                res.setHeader('X-Frame-Options', 'SAMEORIGIN');\n                res.setHeader('Referrer-Policy', 'no-referrer');\n                res.setHeader('Permissions-Policy', 'camera=(), microphone=(), geolocation=()');\n                return next();\n            });\n        }\n\n        app.use((req: Request, res, next) => {\n            if (!isNestRoute(req.path)) {\n                return next();\n            }\n            return nestHostApp(req, res, next);\n        });\n\n        if (options?.accessiOptions) {\n            setupAccessiJwks(app, options.accessiOptions);\n            if (jwksPath) {\n                logger.info(`JWKS accessi disponibile su: ${jwksPath}`);\n            }\n        }\n\n        const nestExpressInstance = new ExpressAdapter(nestHostApp);\n        const nestApp = await NestFactory.create(EmilsoftwareModule.forRoot(options), nestExpressInstance, {\n            bufferLogs: options?.bufferLogs !== false,\n            ...(options?.logger ? { logger: options.logger } : {})\n        });\n\n        if (options?.accessiOptions?.http?.cors !== false) {\n            nestApp.enableCors(options?.accessiOptions?.http?.cors);\n        }\n        if (options?.accessiOptions) {\n            // Keep the Accessi API contract identical for standalone and unified bootstraps.\n            nestApp.useGlobalPipes(createAccessiValidationPipe());\n            nestApp.useGlobalFilters(new AccessiHttpExceptionFilter());\n        }\n\n        nestApp.setGlobalPrefix('api', {\n            exclude: buildOpenApiExcludePaths(resolvedOpenApi)\n        });\n\n        // Documentazione OpenAPI del modulo unificato (Accessi + Allegati).\n        const document = setupOpenApi(nestApp, resolvedOpenApi);\n\n        await nestApp.init();\n        if (options?.accessiOptions) {\n            const accessiServices = registerAccessiModuleServices(app, nestApp);\n            app.locals.accessiAuthService = accessiServices.authenticateGenService;\n            setAccessiAuthService(accessiServices.authenticateGenService);\n            logAccessiStartup(options.accessiOptions, resolvedOpenApi);\n        }\n\n        logger.info(\"Emilsoftware module initialized successfully\");\n\n        return { nestApp, document };\n    } catch (error) {\n        if (options?.accessiOptions) {\n            failAccessiAuthInitialization(error);\n        }\n        logger.error(\"Error initializing Emilsoftware Module:\", error);\n        throw error;\n    }\n}\n"]}
+{"version":3,"file":"initEmilsoftwareModule.js","sourceRoot":"","sources":["../src/initEmilsoftwareModule.ts"],"names":[],"mappings":";;;;;;;;;;;;;;AAwCA,wDA4GC;AApJD,sDAAwD;AACxD,uCAA2C;AAC3C,+DAA0D;AAG1D,2DAKiC;AACjC,qCAAkC;AAClC,6DAA+E;AAC/E,iFAIqD;AACrD,oEAAgF;AAChF,4DAAgE;AAChE,mFAA0F;AAC1F,qGAAkG;AAClG,yDAAsF;AACtF,2EAA+F;AAC/F,+EAAmG;AAUnG;;;;;GAKG;AACH,SAAsB,sBAAsB,CACxC,GAAgB,EAChB,OAA4B;;;QAE5B,MAAM,MAAM,GAAW,IAAI,eAAM,CAAC,sBAAsB,CAAC,IAAI,CAAC,CAAC;QAC/D,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;YAC1B,IAAA,gDAA8B,GAAE,CAAC;QACrC,CAAC;QAED,IAAI,CAAC;YACD,gFAAgF;YAChF,wEAAwE;YACxE,yEAAyE;YACzE,wEAAwE;YACxE,wBAAwB;YACxB,8EAA8E;YAC9E,MAAM,eAAe,GAAG,IAAA,4CAA4B,EAChD,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,OAAO,EAChC,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,OAAO,CACnB,CAAC;YAEF,MAAM,WAAW,GAAG,IAAA,iBAAO,GAAE,CAAC;YAC9B,IAAI,CAAA,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,UAAU,MAAK,SAAS,EAAE,CAAC;gBAC1D,GAAG,CAAC,GAAG,CAAC,aAAa,EAAE,OAAO,CAAC,cAAc,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC;gBAC/D,WAAW,CAAC,GAAG,CAAC,aAAa,EAAE,OAAO,CAAC,cAAc,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC;YAC3E,CAAC;YACD,MAAM,QAAQ,GAAG,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc;gBACpC,CAAC,CAAC,IAAA,yBAAkB,EAAC,OAAO,CAAC,cAAc,CAAC;gBAC5C,CAAC,CAAC,SAAS,CAAC;YAChB,MAAM,WAAW,GAAG,CAAC,IAAY,EAAE,EAAE,CACjC,IAAI,KAAK,MAAM;gBACf,IAAI,CAAC,UAAU,CAAC,OAAO,CAAC;gBACxB,IAAA,oCAAoB,EAAC,IAAI,EAAE,eAAe,CAAC;gBAC3C,CAAC,QAAQ,KAAK,SAAS,IAAI,IAAI,KAAK,QAAQ,CAAC,CAAC;YAClD,MAAM,aAAa,GAAG,CAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,aAAa;gBACxD,CAAC,CAAC,IAAA,oDAAoC,kCAC/B,OAAO,CAAC,cAAc,CAAC,aAAa,KACvC,KAAK,EAAE,MAAA,OAAO,CAAC,cAAc,CAAC,aAAa,CAAC,KAAK,mCAAI,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,IACpF;gBACF,CAAC,CAAC,SAAS,CAAC;YAChB,IAAI,aAAa,EAAE,CAAC;gBAChB,GAAG,CAAC,GAAG,CAAC,aAAa,CAAC,CAAC;YAC3B,CAAC;YACD,IAAI,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,KAAI,CAAA,MAAA,OAAO,CAAC,cAAc,CAAC,IAAI,0CAAE,eAAe,MAAK,KAAK,EAAE,CAAC;gBACpF,MAAM,eAAe,GAAG,IAAA,wDAAsC,EAC1D,MAAA,OAAO,CAAC,cAAc,CAAC,IAAI,0CAAE,eAAe,EAC5C,WAAW,EACX,EAAE,WAAW,EAAE,CAAC,IAAI,EAAE,EAAE,CAAC,IAAA,oCAAoB,EAAC,IAAI,EAAE,eAAe,CAAC,EAAE,CACzE,CAAC;gBACF,IAAI,eAAe,EAAE,CAAC;oBAClB,GAAG,CAAC,GAAG,CAAC,eAAe,CAAC,CAAC;gBAC7B,CAAC;YACL,CAAC;YAED,GAAG,CAAC,GAAG,CAAC,CAAC,GAAY,EAAE,GAAG,EAAE,IAAI,EAAE,EAAE;gBAChC,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;oBACzB,OAAO,IAAI,EAAE,CAAC;gBAClB,CAAC;gBACD,OAAO,WAAW,CAAC,GAAG,EAAE,GAAG,EAAE,IAAI,CAAC,CAAC;YACvC,CAAC,CAAC,CAAC;YAEH,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,IAAA,uBAAgB,EAAC,GAAG,EAAE,OAAO,CAAC,cAAc,CAAC,CAAC;gBAC9C,IAAI,QAAQ,EAAE,CAAC;oBACX,MAAM,CAAC,IAAI,CAAC,gCAAgC,QAAQ,EAAE,CAAC,CAAC;gBAC5D,CAAC;YACL,CAAC;YAED,MAAM,mBAAmB,GAAG,IAAI,iCAAc,CAAC,WAAW,CAAC,CAAC;YAC5D,MAAM,OAAO,GAAG,MAAM,kBAAW,CAAC,MAAM,CAAC,uCAAkB,CAAC,OAAO,CAAC,OAAO,CAAC,EAAE,mBAAmB,kBAC7F,UAAU,EAAE,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,UAAU,MAAK,KAAK,IACtC,CAAC,CAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,MAAM,EAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EACxD,CAAC;YAEH,IAAI,CAAA,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,IAAI,MAAK,KAAK,EAAE,CAAC;gBAChD,OAAO,CAAC,UAAU,CAAC,MAAA,MAAA,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,0CAAE,IAAI,0CAAE,IAAI,CAAC,CAAC;YAC5D,CAAC;YACD,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,iFAAiF;gBACjF,OAAO,CAAC,cAAc,CAAC,IAAA,+CAA2B,GAAE,CAAC,CAAC;gBACtD,OAAO,CAAC,gBAAgB,CAAC,IAAI,uDAA0B,EAAE,CAAC,CAAC;YAC/D,CAAC;YAED,OAAO,CAAC,eAAe,CAAC,KAAK,EAAE;gBAC3B,OAAO,EAAE,IAAA,wCAAwB,EAAC,eAAe,CAAC;aACrD,CAAC,CAAC;YAEH,oEAAoE;YACpE,MAAM,QAAQ,GAAG,IAAA,4BAAY,EAAC,OAAO,EAAE,eAAe,CAAC,CAAC;YAExD,MAAM,OAAO,CAAC,IAAI,EAAE,CAAC;YACrB,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,MAAM,eAAe,GAAG,IAAA,8CAA6B,EAAC,GAAG,EAAE,OAAO,CAAC,CAAC;gBACpE,GAAG,CAAC,MAAM,CAAC,kBAAkB,GAAG,eAAe,CAAC,sBAAsB,CAAC;gBACvE,IAAA,uCAAqB,EAAC,eAAe,CAAC,sBAAsB,CAAC,CAAC;gBAC9D,IAAA,8BAAiB,EAAC,OAAO,CAAC,cAAc,EAAE,eAAe,CAAC,CAAC;YAC/D,CAAC;YAED,MAAM,CAAC,IAAI,CAAC,8CAA8C,CAAC,CAAC;YAE5D,OAAO,EAAE,OAAO,EAAE,QAAQ,EAAE,CAAC;QACjC,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACb,IAAI,OAAO,aAAP,OAAO,uBAAP,OAAO,CAAE,cAAc,EAAE,CAAC;gBAC1B,IAAA,+CAA6B,EAAC,KAAK,CAAC,CAAC;YACzC,CAAC;YACD,MAAM,CAAC,KAAK,CAAC,yCAAyC,EAAE,KAAK,CAAC,CAAC;YAC/D,MAAM,KAAK,CAAC;QAChB,CAAC;IACL,CAAC;CAAA","sourcesContent":["import express, { Application, Request } from \"express\";\nimport { NestFactory } from \"@nestjs/core\";\nimport { ExpressAdapter } from \"@nestjs/platform-express\";\nimport type { INestApplication } from \"@nestjs/common\";\nimport type { OpenAPIObject } from \"@nestjs/swagger\";\nimport {\n    buildOpenApiExcludePaths,\n    isOpenApiRequestPath,\n    resolveAccessiOpenApiOptions,\n    setupOpenApi\n} from \"./openapi/OpenApiConfig\";\nimport { Logger } from \"./Logger\";\nimport { EmilsoftwareModule, EmilsoftwareOptions } from \"./EmilsoftwareModule\";\nimport {\n    beginAccessiAuthInitialization,\n    failAccessiAuthInitialization,\n    setAccessiAuthService\n} from \"./accessi-module/middleware/authenticateGen\";\nimport { registerAccessiModuleServices } from \"./accessi-module/accessiRuntime\";\nimport { logAccessiStartup } from \"./accessi-module/startupLog\";\nimport { createAccessiValidationPipe } from './accessi-module/security/accessiValidation';\nimport { AccessiHttpExceptionFilter } from './accessi-module/security/AccessiHttpExceptionFilter';\nimport { getAccessiJwksPath, setupAccessiJwks } from './accessi-module/security/jwks';\nimport { createAccessiEdgeRateLimitMiddleware } from './accessi-module/security/edgeRateLimit';\nimport { createAccessiSecurityHeadersMiddleware } from './accessi-module/security/securityHeaders';\n\n/** Esito del bootstrap del modulo unificato. */\nexport interface EmilsoftwareModuleInitializationResult {\n    /** Sotto-app Nest che serve Accessi, Allegati e la documentazione. */\n    nestApp: INestApplication;\n    /** Documento OpenAPI generato, mergiabile nel documento unico dell'host. */\n    document: OpenAPIObject;\n}\n\n/**\n * Initializes the unified module that combines Accessi and Allegati functionality\n * @param app Express application instance\n * @param options Configuration options for both modules\n * @returns Il sotto-app Nest e il documento OpenAPI generato.\n */\nexport async function initEmilsoftwareModule(\n    app: Application,\n    options: EmilsoftwareOptions\n): Promise<EmilsoftwareModuleInitializationResult> {\n    const logger: Logger = new Logger(initEmilsoftwareModule.name);\n    if (options?.accessiOptions) {\n        beginAccessiAuthInitialization();\n    }\n\n    try {\n        // Isolate Nest on a dedicated Express instance and dispatch only module routes.\n        // This keeps pre-existing routes/middlewares on the host app untouched.\n        // Prefisso OpenAPI configurabile (default `accessi/openapi`), cosi' piu'\n        // documentazioni possono convivere (backend su `/openapi`, moduli sotto\n        // `/<modulo>/openapi`).\n        // Precedenza: EmilsoftwareOptions.openapi > AccessiOptions.openapi > default.\n        const resolvedOpenApi = resolveAccessiOpenApiOptions(\n            options?.accessiOptions?.openapi,\n            options?.openapi\n        );\n\n        const nestHostApp = express();\n        if (options?.accessiOptions?.http?.trustProxy !== undefined) {\n            app.set('trust proxy', options.accessiOptions.http.trustProxy);\n            nestHostApp.set('trust proxy', options.accessiOptions.http.trustProxy);\n        }\n        const jwksPath = options?.accessiOptions\n            ? getAccessiJwksPath(options.accessiOptions)\n            : undefined;\n        const isNestRoute = (path: string) =>\n            path === \"/api\" ||\n            path.startsWith(\"/api/\") ||\n            isOpenApiRequestPath(path, resolvedOpenApi) ||\n            (jwksPath !== undefined && path === jwksPath);\n        const edgeRateLimit = options?.accessiOptions?.edgeRateLimit\n            ? createAccessiEdgeRateLimitMiddleware({\n                ...options.accessiOptions.edgeRateLimit,\n                match: options.accessiOptions.edgeRateLimit.match ?? ((path) => isNestRoute(path)),\n            })\n            : undefined;\n        if (edgeRateLimit) {\n            app.use(edgeRateLimit);\n        }\n        if (options?.accessiOptions && options.accessiOptions.http?.securityHeaders !== false) {\n            const securityHeaders = createAccessiSecurityHeadersMiddleware(\n                options.accessiOptions.http?.securityHeaders,\n                isNestRoute,\n                { isOpenApiUi: (path) => isOpenApiRequestPath(path, resolvedOpenApi) },\n            );\n            if (securityHeaders) {\n                app.use(securityHeaders);\n            }\n        }\n\n        app.use((req: Request, res, next) => {\n            if (!isNestRoute(req.path)) {\n                return next();\n            }\n            return nestHostApp(req, res, next);\n        });\n\n        if (options?.accessiOptions) {\n            setupAccessiJwks(app, options.accessiOptions);\n            if (jwksPath) {\n                logger.info(`JWKS accessi disponibile su: ${jwksPath}`);\n            }\n        }\n\n        const nestExpressInstance = new ExpressAdapter(nestHostApp);\n        const nestApp = await NestFactory.create(EmilsoftwareModule.forRoot(options), nestExpressInstance, {\n            bufferLogs: options?.bufferLogs !== false,\n            ...(options?.logger ? { logger: options.logger } : {})\n        });\n\n        if (options?.accessiOptions?.http?.cors !== false) {\n            nestApp.enableCors(options?.accessiOptions?.http?.cors);\n        }\n        if (options?.accessiOptions) {\n            // Keep the Accessi API contract identical for standalone and unified bootstraps.\n            nestApp.useGlobalPipes(createAccessiValidationPipe());\n            nestApp.useGlobalFilters(new AccessiHttpExceptionFilter());\n        }\n\n        nestApp.setGlobalPrefix('api', {\n            exclude: buildOpenApiExcludePaths(resolvedOpenApi)\n        });\n\n        // Documentazione OpenAPI del modulo unificato (Accessi + Allegati).\n        const document = setupOpenApi(nestApp, resolvedOpenApi);\n\n        await nestApp.init();\n        if (options?.accessiOptions) {\n            const accessiServices = registerAccessiModuleServices(app, nestApp);\n            app.locals.accessiAuthService = accessiServices.authenticateGenService;\n            setAccessiAuthService(accessiServices.authenticateGenService);\n            logAccessiStartup(options.accessiOptions, resolvedOpenApi);\n        }\n\n        logger.info(\"Emilsoftware module initialized successfully\");\n\n        return { nestApp, document };\n    } catch (error) {\n        if (options?.accessiOptions) {\n            failAccessiAuthInitialization(error);\n        }\n        logger.error(\"Error initializing Emilsoftware Module:\", error);\n        throw error;\n    }\n}\n"]}

package/docs/jwt-key-rotation.md

@@ -0,0 +1,143 @@
+# Rotazione delle chiavi JWT
+
+Accessi firma gli access token (e i refresh token, se abilitati) con una chiave
+corrente e pubblica le chiavi pubbliche nella JWKS. La rotazione non deve
+invalidare i token gia emessi: durante il rollout la JWKS contiene la chiave
+nuova e quelle precedenti, e la verifica accetta entrambe.
+
+Riferimenti:
+
+- `jwtOptions.keyId`, `jwtOptions.previousPublicKeys`, `jwtOptions.onUnknownKeyId`
+- `generate-accessi-jwt-keys.cjs` (prima generazione)
+- `rotate-accessi-jwt-keys.cjs` (rotazione)
+
+## Modello
+
+| Elemento | Ruolo |
+| --- | --- |
+| `jwtOptions.privateKey` / `publicKey` | chiave corrente: firma i nuovi token |
+| `jwtOptions.keyId` | `kid` pubblicato nell'header e nella JWKS |
+| `jwtOptions.previousPublicKeys` | chiavi pubbliche ancora accettate in verifica |
+| `ACCESSI_JWT_PREVIOUS_PUBLIC_KEYS` | le stesse chiavi lette da env, in JSON |
+| `jwtOptions.onUnknownKeyId` | alert quando un token usa un `kid` sconosciuto |
+
+Senza `keyId`, Accessi usa il fingerprint SHA-256 della chiave pubblica
+(`base64url`, primi 16 caratteri). Lo stesso valore viene usato dallo script di
+rotazione e dal resource server.
+
+## Configurazione da env
+
+```bash
+ACCESSI_JWT_ALGORITHM=RS256
+ACCESSI_JWT_PRIVATE_KEY="$(cat jwt-private.pem)"
+ACCESSI_JWT_PUBLIC_KEY="$(cat jwt-public.pem)"
+ACCESSI_JWT_KEY_ID=2026-10
+ACCESSI_JWT_PREVIOUS_PUBLIC_KEYS='[
+  { "keyId": "2026-04", "publicKey": "-----BEGIN PUBLIC KEY-----\n...\n-----END PUBLIC KEY-----" }
+]'
+```
+
+Forme accettate nell'array:
+
+- stringa PEM;
+- oggetto `{ "publicKey": "<PEM>", "keyId": "<kid>", "algorithm": "RS256" }`.
+
+`keyId` e `algorithm` sono opzionali. Le sequenze `\n` letterali vengono
+convertite in newline, cosi il valore resta su una riga nel secret manager. Un
+JSON malformato o una chiave non PEM bloccano il boot (`ACCESSI_JWT_PREVIOUS_KEY_INVALID`),
+invece di lasciare token non verificabili in produzione.
+
+Con `HS256` le chiavi precedenti sono ignorate: la rotazione HMAC richiede di
+cambiare `jwtOptions.secret`, che invalida tutti i token. Per una rotazione
+senza interruzioni usare RS256 o ES256.
+
+## Procedura di rotazione
+
+1. **Genera la nuova coppia** con lo script, passando la chiave corrente come
+   precedente:
+
+   ```bash
+   npm run accessi:rotate-jwt-keys -- \
+     --out ./keys-2026-10 \
+     --current-public-key-file ./keys-2026-04/jwt-public.pem \
+     --current-key-id 2026-04
+   ```
+
+   Lo script scrive `jwt-private.pem`, `jwt-public.pem`, `jwks.json` e
+   `rotation.json` (contiene i valori `ACCESSI_*` da mettere nel secret manager).
+   Con `--previous-file` o `--previous` importa le chiavi precedenti gia in uso;
+   `--retain N` limita quante mantenerne (default 3).
+
+2. **Consumatori con JWKS**: nessuna azione. Al primo token con `kid` nuovo il
+   resource server forza un refresh della JWKS (throttle default 5 s,
+   `jwt.jwks.minRefreshIntervalMs`) e continua a verificare i token vecchi con le
+   chiavi precedenti.
+
+3. **Consumatori con `publicKey` statica**: distribuisci prima la nuova chiave
+   pubblica (o passa a `jwt.jwks`), poi cambia la chiave di firma. Chi usa la
+   sola chiave statica non puo conoscere in anticipo la chiave nuova.
+
+4. **Deploy di Accessi** con i nuovi valori. La JWKS pubblica subito nuova
+   chiave + precedenti, quindi i token emessi prima restano validi.
+
+5. **Verifica il rollout**:
+
+   ```bash
+   node scripts/rotate-accessi-jwt-keys.cjs --out ./keys-2026-10 \
+     --check https://accessi.example.com/api/accessi/.well-known/jwks.json --only-check
+   ```
+
+   Il comando fallisce se un `kid` del documento non e pubblicato. Esegui la
+   verifica su ogni istanza dietro il load balancer (o sull'endpoint pubblico)
+   prima di considerare conclusa la rotazione.
+
+6. **Rimuovi le chiavi precedenti** solo dopo la durata massima dei token:
+   `max(jwtOptions.expiresIn, jwtOptions.refreshExpiresIn)`. Finche restano in
+   `previousPublicKeys` i refresh token firmati con la vecchia chiave continuano
+   a funzionare.
+
+## Rollback
+
+Se il deploy della nuova chiave va storto, ripristina i valori precedenti di
+`privateKey`, `publicKey`, `keyId` e `previousPublicKeys`: i token firmati con la
+chiave nuova smettono di essere validi, quelli vecchi tornano a esserlo. Per
+questo la vecchia chiave privata va conservata nel secret manager finche la
+rotazione non e conclusa.
+
+## Alert su `kid` sconosciuto
+
+Un `kid` assente da chiave corrente e precedenti indica una rotazione incompleta
+o un token manomesso. Collega l'evento al tuo sistema di allerta:
+
+```ts
+const accessiOptions: AccessiOptions = {
+  // ...
+  jwtOptions: {
+    // ...
+    onUnknownKeyId: ({ keyId, algorithm, purpose }) => {
+      logger.warn({ keyId, algorithm, purpose }, 'JWT kid sconosciuto');
+      metrics.increment('accessi_jwt_unknown_kid');
+    },
+  },
+};
+
+// Resource server con JWKS remoto
+const jwtOptions: AccessiResourceServerJwtOptions = {
+  jwks: { url: 'https://accessi.example.com/api/accessi/.well-known/jwks.json' },
+  onUnknownKeyId: ({ kid, algorithm, source }) => {
+    logger.warn({ kid, algorithm, source }, 'kid non presente nella JWKS');
+  },
+};
+```
+
+L'evento non cambia l'esito dell'autenticazione: l'eccezione di un logger o di
+un webhook non trasforma un `401` in un `500`.
+
+## Cache e tempi
+
+- La JWKS Accessi risponde con `Cache-Control: public, max-age=300`.
+- Il resource server usa `cacheTtlMs` (default 300000) e, su `kid` sconosciuto,
+  un solo refresh forzato non piu frequente di `minRefreshIntervalMs` (default
+  5000). Un flood di `kid` inventati non puo martellare la JWKS.
+- Con CDN o reverse proxy davanti alla JWKS, non impostare un TTL superiore a
+  `cacheTtlMs`: la rotazione resterebbe invisibile fino alla scadenza della cache.

package/docs/security-headers.md

@@ -0,0 +1,151 @@
+# Header di sicurezza e CSP
+
+Accessi applica header di sicurezza alle proprie rotte (`/api/accessi/*`, JWKS e
+documentazione OpenAPI). La configurazione avviene in `http.securityHeaders`:
+
+```ts
+const accessiOptions: AccessiOptions = {
+  // ...
+  http: {
+    securityHeaders: {
+      frameOptions: 'SAMEORIGIN',
+      referrerPolicy: 'no-referrer',
+      permissionsPolicy: 'camera=(), microphone=(), geolocation=()',
+      cacheControl: 'no-store, max-age=0',
+      contentSecurityPolicy: {
+        reportOnly: false,
+        connectSrc: ['https://api.example.com'],
+        reportUri: 'https://csp.example.com/report',
+        directives: {
+          'img-src': ["'self'", 'data:', 'https:'],
+        },
+      },
+    },
+  },
+};
+```
+
+`securityHeaders: false` disabilita tutto; `securityHeaders: true` (o l'omissione)
+usa i default. La forma storica booleana resta valida.
+
+## Default
+
+| Header | Valore | Note |
+| --- | --- | --- |
+| `X-Content-Type-Options` | `nosniff` | sempre presente |
+| `X-Frame-Options` | `SAMEORIGIN` | `false` per non inviarlo |
+| `Referrer-Policy` | `no-referrer` | `false` per non inviarla |
+| `Permissions-Policy` | `camera=(), microphone=(), geolocation=()` | `false` per non inviarla |
+| `Cache-Control` (shell console) | `no-store, max-age=0` | `false` per non inviarlo |
+| `Content-Security-Policy` | vedi sotto | `false` per disabilitarla |
+
+La shell della console risponde sempre con `Cache-Control: no-store`,
+`Referrer-Policy: no-referrer` e `X-Content-Type-Options: nosniff`, anche con
+`securityHeaders: false`, per non regredire rispetto alle versioni precedenti.
+
+## Content Security Policy
+
+Direttive di base:
+
+```
+default-src 'self'
+base-uri 'none'
+object-src 'none'
+frame-ancestors 'self'
+form-action 'self'
+img-src 'self' data:
+font-src 'self'
+style-src 'self'
+script-src 'self'
+connect-src 'self'
+```
+
+La policy cambia per superficie:
+
+- **Console** (`/api/accessi/console*`): i due script inline della shell ricevono
+  un nonce casuale per richiesta (`script-src 'self' 'nonce-...'`). Non viene mai
+  usato `'unsafe-inline'`. Se la console chiama l'API su un'altra origine, quella
+  origine viene aggiunta automaticamente a `connect-src` da
+  `consoleApiBaseUrl`.
+- **OpenAPI** (`/accessi/openapi*`): la UI Swagger genera script e stili inline a
+  runtime, quindi la policy include `'unsafe-inline'` per `script-src` e
+  `style-src`. È l'unica eccezione documentata; per rimuoverla impostare
+  `contentSecurityPolicy.swaggerUnsafeInline: false` e servire una UI Swagger
+  compatibile con nonce/hash.
+- **API e JWKS**: policy stretta, senza `'unsafe-inline'`.
+
+`directives` vince sui default: una direttiva impostata a `false` viene rimossa,
+altrimenti i valori sostituiscono quelli predefiniti. `connectSrc` aggiunge
+origini a `connect-src`; `reportUri` aggiunge `report-uri`.
+
+### Rollout con Report-Only
+
+1. Imposta `contentSecurityPolicy.reportOnly: true` e un `reportUri`.
+2. Raccogli le violazioni per almeno un ciclo di utilizzo della console.
+3. Aggiungi le origini legittime a `connectSrc` o alle direttive.
+4. Passa a `reportOnly: false`.
+
+## Reverse proxy
+
+Accessi non imposta HSTS: va configurato sul terminatore TLS insieme ai
+redirect HTTP→HTTPS.
+
+### Nginx
+
+```nginx
+location / {
+    proxy_pass http://accessi_upstream;
+    proxy_set_header Host $host;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+
+    # Non rimuovere gli header CSP inviati da Accessi.
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+}
+```
+
+`add_header` di Nginx si aggiunge solo se la risposta non ha già un header con
+lo stesso nome: non duplicare `Content-Security-Policy` a questo livello. Se il
+proxy deve imporre una policy propria, disattiva quella di Accessi
+(`contentSecurityPolicy: false`) e mantieni una sola policy, consapevole che la
+console richiede il nonce (il proxy non può generarlo al posto dell'app).
+
+### Traefik
+
+```yaml
+http:
+  middlewares:
+    accessi-headers:
+      headers:
+        stsSeconds: 31536000
+        stsIncludeSubdomains: true
+        contentTypeNosniff: true
+        referrerPolicy: no-referrer
+        customResponseHeaders:
+          Permissions-Policy: "camera=(), microphone=(), geolocation=()"
+```
+
+Non aggiungere `Content-Security-Policy` in `customResponseHeaders` se Accessi la
+invia già: due header CSP vengono applicati come intersezione e la console
+smetterebbe di funzionare. Per una policy unica, gestiscila in un solo punto.
+
+### Cloudflare
+
+- Abilita "Always Use HTTPS" e HSTS nelle impostazioni TLS/Edge.
+- Se usi Transform Rules per aggiungere header, escludi
+  `Content-Security-Policy`: Cloudflare non può generare il nonce della console.
+- Verifica che "Email Obfuscation" o altre feature che iniettano script inline
+  siano disattivate sulle pagine della console, altrimenti violano la CSP.
+- Con Cloudflare davanti alla JWKS, mantieni il TTL della cache allineato a
+  `jwt.jwks.cacheTtlMs` (default 300 s): un TTL più alto ritarda la rotazione
+  delle chiavi.
+
+## Verifica
+
+```bash
+curl -sSI https://accessi.example.com/api/accessi/console | grep -i -E 'content-security|x-frame|referrer|permissions'
+```
+
+La CSP della console cambia a ogni risposta per via del nonce: due richieste
+consecutive devono restituire policy diverse. Il nonce nell'header deve
+coincidere con quello dei due script inline nella pagina.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "emilsoftware-utilities",
-  "version": "2.0.0-dev.74",
+  "version": "2.0.0-dev.76",
   "description": "Utilities for EmilSoftware",
   "main": "dist/index.js",
   "module": "dist/index.js",
@@ -132,14 +132,15 @@
     "accessi:serve": "ts-node src/scripts/startAccessiService.ts",
     "accessi:serve:dist": "node dist/scripts/startAccessiService.js",
     "accessi:generate-jwt-keys": "node scripts/generate-accessi-jwt-keys.cjs",
+    "accessi:rotate-jwt-keys": "node scripts/rotate-accessi-jwt-keys.cjs",
     "db:catalog:accessi": "ts-node src/accessi-module/database-updates/runAccessiCatalogMigrations.ts",
     "db:catalog:accessi:check": "ts-node src/accessi-module/database-updates/runAccessiCatalogMigrations.ts --check",
     "prepublishOnly": "npm run build",
     "typecheck": "tsc --noEmit",
     "lint": "node scripts/lint.cjs",
     "test": "npm run typecheck && npm run lint && npm run test:unit",
-    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs",
-    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs",
+    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs",
+    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs",
     "test:accessi": "npm run test:unit",
     "test:all": "npm test && npm run test:integration && npm run test:integration:redis",
     "test:integration": "node test/integration/run-firebird.cjs 5",