emilsoftware-utilities 2.0.0-dev.83 → 2.0.0-dev.85

package/README.MD

@@ -1,323 +0,0 @@
-# Emilsoftware Utilities
-
-Documentazione completa del modulo Accessi, generata da `src/accessi-module/Console/wiki.ts` (stessa fonte della Wiki nella console):
-
-- **[WIKI.md](WIKI.md)** — guida completa con indice, esempi corretti e antipattern.
-- **[WIKI.ai.md](WIKI.ai.md)** — versione compatta da fornire a un'IA che costruisce il backend.
-
-Rigenera entrambi con `npm run generate:accessi-wiki` (incluso in `npm run build`).
-
-## Catalog migrations SQL
-
-Per allineare menu, ruoli e cataloghi su più database, configura `catalogScripts` in `AccessiOptions`
-(cartella con script `.sql` versionati nel backend) e usa le CLI:
-
-```bash
-ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi
-ACCESSI_CATALOG_FOLDER=./db/accessi-catalog npm run db:catalog:accessi:check
-```
-
-Gli script sono applicati dopo la riconciliazione dello schema, una sola volta per database,
-con tracking in `ACCESSI_CATALOG_SCRIPT` (nome + checksum). Dettagli nella Wiki, sezione
-"Catalog migrations SQL".
-
----
-
-Convenzioni per i Commit Message
-
-1. feat:
-Descrizione: Nuova feature
-Esempio: feat: aggiunta endpoint per notifiche
-Trigger: MINOR release (es. 1.3.0 -> 1.4.0)
-Su dev: 1.4.0-dev.0
-
-2. fix:
-Descrizione: Correzione di bug
-Esempio: fix: gestione errore null in login
-Trigger: PATCH release (es. 1.3.1)
-Su dev: 1.3.1-dev.0
-
-3. BREAKING CHANGE:
-Descrizione: Cambiamento che rompe la compatibilità all'indietro
-Esempio:
-feat!: rimozione supporto legacy
-BREAKING CHANGE: cambia lo schema JWT
-Trigger: MAJOR release (es. 1.0.0 -> 2.0.0)
-
-4. Altri tipi di commit
-Esempi: chore:, docs:, test:, refactor:
-Descrizione: Non triggerano una release di default, a meno che non siano configurati esplicitamente nel commit-analyzer.
-Esempio: chore: aggiorna dipendenze
-
-5. Forzare una Release
-Descrizione: Utile in caso di merge o altre operazioni.
-Comandi:
-git commit --allow-empty -m "feat: trigger test release"
-Poi:
-git push origin dev
-Oppure:
-git push origin main
-
-## Accessi
-
-La documentazione operativa del modulo accessi si trova in [src/accessi-module/README.md](src/accessi-module/README.md).
-
-## Componenti Angular / Browser
-
-Componenti UI frameworkless (Web Components) pubblicati in
-`dist/angular-components/`. Non richiedono Angular, Ionic o React; supportano
-temi light/dark e i token Bootstrap 5.3.
-
-- [Catalogo componenti](src/angular-components/README.md)
-- [`aree-disponibili`](src/angular-components/aree-disponibili/README.md)
-
-## Test e qualita
-
-| Comando | Descrizione |
-| --- | --- |
-| `npm run typecheck` | Typecheck TypeScript in modalita `strict` (piu flag di igiene) |
-| `npm run lint` | Lint dependency-free (no `any`, no `@ts-ignore`, no `console.*` fuori dal logger) |
-| `npm test` | Typecheck + lint + test unitari |
-| `npm run test:unit` | Solo test unitari (`node --test`) |
-| `npm run test:coverage` | Test unitari con report e **soglie minime** di copertura |
-| `npm run test:integration` | Integration test su Firebird reale (default: porta 3055) |
-| `npm run test:integration:fb5` / `:fb3` / `:fb25` | Integration test su Firebird 5 / 3 / 2.5 |
-| `npm run test:integration:redis` | Integration test degli store Redis (opt-in, salta senza `ACCESSI_TEST_REDIS_URL`) |
-| `npm run test:accessi-console` | Test end-to-end della console (richiede un browser Chromium e la build) |
-
-### Integration test su Firebird reale
-
-Avvia i database di test (Firebird 5 sulla 3055, Firebird 3 sulla 3056, Firebird 2.5 sulla 3057) e lancia la suite:
-
-```bash
-docker compose -f docker-compose.test.yml up -d
-npm run test:integration:fb5
-npm run test:integration:fb3
-npm run test:integration:fb25
-docker compose -f docker-compose.test.yml down -v
-```
-
-Firebird 2.5 usa l'immagine `jacobalberty/firebird:v2.5.9-ss` (l'immagine ufficiale non copre la 2.5) con `Legacy_Auth` e wire crypt disabilitato: lo script `test:integration:fb25` imposta da solo plugin e wireCrypt.
-
-Il database viene creato dal test stesso (`attachOrCreate`) e lo schema costruito dal migrator
-della libreria (`AccessiDatabaseUpdater`), quindi gli integration test validano anche migrazione e
-compatibilita dello schema. Senza un Firebird raggiungibile i test vengono marcati come `skip`; con
-`ACCESSI_TEST_REQUIRE_DB=1` falliscono invece di essere saltati (usato dalla CI).
-
-Variabili: `ACCESSI_TEST_DB_HOST`, `ACCESSI_TEST_DB_PORT`, `ACCESSI_TEST_DB_DATABASE`,
-`ACCESSI_TEST_DB_USER`, `ACCESSI_TEST_DB_PASSWORD`, `ACCESSI_TEST_DB_WIRE_CRYPT`,
-`ACCESSI_TEST_DB_AUTH_PLUGIN`.
-
-I container usano le porte host **3055** e **3056** per non entrare in conflitto con un Firebird
-locale spesso in ascolto sulla 3050. Per cambiare porta/percorso, modifica i mapping in
-`docker-compose.test.yml` e passa `ACCESSI_TEST_DB_PORT` / `ACCESSI_TEST_DB_DATABASE`.
-
-La CI (`.github/workflows/ci.yml`) esegue typecheck, test con coverage e build, piu un job di
-integration test in matrice su Firebird 5 e 3. Il workflow di release (`publish.yml`) esegue
-typecheck e test prima di build e pubblicazione.
-
-### Packaging
-
-Il pacchetto e pubblicato come **CommonJS** (build `tsc` in `dist/`) con export map esplicita per
-ogni entry point; gli `import` ESM funzionano tramite interop Node. La scelta CJS e intenzionale:
-il pacchetto gira in host Nest/Express e non esiste un bundle ESM separato da mantenere.
-
-- `sideEffects` elenca solo i moduli con effetti collaterali (root barrel, `firebird-compat`,
-  bundle console), tutto il resto resta tree-shakable.
-- `typesVersions` copre i TypeScript precedenti al campo `exports`.
-- `npm run test:pack` crea il tarball con `npm pack`, lo installa in un progetto temporaneo e
-  verifica ogni subpath (`accessi/server`, `resource-server/*`, `client/*`, `contracts`, `openapi`,
-  `console`, `ui`), l'assenza di dipendenze server-side in `contracts` e l'interop ESM. La CI lo
-  esegue in un job dedicato dopo la build.
-
-La decisione di mantenere un pacchetto singolo (con entry point per scope) e il piano per un
-eventuale split futuro sono documentati nell'[ADR 0001](docs/adr/0001-split-package.md).
-
-### OpenAPI semantic diff
-
-`docs/accessi-openapi-fingerprint.json` blocca la rimozione di operation e schema, ma non i cambi
-di tipo o le nuove restrizioni. Il build esegue anche un diff semantico contro
-`docs/accessi-openapi-baseline.json`:
-
-```bash
-npm run check:accessi-openapi-diff     # verifica (eseguita dal build e dalla CI)
-npm run accessi:update-openapi-baseline  # accetta il contratto corrente come nuova baseline
-```
-
-Sono **breaking**: operation/parametri/risposte rimosse, cambi di tipo o formato, `required` aggiunto
-in input o rimosso in output, valori enum rimossi, `security` cambiata e vincoli piu stretti
-sull'input. Aggiungere campi opzionali (input o output) non e breaking.
-
-Un breaking change intenzionale va dichiarato in
-`docs/accessi-openapi-breaking-allowlist.json` con `id`, `reason` (obbligatoria) e, se esiste, `issue`:
-
-```json
-[{ "id": "operation:legacyLogin:removed", "reason": "Rimosso nella major 3.0", "issue": "#123" }]
-```
-
-La CI fallisce se un breaking change non e coperto, se un'eccezione non ha `reason` o se l'eccezione
-e diventata obsoleta (il cambio non esiste piu).
-
-### Integration test su Redis reale
-
-Gli store condivisi (rate limit, ticket console, revoca sessioni, revoca `jti`, rotazione refresh
-token) hanno adapter Redis che nei test unitari girano su fake in memoria. La suite di integrazione
-li verifica contro un Redis reale, inclusi i `consume` atomici in concorrenza e gli `healthCheck()`.
-
-E' **opt-in**: senza la variabile `ACCESSI_TEST_REDIS_URL` i test vengono marcati come `skip`.
-
-```bash
-docker run --rm -d --name accessi-test-redis -p 6380:6379 redis:7-alpine
-npm run test:integration:redis
-docker stop accessi-test-redis
-```
-
-Su PowerShell:
-
-```powershell
-$env:ACCESSI_TEST_REDIS_URL = 'redis://127.0.0.1:6380'
-npm run test:integration:redis
-```
-
-Variabili: `ACCESSI_TEST_REDIS_URL` (formato `redis://[:password@]host:port[/db]`) e
-`ACCESSI_TEST_REQUIRE_REDIS=1` per fallire invece di saltare quando Redis non e raggiungibile
-(usato dalla CI). I test usano chiavi con prefisso per processo e cancellano solo quelle, quindi
-possono girare anche su un Redis condiviso. `docker-compose.test.yml` resta dedicato solo a
-Firebird: la CI avvia Redis come service del job `Redis stores`.
-
-## Firebird: drop-in di `es-node-firebird`
-
-La libreria **ri-esporta l'intera API di `node-firebird`** (`export * from "node-firebird"` piu il
-namespace `Firebird`), quindi sostituisce il fork deprecato `es-node-firebird` senza modifiche al
-codice applicativo: basta cambiare l'import.
-
-```ts
-// prima
-import * as Firebird from 'es-node-firebird';
-// dopo
-import { Firebird } from 'emilsoftware-utilities';
-// oppure, con import nominati
-import { attach, create, pool, ISOLATION_READ_COMMITTED } from 'emilsoftware-utilities';
-```
-
-I comportamenti storici del fork sono riprodotti da un **layer di compatibilita esterno**
-(`src/firebird-compat.ts`), senza toccare il driver ufficiale:
-
-- **Date come UTC** (`utcDates`, default `true`): `DATE`/`TIME`/`TIMESTAMP` vengono reinterpretati
-  come UTC, come faceva il fork con `setUTCMilliseconds`. Con `utcDates: false` restano in ora locale.
-- **Trim dei campi testo** (`trimStringResults`, default `true`): le stringhe vengono trimmate come
-  il fork (`.trim()`). Con `trimStringResults: false` restano intatte.
-- **Compatibilita wire/auth** (`wireCrypt`, `pluginName`): normalizzazione dei valori e diagnostica
-  arricchita sugli errori di connessione.
-
-Le opzioni si passano in `databaseOptions` (vedi `FirebirdOptions` in `src/firebird-compat.ts`).
-
-## Service token (macchina-a-macchina)
-
-Credenziali di servizio per chiamate tecniche, **non legate a un utente** e senza login giornaliero.
-Sostituiscono l'uso di un `secret` nel body: si inviano con `Authorization: Bearer <token>`.
-
-- Formato: `st_<id>.<segreto>`. Il segreto e mostrato **una sola volta** alla creazione/rotazione.
-- Storage: tabella `ACCESSI_SERVICE_TOKEN` (schema Accessi, migrazione automatica `1.7.0`). Il segreto e salvato solo come hash SHA-256 e confrontato a tempo costante.
-- Metadati e audit: descrizione, scope, creazione/scadenza, ultimo utilizzo con **IP** (`lastUsedIp`), revoca con **autore** (`revokedBy`).
-- Rate limit anti-abuso per IP sulla verifica (HTTP 429).
-- API amministrative (solo superutente): `POST /api/accessi/service-token`, `GET /api/accessi/service-token` (`includeRevoked=true`), `DELETE /api/accessi/service-token/:tokenId`, `POST /api/accessi/service-token/:tokenId/rotate`.
-- Console: sezione **Token di servizio** (crea, ruota, revoca; copia il token una sola volta).
-- Utilizzo lato consumer: guard `ServiceTokenGuard` con `@RequireServiceTokenScopes('ia')`; il token verificato e disponibile con `getAccessiServiceToken(req)`.
-- Opzione: `serviceTokens: { enabled?: boolean; defaultTtlDays?: number }` in `AccessiOptions`.
-
-```ts
-import { Module } from '@nestjs/common';
-import { ServiceTokenGuard, RequireServiceTokenScopes } from 'emilsoftware-utilities';
-
-@UseGuards(ServiceTokenGuard)
-@RequireServiceTokenScopes('ia')
-@Controller('ia')
-export class IaController {}
-```
-
-## Login as (impersonazione temporanea)
-
-Superutenti e admin possono generare un accesso temporaneo a un utente per entrare in un'altra
-applicazione senza conoscerne la password. Dalla console Accessi il pulsante **Login as** nella
-lista utenti apre un pannello in cui inserire l'URL dell'applicazione e generare il link.
-
-- Endpoint: `POST /api/accessi/user/login-as/:codiceUtente` con body `{ "url": "https://app.example.com/..." }`.
-- Risposta: `Result.loginUrl` con `?loginAsToken=<jwt>`, `token`, `expiresInSeconds` e `expiresAt`.
-- Il token ha la **stessa durata della sessione Accessi standard** (`jwtOptions.expiresIn`) ed e' un normale access token Accessi con `amr: ["login_as"]`, `loginAs: true` e `act` valorizzato con l'amministratore che lo ha generato.
-- E' accettato da `get-user-by-token` e da `authorizeAccessi`, anche se l'utente target ha la 2FA attiva: l'attore ha gia' completato l'autenticazione amministrativa.
-- Gerarchia **ADMIN > SUPER**: un admin puo' impersonare chiunque, un superutente non puo' impersonare un admin.
-- L'URL viene composto con `buildLoginAsUrl` (esportata dalla libreria), che accetta solo URL assoluti `http`/`https` e conserva query e fragment esistenti.
-- Accessi non consuma il token al posto dell'applicazione: da quel momento e' l'app di destinazione a leggere `loginAsToken`, validarlo e decidere cosa consentire. Il token e' una credenziale: non condividerlo e non registrarlo nei log.
-
-## Hardening e opzioni
-
-- I log delle query **non includono i valori dei parametri** (segreti, credenziali, PII). Per riattivare esplicitamente i valori: `logQueryParameters: true` nelle `databaseOptions`.
-- Pool di connessioni **attivo di default** (`poolSize` default `5`); `poolSize: 0` disabilita e torna a una connessione per query. Gli script di breve durata devono chiamare `await Orm.closePools()` prima di uscire.
-- I JWT sono verificati con algoritmo fissato a `HS256` ed e obbligatoria una scadenza (`expiresIn`) valida. `TokenResult.expiresIn` e sempre riportato in secondi, anche con configurazioni come `24h`.
-- **Chiavi JWT separate per scopo** (`access`, `reset`, `2fa`), derivate dal segreto configurato; il claim `typ: 'access'` e **obbligatorio** per gli access token.
-- La backdoor mock `admin`/`demo` non e mai attiva quando `NODE_ENV=production`.
-- Gli allegati sono **protetti di default**: senza `allegatiOptions.authorize` le richieste rispondono 403. Per la migrazione da versioni precedenti impostare `requireAuthorization: false` (sconsigliato in produzione).
-- Upload allegati: limite di 1 file / 90 MB applicato da Multer e validazione dei magic byte oltre al mimetype dichiarato.
-- **IP reali dietro proxy**: `http.trustProxy` deve corrispondere al numero di proxy davanti al servizio (default `false`). Rate limit e audit usano `req.ip`: un valore errato rende i bucket inefficaci o aggirabili via `X-Forwarded-For`. Guida per Nginx/Traefik/Cloudflare: [docs/proxy-ip.md](docs/proxy-ip.md).
-
-## Integrazione
-
-| Scenario | API |
-| --- | --- |
-| Backend Express esistente | `await initializeAccessiModule(app, accessiOptions)` monta le rotte `/api/accessi` su un host Nest isolato |
-| Applicazione NestJS | importa `AccessiModule.forRoot(accessiOptions)` (e/o `AllegatiModule.forRoot(allegatiOptions)`) |
-| Accessi + Allegati insieme | `EmilsoftwareModule.forRoot({ accessiOptions, allegatiOptions })` |
-| Health/readiness in host Nest | `createAccessiHealthModule({ accessiOptions })` espone `/health/live` e `/health/ready` con lo stesso contratto del servizio standalone |
-| Client multi-istanza / multi-tenant | `createAccessiClient({ baseUrl, getToken })` isola base URL e token per istanza (concorrenza sicura); `configureAccessiClient` resta il default globale |
-| Client per scope | `accessi/client/public` (frontend), `accessi/client/admin` (tool admin), `accessi/client/service` (backend fratelli): stesse tipi del client completo, nessuna operazione fuori scope |
-
-Tutta la configurazione e riservata al backend: segreti JWT/SMTP/DB non devono mai raggiungere il browser.
-
-## Riferimento `AccessiOptions`
-
-| Campo | Tipo | Note |
-| --- | --- | --- |
-| `databaseOptions` | `Options` | Connessione Firebird (`DatabaseUtilities.createOption`). Supporta `logQueryParameters`, `poolSize`, `wireCrypt`, `pluginName`, `utcDates`, `trimStringResults`. |
-| `confirmationEmailUrl` / `confirmationEmailReturnUrl` | `string` | URL per le email di reset. |
-| `customResetPage` / `confirmationEmailPrefix` | `string?` | Pagina di reset personalizzata. |
-| `encryptionKey` | `string` | Solo compatibilita/migrazione password legacy cifrate. |
-| `mockDemoUser` | `boolean` | Utenti fittizi `admin`/`demo`; **mai** attivi in produzione. |
-| `passwordExpiration` / `passwordExpirationDays` | `boolean?` / `number?` | Scadenza password (default 90 giorni). |
-| `legacyPasswordMigrationOnStartup` | `boolean?` | Migrazione password legacy al bootstrap (default `true`). |
-| `autoUpdateDatabase` | `boolean?` | Riconcilia lo schema al bootstrap (default `true`); con `false` verifica in sola lettura. |
-| `jwtOptions` | `{ secret: string; expiresIn: string }` | HS256 con scadenza obbligatoria. |
-| `emailOptions` | `EmailOptions` | SMTP per reset e codici 2FA. |
-| `publicAuthRateLimit` | `PublicAuthRateLimitOptions?` | Limiti degli endpoint pubblici (default attivi). |
-| `publicRegistration` | `{ enabled?: boolean }?` | Registrazione pubblica opt-in. |
-| `federatedAuthentication` | `{ enabled?; allowSelfRegistration? }?` | SSO provider-agnostico. |
-| `extensionFieldsOptions` | `ExtensionFieldsOptions[]?` | Campi applicativi estesi. |
-| `serviceTokens` | `{ enabled?: boolean; defaultTtlDays?: number }?` | Token macchina-a-macchina (default abilitati). |
-
-## Riferimento `AllegatiOptions`
-
-| Campo | Tipo | Note |
-| --- | --- | --- |
-| `databaseOptions` | `Options` | Connessione Firebird. |
-| `authorize` | `(req) => boolean \| Promise<boolean>?` | Controllo di autorizzazione applicato a ogni richiesta; `false` → 403. |
-| `requireAuthorization` | `boolean?` | **Default `true`**: senza `authorize` le richieste sono rifiutate con 403 (secure by default). `false` ripristina il comportamento storico (endpoint aperti) durante la migrazione. |
-
-## Contratto risposte ed errori
-
-- Successo generico: `RestUtilities.sendOKMessage` → `{ severity, status, statusCode, message }`.
-- Payload: `RestUtilities.sendBaseResponse` → `{ Status: { errorCode, errorDescription }, Result, Message }`.
-- Errore: `{ severity: 'error', status, statusCode, code, message, error, details? }`, con `code` stabile (es. `ACCESSI_UNAUTHORIZED`, `ACCESSI_INVALID_CREDENTIALS`, `PASSWORD_EXPIRED`, `ACCESSI_DATABASE_SCHEMA_OUTDATED`, `ACCESSI_SERVICE_TOKEN_RATE_LIMITED`). Lo status deriva dalla `HttpException` (validazione → 400); errori di schema DB → 503. SQL, stack e dati sensibili non vengono mai esposti.
-
-## Migrazioni e schema
-
-- Lo schema Accessi e versionato in `accessiSchema.ts` (`ACCESSI_SCHEMA_VERSION`) e riconciliato in modo **idempotente e ripartibile** da `AccessiDatabaseUpdater` (nessun DDL distruttivo, FK/indici/trigger verificati, sequence avanzate solo in avanti).
-- La versione viene aggiornata **solo dopo** `assertCompatible`; su errore la migrazione si puo rieseguire.
-- Firebird non rende utilizzabili gli oggetti creati nella stessa transazione, quindi il DDL non e racchiuso in un'unica transazione: la robustezza e data da idempotenza + verifica finale.
-- Con `autoUpdateDatabase: false` la libreria verifica lo schema in sola lettura e blocca l'avvio se incompatibile (`AccessiDatabaseUpdater.inspectSchema`).
-
-## Osservabilita
-
-- `Logger` strutturato (console colorata + file JSON giornaliero), condiviso per directory.
-- Livello minimo configurabile per istanza (`new Logger(tag, { level: 'info' })`) o globalmente con la variabile `LOG_LEVEL` (default `database` = tutto).
-- Redazione automatica dei campi sensibili (`password`, `token`, `secret`, ...) e serializzazione degli `Error` con stack.
-- I log delle query non contengono i valori dei parametri (salvo `logQueryParameters: true`).

package/dist/accessi-module/AccessiModule.js

@@ -1,120 +0,0 @@
-"use strict";
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var AccessiModule_1;
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.AccessiModule = void 0;
-const TwoFactorService_1 = require("./Services/TwoFactorService/TwoFactorService");
-const common_1 = require("@nestjs/common");
-const AuthService_1 = require("./Services/AuthService/AuthService");
-const EmailService_1 = require("./Services/EmailService/EmailService");
-const PermissionService_1 = require("./Services/PermissionService/PermissionService");
-const UserService_1 = require("./Services/UserService/UserService");
-const EmailController_1 = require("./Controllers/EmailController");
-const AuthController_1 = require("./Controllers/AuthController");
-const PermissionController_1 = require("./Controllers/PermissionController");
-const UserController_1 = require("./Controllers/UserController");
-const FiltriService_1 = require("./Services/FiltriService/FiltriService");
-const FiltriController_1 = require("./Controllers/FiltriController");
-const ConfiguratorController_1 = require("./Controllers/ConfiguratorController");
-const ConfiguratorService_1 = require("./Services/ConfiguratorService/ConfiguratorService");
-const jwt_strategy_1 = require("./jwt/jwt.strategy");
-const authenticateGen_1 = require("./middleware/authenticateGen");
-const AccessiDatabaseUpdater_1 = require("./database-updates/AccessiDatabaseUpdater");
-const FederatedAuthService_1 = require("./federated-auth/FederatedAuthService");
-const FederatedAuthController_1 = require("./federated-auth/FederatedAuthController");
-const FederatedAuthExchangeController_1 = require("./federated-auth/FederatedAuthExchangeController");
-const AccessiConsoleController_1 = require("./Controllers/AccessiConsoleController");
-const ConsoleEntryController_1 = require("./Controllers/ConsoleEntryController");
-const ServiceTokenController_1 = require("./Controllers/ServiceTokenController");
-const ServiceTokenService_1 = require("./Services/ServiceTokenService/ServiceTokenService");
-const serviceTokenGuard_1 = require("./security/serviceTokenGuard");
-const SchemaController_1 = require("./Controllers/SchemaController");
-const AccessiIntrospectionController_1 = require("./Controllers/AccessiIntrospectionController");
-const SchemaExportService_1 = require("./Services/SchemaExportService/SchemaExportService");
-const AdminBootstrapService_1 = require("./Services/AdminBootstrapService/AdminBootstrapService");
-const jwksBootstrap_1 = require("./security/jwksBootstrap");
-const emailConfiguration_1 = require("./security/emailConfiguration");
-const audit_1 = require("./security/audit");
-const AccessiAuditController_1 = require("./Controllers/AccessiAuditController");
-let AccessiModule = AccessiModule_1 = class AccessiModule {
-    /**
-     * Registra Accessi nel contenitore Nest del backend ospitante.
-     *
-     * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend
-     * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.
-     * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.
-     */
-    static forRoot(options) {
-        var _a, _b, _c;
-        // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.
-        (0, emailConfiguration_1.assertEmailConfigured)(options);
-        (0, audit_1.configureAccessiAudit)(options.tenantId
-            ? Object.assign(Object.assign({}, ((_a = options.audit) !== null && _a !== void 0 ? _a : {})), { tenantId: (_c = (_b = options.audit) === null || _b === void 0 ? void 0 : _b.tenantId) !== null && _c !== void 0 ? _c : options.tenantId }) : options.audit);
-        return {
-            module: AccessiModule_1,
-            providers: [
-                {
-                    provide: 'ACCESSI_OPTIONS',
-                    useValue: options,
-                },
-                AuthService_1.AuthService,
-                TwoFactorService_1.TwoFactorService,
-                UserService_1.UserService,
-                EmailService_1.EmailService,
-                PermissionService_1.PermissionService,
-                FiltriService_1.FiltriService,
-                ConfiguratorService_1.ConfiguratorService,
-                jwt_strategy_1.JwtSimpleGuard,
-                authenticateGen_1.AuthenticateGenService,
-                AccessiDatabaseUpdater_1.AccessiDatabaseUpdater,
-                FederatedAuthService_1.FederatedAuthService,
-                ServiceTokenService_1.ServiceTokenService,
-                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService
-            ],
-            exports: [
-                'ACCESSI_OPTIONS',
-                AuthService_1.AuthService,
-                UserService_1.UserService,
-                EmailService_1.EmailService,
-                PermissionService_1.PermissionService,
-                FiltriService_1.FiltriService,
-                ConfiguratorService_1.ConfiguratorService,
-                jwt_strategy_1.JwtSimpleGuard,
-                authenticateGen_1.AuthenticateGenService,
-                FederatedAuthService_1.FederatedAuthService,
-                ServiceTokenService_1.ServiceTokenService,
-                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService
-            ],
-        };
-    }
-};
-exports.AccessiModule = AccessiModule;
-exports.AccessiModule = AccessiModule = AccessiModule_1 = __decorate([
-    (0, common_1.Global)(),
-    (0, common_1.Module)({
-        controllers: [
-            EmailController_1.EmailController,
-            AuthController_1.AuthController,
-            PermissionController_1.PermissionController,
-            UserController_1.UserController,
-            FiltriController_1.FiltriController,
-            ConfiguratorController_1.ConfiguratorController,
-            FederatedAuthController_1.FederatedAuthController,
-            AccessiConsoleController_1.AccessiConsoleController,
-            ConsoleEntryController_1.ConsoleEntryController,
-            FederatedAuthExchangeController_1.FederatedAuthExchangeController,
-            ServiceTokenController_1.ServiceTokenController,
-            SchemaController_1.SchemaController,
-            AccessiIntrospectionController_1.AccessiIntrospectionController,
-            AccessiAuditController_1.AccessiAuditController,
-        ],
-        providers: [AuthService_1.AuthService, TwoFactorService_1.TwoFactorService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService],
-        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService],
-    })
-], AccessiModule);
-//# sourceMappingURL=AccessiModule.js.map

package/dist/accessi-module/AccessiModule.js.map

@@ -1 +0,0 @@
-{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAU/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,sGAAmG;AACnG,qFAAkF;AAClF,iFAA8E;AAC9E,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,qEAAkE;AAClE,iGAA8F;AAC9F,4FAAyF;AACzF,kGAA+F;AAC/F,4DAAuE;AACvE,sEAAsE;AACtE,4CAAyD;AACzD,iFAA8E;AAqTvE,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,IAAA,6BAAqB,EACnB,OAAO,CAAC,QAAQ;YACd,CAAC,iCAAM,CAAC,MAAA,OAAO,CAAC,KAAK,mCAAI,EAAE,CAAC,KAAE,QAAQ,EAAE,MAAA,MAAA,OAAO,CAAC,KAAK,0CAAE,QAAQ,mCAAI,OAAO,CAAC,QAAQ,IACnF,CAAC,CAAC,OAAO,CAAC,KAAK,CAClB,CAAC;QACF,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B;aAAC;YAC7F,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB;aAAC;SACjE,CAAC;IACJ,CAAC;CACF,CAAA;AAnDY,sCAAa;wBAAb,aAAa;IArBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;YACtB,iEAA+B;YAC/B,+CAAsB;YACtB,mCAAgB;YAChB,+DAA8B;YAC9B,+CAAsB;SACvB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B,CAAC;QACnU,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,CAAC;KAC3P,CAAC;GACW,aAAa,CAmDzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport type { INestApplication, LoggerService } from '@nestjs/common';\nimport type { OpenApiSetupOptions } from '../openapi/OpenApiConfig';\nimport type { AccessiAccessTokenAlgorithm, AccessiUnknownKeyIdEvent } from './security/jwtTokenOptions';\nimport type { ConsoleEntryStore } from './security/consoleEntry';\nimport type { RateLimitStore } from './security/rateLimitStore';\nimport type { AccessiEdgeRateLimitOptions } from './security/edgeRateLimit';\nimport type { SessionRevocationOptions } from './security/sessionRevocation';\nimport type { AccessTokenRevocationOptions } from './security/accessTokenRevocation';\nimport type { RefreshTokenRotationOptions } from './security/refreshTokenRotation';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { FederatedAuthExchangeController } from './federated-auth/FederatedAuthExchangeController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ConsoleEntryController } from './Controllers/ConsoleEntryController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { SchemaController } from './Controllers/SchemaController';\nimport { AccessiIntrospectionController } from './Controllers/AccessiIntrospectionController';\nimport { SchemaExportService } from './Services/SchemaExportService/SchemaExportService';\nimport { AdminBootstrapService } from './Services/AdminBootstrapService/AdminBootstrapService';\nimport { AccessiJwksBootstrapService } from './security/jwksBootstrap';\nimport { assertEmailConfigured } from './security/emailConfiguration';\nimport { configureAccessiAudit } from './security/audit';\nimport { AccessiAuditController } from './Controllers/AccessiAuditController';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Issuer (`iss`) opzionale degli access token. Consigliato in una topologia multi-servizio. */\n  issuer?: string;\n  /** Audience (`aud`) opzionale degli access token. */\n  audience?: string | string[];\n  /** Algoritmo degli access token. Default `HS256` per retrocompatibilita. */\n  algorithm?: AccessiAccessTokenAlgorithm;\n  /** Chiave privata PEM per RS/ES. Obbligatoria quando `algorithm` non e HS*. */\n  privateKey?: string;\n  /** Chiave pubblica PEM per la verifica RS/ES. */\n  publicKey?: string;\n  /** Key id pubblicato nella JWKS, per rotazione chiavi. */\n  keyId?: string;\n  /** Path pubblico della JWKS. Default `accessi/.well-known/jwks.json` con algoritmi asimmetrici. */\n  jwksPath?: string;\n  /**\n   * Chiavi pubbliche precedenti, esposte in JWKS e accettate in verifica\n   * durante la rotazione. Se `keyId` e assente si usa il fingerprint della\n   * chiave, lo stesso calcolato dalla JWKS.\n   */\n  previousPublicKeys?: Array<{\n    publicKey: string;\n    keyId?: string;\n    algorithm?: AccessiAccessTokenAlgorithm;\n  }>;\n  /**\n   * Alert quando un token presenta un `kid` assente da chiave corrente e\n   * chiavi precedenti (tipico di una rotazione non completata).\n   */\n  onUnknownKeyId?: (event: AccessiUnknownKeyIdEvent) => void;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n  /**\n   * Durata del refresh token. Se assente il refresh token non viene emesso.\n   * Consigliato: `30d`.\n   */\n  refreshExpiresIn?: string;\n}\n\n/** Configurazione dei ticket di ingresso alla console. */\nexport interface ConsoleEntryOptions {\n  /** Durata del ticket in millisecondi. Default 60000. */\n  ttlMs?: number;\n  /** Store condiviso (es. Redis) per deployment multi-istanza. Default: memoria. */\n  store?: ConsoleEntryStore;\n}\n\nimport type { AccessiSecurityHeadersSetting } from './security/securityHeaders';\nimport type { AccessiAuthCookieOptions } from './security/authCookies';\nimport type { AccessiMetricsOptions } from './observability/metrics';\nimport type { AccessiAuditOptions } from './security/audit';\n\n/** Impostazioni HTTP del servizio Accessi. */\nexport interface AccessiHttpOptions {\n  /** Opzioni CORS Nest. `false` disabilita CORS. Default: exposedHeaders ['X-Total-Count']. */\n  cors?: Parameters<INestApplication['enableCors']>[0] | false;\n  /** Trust proxy per IP reali dietro load balancer/reverse proxy. */\n  trustProxy?: boolean | number | string;\n  /** Header di sicurezza di base su console/OpenAPI. Default: true. */\n  securityHeaders?: AccessiSecurityHeadersSetting;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione degli endpoint pubblici. Default in memoria; in cluster usare uno store condiviso. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  /** Store condiviso (es. Redis). Default: memoria del processo. */\n  store?: RateLimitStore;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  refresh?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n  adminBootstrap?: PublicAuthRateLimitRuleOptions;\n  consoleEntry?: PublicAuthRateLimitRuleOptions;\n}\n\n/**\n * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del\n * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.\n * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.\n */\nexport interface AdminBootstrapOptions {\n  /** Abilita il bootstrap admin. Default `false`. */\n  enabled?: boolean;\n  /** Crea l'utente come superutente oltre che admin. Default `true`. */\n  superUser?: boolean;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n  /** Store condiviso per il rate limit dei service token. Default: memoria. */\n  rateLimitStore?: RateLimitStore;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface SystemSeedsOptions {\n  /** `false` disabilita il seed automatico, ad esempio per ambienti gestiti manualmente. */\n  enabled?: boolean;\n}\n\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n  /**\n   * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono\n   * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.\n   */\n  allowDdl?: boolean;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n  /** Seed di sistema eseguiti dopo la riconciliazione dello schema. Default: abilitati. */\n  systemSeeds?: SystemSeedsOptions;\n  /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */\n  adminBootstrap?: AdminBootstrapOptions;\n  /**\n   * Audit persistente: sink, retention ed endpoint amministrativi di query/export.\n   */\n  audit?: AccessiAuditOptions;\n  /** Identificativo del tenant quando la configurazione arriva da una cartella multi-tenant. */\n  tenantId?: string;\n  /** Base URL pubblica usata solo per loggare gli indirizzi (console, OpenAPI, API). */\n  publicBaseUrl?: string;\n  /** Base URL API per la console quando UI e API sono su domini diversi. */\n  consoleApiBaseUrl?: string;\n  /**\n   * Documentazione OpenAPI del modulo. Default invariati:\n   * UI `accessi/openapi`, JSON `accessi/openapi.json`.\n   */\n  openapi?: OpenApiSetupOptions;\n  /** Logger Nest usato dal sotto-app Accessi. Se assente Nest usa il proprio logger. */\n  logger?: LoggerService;\n  /** Buffer dei log di bootstrap del sotto-app. Default `true` (comportamento storico). */\n  bufferLogs?: boolean;\n  /** Ticket di ingresso console: TTL e store condiviso per deployment multi-istanza. */\n  consoleEntry?: ConsoleEntryOptions;\n  /** Limite grossolano per IP davanti alle rotte Accessi. Opzionale. */\n  edgeRateLimit?: AccessiEdgeRateLimitOptions;\n  /** CORS, trust proxy e header di sicurezza del servizio. */\n  http?: AccessiHttpOptions;\n  /**\n   * Autenticazione opzionale via cookie httpOnly. Bearer resta il default:\n   * la modalita si abilita passando questo oggetto (o `enabled: true`).\n   */\n  authCookie?: AccessiAuthCookieOptions;\n  /** Metriche di dominio (login, 2FA, refresh, rate limit, store, ...). */\n  metrics?: AccessiMetricsOptions;\n  /** Revoca sessioni per utente tramite store memory/Redis. */\n  sessionRevocation?: SessionRevocationOptions;\n  /** Revoca dei singoli access token tramite `jti`, memory/Redis. */\n  accessTokenRevocation?: AccessTokenRevocationOptions;\n  /** Refresh token monouso tramite rotazione memory/Redis; rileva il riuso e revoca la famiglia. */\n  refreshTokenRotation?: RefreshTokenRotationOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ConsoleEntryController,\n    FederatedAuthExchangeController,\n    ServiceTokenController,\n    SchemaController,\n    AccessiIntrospectionController,\n    AccessiAuditController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    configureAccessiAudit(\n      options.tenantId\n        ? { ...(options.audit ?? {}), tenantId: options.audit?.tenantId ?? options.tenantId }\n        : options.audit,\n    );\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n    };\n  }\n}\n"]}

package/dist/accessi-module/Console/accessiFetch.js.map

@@ -1 +0,0 @@
-{"version":3,"file":"accessiFetch.js","sourceRoot":"","sources":["../../../src/accessi-module/Console/accessiFetch.ts"],"names":[],"mappings":";;;;;;;;;;;;AAkDA,wDAEC;AAGD,wDAEC;AAGD,oEAIC;AAGD,wDAEC;AAYD,oDAQC;AAsCD,oCA4DC;AA3LD,IAAI,WAAW,GAAkB,IAAI,CAAC;AACtC,IAAI,OAAO,GAAkB,IAAI,CAAC;AAClC,IAAI,aAAa,GAA0D,IAAI,CAAC;AAChF,IAAI,YAAY,GAA+B,IAAI,CAAC;AA2BpD,MAAM,gBAAgB,GAAG,yBAAyB,CAAC;AACnD,8FAA8F;AACjF,QAAA,0BAA0B,GAAG,8BAA8B,CAAC;AAEzE,oGAAoG;AACpG,MAAa,mBAAoB,SAAQ,KAAK;IAC5C,YAAY,OAAe,EAAW,MAAc,EAAW,IAAa,EAAW,OAAkB;QACvG,KAAK,CAAC,OAAO,CAAC,CAAC;QADqB,WAAM,GAAN,MAAM,CAAQ;QAAW,SAAI,GAAJ,IAAI,CAAS;QAAW,YAAO,GAAP,OAAO,CAAW;QAEvG,IAAI,CAAC,IAAI,GAAG,qBAAqB,CAAC;IACpC,CAAC;CACF;AALD,kDAKC;AAED,kGAAkG;AAClG,SAAS,qBAAqB,CAAC,MAAe;IAC5C,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;QAClC,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,gBAAgB,EAAE,EAAE,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,mEAAmE;AACnE,SAAgB,sBAAsB,CAAC,KAAoB;IACzD,WAAW,GAAG,KAAK,CAAC;AACtB,CAAC;AAED,6FAA6F;AAC7F,SAAgB,sBAAsB,CAAC,GAAkB;IACvD,OAAO,GAAG,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACjD,CAAC;AAED,oFAAoF;AACpF,SAAgB,4BAA4B,CAC1C,QAA+D;IAE/D,aAAa,GAAG,QAAQ,CAAC;AAC3B,CAAC;AAED,mFAAmF;AACnF,SAAgB,sBAAsB;IACpC,OAAO,YAAY,CAAC;AACtB,CAAC;AAED;;;;;;;;;GASG;AACH,SAAgB,oBAAoB,CAAI,MAA2B,EAAE,QAAiB;IACpF,MAAM,QAAQ,GAAG,YAAY,CAAC;IAC9B,YAAY,GAAG,MAAM,CAAC;IACtB,IAAI,CAAC;QACH,OAAO,QAAQ,EAAE,CAAC;IACpB,CAAC;YAAS,CAAC;QACT,YAAY,GAAG,QAAQ,CAAC;IAC1B,CAAC;AACH,CAAC;AAED,0FAA0F;AAC1F,SAAS,aAAa,CAAC,OAAgB,EAAE,GAAW;IAClD,IAAI,CAAC,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ;QAAE,OAAO,SAAS,CAAC;IAC9D,MAAM,KAAK,GAAI,OAAmC,CAAC,GAAG,CAAC,CAAC;IACxD,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC;AAC3E,CAAC;AAED,+DAA+D;AAC/D,SAAS,iBAAiB,CAAC,IAAY;IACrC,IAAI,OAAO,QAAQ,KAAK,WAAW,IAAI,CAAC,QAAQ,CAAC,MAAM;QAAE,OAAO,IAAI,CAAC;IACrE,KAAK,MAAM,IAAI,IAAI,QAAQ,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,EAAE,CAAC;QAC9C,MAAM,SAAS,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;QACpC,IAAI,SAAS,GAAG,CAAC;YAAE,SAAS;QAC5B,IAAI,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,SAAS,CAAC,CAAC,IAAI,EAAE,KAAK,IAAI;YAAE,SAAS;QACvD,IAAI,CAAC;YACH,OAAO,kBAAkB,CAAC,IAAI,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC;QAC9D,CAAC;QAAC,WAAM,CAAC;YACP,OAAO,IAAI,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;QAC1C,CAAC;IACH,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED,SAAS,gBAAgB;IACvB,OAAO,OAAO,MAAM,KAAK,WAAW,IAAI,MAAM,CAAC,uBAAuB,KAAK,IAAI,CAAC;AAClF,CAAC;AAED,MAAM,cAAc,GAAG,IAAI,GAAG,CAAC,CAAC,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,QAAQ,CAAC,CAAC,CAAC;AAEnE;;;;;;GAMG;AACH,SAAsB,YAAY,CAAI,GAAW,EAAE,OAAoB;;;QACrE,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,MAAM,GAAG,YAAY,CAAC;QAC5B,MAAM,UAAU,GAAG,gBAAgB,EAAE,CAAC;QACtC,MAAM,OAAO,GAAG,IAAI,OAAO,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC;QAC7C,OAAO,CAAC,GAAG,CAAC,QAAQ,EAAE,kBAAkB,CAAC,CAAC;QAC1C,IAAI,OAAO,CAAC,IAAI,KAAK,SAAS,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,EAAE,CAAC;YAC/D,OAAO,CAAC,GAAG,CAAC,cAAc,EAAE,kBAAkB,CAAC,CAAC;QAClD,CAAC;QACD,IAAI,UAAU,EAAE,CAAC;YACf,MAAM,MAAM,GAAG,CAAC,MAAA,OAAO,CAAC,MAAM,mCAAI,KAAK,CAAC,CAAC,WAAW,EAAE,CAAC;YACvD,IAAI,cAAc,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC/B,MAAM,UAAU,GAAG,MAAA,MAAM,CAAC,4BAA4B,mCAAI,cAAc,CAAC;gBACzE,MAAM,UAAU,GAAG,MAAA,MAAM,CAAC,4BAA4B,mCAAI,cAAc,CAAC;gBACzE,MAAM,SAAS,GAAG,iBAAiB,CAAC,UAAU,CAAC,CAAC;gBAChD,IAAI,SAAS;oBAAE,OAAO,CAAC,GAAG,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;YACpD,CAAC;QACH,CAAC;QACD,MAAM,aAAa,GAAG,MAAM;YAC1B,CAAC,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,CAAC,MAAM,MAAM,CAAC,QAAQ,EAAE,CAAC,CAAC,CAAC,MAAA,MAAM,CAAC,KAAK,mCAAI,IAAI,CAAC;YACpE,CAAC,CAAC,aAAa;gBACb,CAAC,CAAC,MAAM,aAAa,EAAE;gBACvB,CAAC,CAAC,WAAW,CAAC;QAClB,MAAM,kBAAkB,GAAG,wFAAwF,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;QAC9H,MAAM,oBAAoB,GAAG,CAAC,kBAAkB,IAAI,CAAC,UAAU,IAAI,CAAC,aAAa,KAAK,IAAI,IAAI,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC;QAC5H,IAAI,aAAa;YAAE,OAAO,CAAC,GAAG,CAAC,eAAe,EAAE,UAAU,aAAa,EAAE,CAAC,CAAC;QAC3E,MAAM,cAAc,GAAG,CAAA,MAAM,aAAN,MAAM,uBAAN,MAAM,CAAE,OAAO,MAAK,SAAS;YAClD,CAAC,CAAC,MAAM,CAAC,OAAO;YAChB,CAAC,CAAC,OAAO,aAAP,OAAO,cAAP,OAAO,GAAI,CAAC,OAAO,MAAM,KAAK,WAAW,CAAC,CAAC,CAAC,MAAA,MAAM,CAAC,wBAAwB,mCAAI,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAChG,MAAM,UAAU,GAAG,cAAc,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC;YACtD,CAAC,CAAC,GAAG,cAAc,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,GAAG,GAAG,EAAE;YAC/C,CAAC,CAAC,GAAG,CAAC;QAER,qBAAqB,CAAC,IAAI,CAAC,CAAC;QAC5B,IAAI,CAAC;YACH,MAAM,QAAQ,GAAG,MAAM,KAAK,CAAC,UAAU,gDAClC,OAAO,KACV,OAAO,KACJ,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,WAAW,EAAE,SAAkB,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAC1D,CAAC;YACH,MAAM,OAAO,GAAG,MAAM,QAAQ,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;YAC7D,IAAI,CAAC,QAAQ,CAAC,EAAE,EAAE,CAAC;gBACjB,MAAM,OAAO,GAAG,MAAA,MAAA,aAAa,CAAC,OAAO,EAAE,SAAS,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,mCAAI,eAAe,QAAQ,CAAC,MAAM,EAAE,CAAC;gBACzH,MAAM,UAAU,GAAG,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ,CAAC,CAAC,CAAE,OAAiC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;gBACnH,MAAM,OAAO,GAAG,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;gBAC/F,sGAAsG;gBACtG,IAAI,QAAQ,CAAC,MAAM,KAAK,GAAG,IAAI,oBAAoB,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;oBACrF,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,kCAA0B,CAAC,CAAC,CAAC;gBACpE,CAAC;gBACD,MAAM,IAAI,mBAAmB,CAAC,OAAO,EAAE,QAAQ,CAAC,MAAM,EAAE,MAAA,aAAa,CAAC,OAAO,EAAE,MAAM,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,EAAE,OAAO,CAAC,CAAC;YACtI,CAAC;YACD,OAAO;gBACL,IAAI,EAAE,OAAO;gBACb,MAAM,EAAE,QAAQ,CAAC,MAAM;gBACvB,OAAO,EAAE,QAAQ,CAAC,OAAO;aACrB,CAAC;QACT,CAAC;gBAAS,CAAC;YACT,qBAAqB,CAAC,KAAK,CAAC,CAAC;QAC/B,CAAC;IACH,CAAC;CAAA","sourcesContent":["let accessToken: string | null = null;\nlet baseUrl: string | null = null;\nlet tokenProvider: (() => string | null | Promise<string | null>) | null = null;\nlet scopedConfig: AccessiClientConfig | null = null;\n\n/**\n * Configurazione di un client Accessi.\n *\n * Usata sia dalla configurazione globale (`configureAccessiClient`) sia dalle\n * istanze isolate create con `createAccessiClient`.\n */\nexport interface AccessiClientConfig {\n  /** Base URL di Accessi Service, es. `https://accessi.example.com`. */\n  baseUrl?: string | null;\n  /** Token statico. Preferire `getToken` per token che cambiano nel tempo. */\n  token?: string | null;\n  /** Provider asincrono/sincrono del token corrente. */\n  getToken?: () => string | null | Promise<string | null>;\n}\n\ndeclare global {\n  interface Window {\n    __ACCESSI_API_BASE_URL__?: string;\n    /** La console e servita in modalita cookie httpOnly. */\n    __ACCESSI_AUTH_COOKIE__?: boolean;\n    __ACCESSI_CSRF_COOKIE_NAME__?: string;\n    __ACCESSI_CSRF_HEADER_NAME__?: string;\n  }\n}\n\nconst loadingEventName = 'accessi-console-network';\n/** Emesso quando una richiesta autenticata riceve 401: la console deve riportare al login. */\nexport const ACCESSI_UNAUTHORIZED_EVENT = 'accessi-console-unauthorized';\n\n/** Errore del client console: conserva status, codice stabile Accessi e dettagli di validazione. */\nexport class AccessiRequestError extends Error {\n  constructor(message: string, readonly status: number, readonly code?: string, readonly details?: string[]) {\n    super(message);\n    this.name = 'AccessiRequestError';\n  }\n}\n\n/** Notifies the browser shell without coupling generated Orval calls to the UI implementation. */\nfunction notifyNetworkActivity(active: boolean): void {\n  if (typeof window !== 'undefined') {\n    window.dispatchEvent(new CustomEvent(loadingEventName, { detail: { active } }));\n  }\n}\n\n/** Imposta il JWT usato da tutte le funzioni generate da Orval. */\nexport function setAccessiConsoleToken(token: string | null): void {\n  accessToken = token;\n}\n\n/** Prefissa le chiamate relative del client generato (es. `https://accessi.example.com`). */\nexport function setAccessiFetchBaseUrl(url: string | null): void {\n  baseUrl = url ? url.replace(/\\/+$/, '') : null;\n}\n\n/** Token provider per client esterni alla console (server-to-server o frontend). */\nexport function setAccessiFetchTokenProvider(\n  provider: (() => string | null | Promise<string | null>) | null,\n): void {\n  tokenProvider = provider;\n}\n\n/** Configurazione isolata attiva in questo momento, se una chiamata e in corso. */\nexport function getAccessiClientConfig(): AccessiClientConfig | null {\n  return scopedConfig;\n}\n\n/**\n * Esegue `callback` con una configurazione del client isolata.\n *\n * Le funzioni generate da Orval invocano il trasporto in modo sincrono, quindi\n * la configurazione viene letta all'inizio della richiesta: due client diversi\n * possono chiamare in concorrenza senza sovrascriversi a vicenda.\n *\n * Per un uso continuativo preferire `createAccessiClient`, che applica il\n * contesto a ogni metodo.\n */\nexport function runWithAccessiClient<T>(config: AccessiClientConfig, callback: () => T): T {\n  const previous = scopedConfig;\n  scopedConfig = config;\n  try {\n    return callback();\n  } finally {\n    scopedConfig = previous;\n  }\n}\n\n/** Legge una stringa non vuota dal payload di errore Accessi, ignorando tipi inattesi. */\nfunction payloadString(payload: unknown, key: string): string | undefined {\n  if (!payload || typeof payload !== 'object') return undefined;\n  const value = (payload as Record<string, unknown>)[key];\n  return typeof value === 'string' && value.length > 0 ? value : undefined;\n}\n\n/** Legge un cookie non httpOnly (token CSRF double-submit). */\nfunction readBrowserCookie(name: string): string | null {\n  if (typeof document === 'undefined' || !document.cookie) return null;\n  for (const part of document.cookie.split(';')) {\n    const separator = part.indexOf('=');\n    if (separator < 0) continue;\n    if (part.slice(0, separator).trim() !== name) continue;\n    try {\n      return decodeURIComponent(part.slice(separator + 1).trim());\n    } catch {\n      return part.slice(separator + 1).trim();\n    }\n  }\n  return null;\n}\n\nfunction isCookieAuthMode(): boolean {\n  return typeof window !== 'undefined' && window.__ACCESSI_AUTH_COOKIE__ === true;\n}\n\nconst UNSAFE_METHODS = new Set(['POST', 'PUT', 'PATCH', 'DELETE']);\n\n/**\n * Trasporto comune del client Orval: aggiunge il Bearer token e converte le\n * risposte di errore Accessi in Error JavaScript leggibili dalla console.\n *\n * In modalita cookie non richiede un token in memoria: invia i cookie\n * same-origin/cross-origin e l'header CSRF double-submit.\n */\nexport async function accessiFetch<T>(url: string, options: RequestInit): Promise<T> {\n  // Il contesto va letto prima di ogni await: la funzione generata invoca il\n  // trasporto in modo sincrono, quindi la configurazione appartiene a questa call.\n  const config = scopedConfig;\n  const cookieMode = isCookieAuthMode();\n  const headers = new Headers(options.headers);\n  headers.set('Accept', 'application/json');\n  if (options.body !== undefined && !headers.has('Content-Type')) {\n    headers.set('Content-Type', 'application/json');\n  }\n  if (cookieMode) {\n    const method = (options.method ?? 'GET').toUpperCase();\n    if (UNSAFE_METHODS.has(method)) {\n      const csrfCookie = window.__ACCESSI_CSRF_COOKIE_NAME__ ?? 'accessi_csrf';\n      const csrfHeader = window.__ACCESSI_CSRF_HEADER_NAME__ ?? 'x-csrf-token';\n      const csrfToken = readBrowserCookie(csrfCookie);\n      if (csrfToken) headers.set(csrfHeader, csrfToken);\n    }\n  }\n  const resolvedToken = config\n    ? (config.getToken ? await config.getToken() : config.token ?? null)\n    : tokenProvider\n      ? await tokenProvider()\n      : accessToken;\n  const isAuthEntryRequest = /\\/(?:auth\\/(?:login|refresh|two-factor\\/(?:verify|resend))|console\\/entry\\/exchange)\\b/.test(url);\n  const authenticatedRequest = !isAuthEntryRequest && (cookieMode || (resolvedToken !== null && resolvedToken !== undefined));\n  if (resolvedToken) headers.set('Authorization', `Bearer ${resolvedToken}`);\n  const runtimeBaseUrl = config?.baseUrl !== undefined\n    ? config.baseUrl\n    : baseUrl ?? (typeof window !== 'undefined' ? window.__ACCESSI_API_BASE_URL__ ?? null : null);\n  const requestUrl = runtimeBaseUrl && url.startsWith('/')\n    ? `${runtimeBaseUrl.replace(/\\/+$/, '')}${url}`\n    : url;\n\n  notifyNetworkActivity(true);\n  try {\n    const response = await fetch(requestUrl, {\n      ...options,\n      headers,\n      ...(cookieMode ? { credentials: 'include' as const } : {}),\n    });\n    const payload = await response.json().catch(() => undefined);\n    if (!response.ok) {\n      const message = payloadString(payload, 'message') ?? payloadString(payload, 'error') ?? `Errore HTTP ${response.status}`;\n      const rawDetails = payload && typeof payload === 'object' ? (payload as { details?: unknown }).details : undefined;\n      const details = Array.isArray(rawDetails) ? rawDetails.map((item) => String(item)) : undefined;\n      // Un 401 su una richiesta autenticata significa sessione scaduta/revocata: il token non e piu valido.\n      if (response.status === 401 && authenticatedRequest && typeof window !== 'undefined') {\n        window.dispatchEvent(new CustomEvent(ACCESSI_UNAUTHORIZED_EVENT));\n      }\n      throw new AccessiRequestError(message, response.status, payloadString(payload, 'code') ?? payloadString(payload, 'error'), details);\n    }\n    return {\n      data: payload,\n      status: response.status,\n      headers: response.headers,\n    } as T;\n  } finally {\n    notifyNetworkActivity(false);\n  }\n}\n"]}