emilsoftware-utilities 2.0.0-dev.83 → 2.0.0-dev.85

package/dist/accessi-service/AccessiModule.js

@@ -0,0 +1,120 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var AccessiModule_1;
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.AccessiModule = void 0;
+const TwoFactorService_1 = require("./services/two-factor-service/TwoFactorService");
+const common_1 = require("@nestjs/common");
+const AuthService_1 = require("./services/auth-service/AuthService");
+const EmailService_1 = require("./services/email-service/EmailService");
+const PermissionService_1 = require("./services/permission-service/PermissionService");
+const UserService_1 = require("./services/user-service/UserService");
+const EmailController_1 = require("./controllers/EmailController");
+const AuthController_1 = require("./controllers/AuthController");
+const PermissionController_1 = require("./controllers/PermissionController");
+const UserController_1 = require("./controllers/UserController");
+const FiltriService_1 = require("./services/filtri-service/FiltriService");
+const FiltriController_1 = require("./controllers/FiltriController");
+const ConfiguratorController_1 = require("./controllers/ConfiguratorController");
+const ConfiguratorService_1 = require("./services/configurator-service/ConfiguratorService");
+const JwtSimpleGuard_1 = require("./jwt/JwtSimpleGuard");
+const authenticateGen_1 = require("./middleware/authenticateGen");
+const AccessiDatabaseUpdater_1 = require("./database-updates/AccessiDatabaseUpdater");
+const FederatedAuthService_1 = require("./federated-auth/FederatedAuthService");
+const FederatedAuthController_1 = require("./federated-auth/FederatedAuthController");
+const FederatedAuthExchangeController_1 = require("./federated-auth/FederatedAuthExchangeController");
+const AccessiConsoleController_1 = require("./controllers/AccessiConsoleController");
+const ConsoleEntryController_1 = require("./controllers/ConsoleEntryController");
+const ServiceTokenController_1 = require("./controllers/ServiceTokenController");
+const ServiceTokenService_1 = require("./services/service-token-service/ServiceTokenService");
+const serviceTokenGuard_1 = require("./security/serviceTokenGuard");
+const SchemaController_1 = require("./controllers/SchemaController");
+const AccessiIntrospectionController_1 = require("./controllers/AccessiIntrospectionController");
+const SchemaExportService_1 = require("./services/schema-export-service/SchemaExportService");
+const AdminBootstrapService_1 = require("./services/admin-bootstrap-service/AdminBootstrapService");
+const jwksBootstrap_1 = require("./security/jwksBootstrap");
+const emailConfiguration_1 = require("./security/emailConfiguration");
+const audit_1 = require("./security/audit");
+const AccessiAuditController_1 = require("./controllers/AccessiAuditController");
+let AccessiModule = AccessiModule_1 = class AccessiModule {
+    /**
+     * Registra Accessi nel contenitore Nest del backend ospitante.
+     *
+     * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend
+     * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.
+     * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.
+     */
+    static forRoot(options) {
+        var _a, _b, _c;
+        // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.
+        (0, emailConfiguration_1.assertEmailConfigured)(options);
+        (0, audit_1.configureAccessiAudit)(options.tenantId
+            ? Object.assign(Object.assign({}, ((_a = options.audit) !== null && _a !== void 0 ? _a : {})), { tenantId: (_c = (_b = options.audit) === null || _b === void 0 ? void 0 : _b.tenantId) !== null && _c !== void 0 ? _c : options.tenantId }) : options.audit);
+        return {
+            module: AccessiModule_1,
+            providers: [
+                {
+                    provide: 'ACCESSI_OPTIONS',
+                    useValue: options,
+                },
+                AuthService_1.AuthService,
+                TwoFactorService_1.TwoFactorService,
+                UserService_1.UserService,
+                EmailService_1.EmailService,
+                PermissionService_1.PermissionService,
+                FiltriService_1.FiltriService,
+                ConfiguratorService_1.ConfiguratorService,
+                JwtSimpleGuard_1.JwtSimpleGuard,
+                authenticateGen_1.AuthenticateGenService,
+                AccessiDatabaseUpdater_1.AccessiDatabaseUpdater,
+                FederatedAuthService_1.FederatedAuthService,
+                ServiceTokenService_1.ServiceTokenService,
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService
+            ],
+            exports: [
+                'ACCESSI_OPTIONS',
+                AuthService_1.AuthService,
+                UserService_1.UserService,
+                EmailService_1.EmailService,
+                PermissionService_1.PermissionService,
+                FiltriService_1.FiltriService,
+                ConfiguratorService_1.ConfiguratorService,
+                JwtSimpleGuard_1.JwtSimpleGuard,
+                authenticateGen_1.AuthenticateGenService,
+                FederatedAuthService_1.FederatedAuthService,
+                ServiceTokenService_1.ServiceTokenService,
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService
+            ],
+        };
+    }
+};
+exports.AccessiModule = AccessiModule;
+exports.AccessiModule = AccessiModule = AccessiModule_1 = __decorate([
+    (0, common_1.Global)(),
+    (0, common_1.Module)({
+        controllers: [
+            EmailController_1.EmailController,
+            AuthController_1.AuthController,
+            PermissionController_1.PermissionController,
+            UserController_1.UserController,
+            FiltriController_1.FiltriController,
+            ConfiguratorController_1.ConfiguratorController,
+            FederatedAuthController_1.FederatedAuthController,
+            AccessiConsoleController_1.AccessiConsoleController,
+            ConsoleEntryController_1.ConsoleEntryController,
+            FederatedAuthExchangeController_1.FederatedAuthExchangeController,
+            ServiceTokenController_1.ServiceTokenController,
+            SchemaController_1.SchemaController,
+            AccessiIntrospectionController_1.AccessiIntrospectionController,
+            AccessiAuditController_1.AccessiAuditController,
+        ],
+        providers: [AuthService_1.AuthService, TwoFactorService_1.TwoFactorService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, JwtSimpleGuard_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService, jwksBootstrap_1.AccessiJwksBootstrapService],
+        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, JwtSimpleGuard_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService],
+    })
+], AccessiModule);
+//# sourceMappingURL=AccessiModule.js.map

package/dist/accessi-service/AccessiModule.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-service/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,qFAAkF;AAQlF,2CAA+D;AAU/D,qEAAkE;AAClE,wEAAqE;AACrE,uFAAoF;AACpF,qEAAkE;AAClE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,2EAAwE;AACxE,qEAAkE;AAClE,iFAA8E;AAC9E,6FAA0F;AAC1F,yDAAsD;AACtD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,sGAAmG;AACnG,qFAAkF;AAClF,iFAA8E;AAC9E,iFAA8E;AAC9E,8FAA2F;AAC3F,oEAAiE;AACjE,qEAAkE;AAClE,iGAA8F;AAC9F,8FAA2F;AAC3F,oGAAiG;AACjG,4DAAuE;AACvE,sEAAsE;AACtE,4CAAyD;AACzD,iFAA8E;AAqTvE,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,IAAA,6BAAqB,EACnB,OAAO,CAAC,QAAQ;YACd,CAAC,iCAAM,CAAC,MAAA,OAAO,CAAC,KAAK,mCAAI,EAAE,CAAC,KAAE,QAAQ,EAAE,MAAA,MAAA,OAAO,CAAC,KAAK,0CAAE,QAAQ,mCAAI,OAAO,CAAC,QAAQ,IACnF,CAAC,CAAC,OAAO,CAAC,KAAK,CAClB,CAAC;QAAI,OAAO;YACX,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,+BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B;aAAC;YAC7F,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,+BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB;aAAC;SACjE,CAAC;IACJ,CAAC;CACF,CAAA;AAlDY,sCAAa;wBAAb,aAAa;IArBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;YACtB,iEAA+B;YAC/B,+CAAsB;YACtB,mCAAgB;YAChB,+DAA8B;YAC9B,+CAAsB;SACvB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,+BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,EAAE,2CAA2B,CAAC;QACnU,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,+BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,CAAC;KAC3P,CAAC;GACW,aAAa,CAkDzB","sourcesContent":["import { TwoFactorService } from './services/two-factor-service/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport type { INestApplication, LoggerService } from '@nestjs/common';\nimport type { OpenApiSetupOptions } from '../openapi/OpenApiConfig';\nimport type { AccessiAccessTokenAlgorithm, AccessiUnknownKeyIdEvent } from './security/jwtTokenOptions';\nimport type { ConsoleEntryStore } from './security/consoleEntry';\nimport type { RateLimitStore } from './security/rateLimitStore';\nimport type { AccessiEdgeRateLimitOptions } from './security/edgeRateLimit';\nimport type { SessionRevocationOptions } from './security/sessionRevocation';\nimport type { AccessTokenRevocationOptions } from './security/accessTokenRevocation';\nimport type { RefreshTokenRotationOptions } from './security/refreshTokenRotation';\nimport { AuthService } from './services/auth-service/AuthService';\nimport { EmailService } from './services/email-service/EmailService';\nimport { PermissionService } from './services/permission-service/PermissionService';\nimport { UserService } from './services/user-service/UserService';\nimport { EmailController } from './controllers/EmailController';\nimport { AuthController } from './controllers/AuthController';\nimport { PermissionController } from './controllers/PermissionController';\nimport { UserController } from './controllers/UserController';\nimport { FiltriService } from './services/filtri-service/FiltriService';\nimport { FiltriController } from './controllers/FiltriController';\nimport { ConfiguratorController } from './controllers/ConfiguratorController';\nimport { ConfiguratorService } from './services/configurator-service/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/JwtSimpleGuard';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { FederatedAuthExchangeController } from './federated-auth/FederatedAuthExchangeController';\nimport { AccessiConsoleController } from './controllers/AccessiConsoleController';\nimport { ConsoleEntryController } from './controllers/ConsoleEntryController';\nimport { ServiceTokenController } from './controllers/ServiceTokenController';\nimport { ServiceTokenService } from './services/service-token-service/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { SchemaController } from './controllers/SchemaController';\nimport { AccessiIntrospectionController } from './controllers/AccessiIntrospectionController';\nimport { SchemaExportService } from './services/schema-export-service/SchemaExportService';\nimport { AdminBootstrapService } from './services/admin-bootstrap-service/AdminBootstrapService';\nimport { AccessiJwksBootstrapService } from './security/jwksBootstrap';\nimport { assertEmailConfigured } from './security/emailConfiguration';\nimport { configureAccessiAudit } from './security/audit';\nimport { AccessiAuditController } from './controllers/AccessiAuditController';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Issuer (`iss`) opzionale degli access token. Consigliato in una topologia multi-servizio. */\n  issuer?: string;\n  /** Audience (`aud`) opzionale degli access token. */\n  audience?: string | string[];\n  /** Algoritmo degli access token. Default `HS256` per retrocompatibilita. */\n  algorithm?: AccessiAccessTokenAlgorithm;\n  /** Chiave privata PEM per RS/ES. Obbligatoria quando `algorithm` non e HS*. */\n  privateKey?: string;\n  /** Chiave pubblica PEM per la verifica RS/ES. */\n  publicKey?: string;\n  /** Key id pubblicato nella JWKS, per rotazione chiavi. */\n  keyId?: string;\n  /** Path pubblico della JWKS. Default `accessi/.well-known/jwks.json` con algoritmi asimmetrici. */\n  jwksPath?: string;\n  /**\n   * Chiavi pubbliche precedenti, esposte in JWKS e accettate in verifica\n   * durante la rotazione. Se `keyId` e assente si usa il fingerprint della\n   * chiave, lo stesso calcolato dalla JWKS.\n   */\n  previousPublicKeys?: Array<{\n    publicKey: string;\n    keyId?: string;\n    algorithm?: AccessiAccessTokenAlgorithm;\n  }>;\n  /**\n   * Alert quando un token presenta un `kid` assente da chiave corrente e\n   * chiavi precedenti (tipico di una rotazione non completata).\n   */\n  onUnknownKeyId?: (event: AccessiUnknownKeyIdEvent) => void;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n  /**\n   * Durata del refresh token. Se assente il refresh token non viene emesso.\n   * Consigliato: `30d`.\n   */\n  refreshExpiresIn?: string;\n}\n\n/** Configurazione dei ticket di ingresso alla console. */\nexport interface ConsoleEntryOptions {\n  /** Durata del ticket in millisecondi. Default 60000. */\n  ttlMs?: number;\n  /** Store condiviso (es. Redis) per deployment multi-istanza. Default: memoria. */\n  store?: ConsoleEntryStore;\n}\n\nimport type { AccessiSecurityHeadersSetting } from './security/securityHeaders';\nimport type { AccessiAuthCookieOptions } from './security/authCookies';\nimport type { AccessiMetricsOptions } from './observability/metrics';\nimport type { AccessiAuditOptions } from './security/audit';\n\n/** Impostazioni HTTP del servizio Accessi. */\nexport interface AccessiHttpOptions {\n  /** Opzioni CORS Nest. `false` disabilita CORS. Default: exposedHeaders ['X-Total-Count']. */\n  cors?: Parameters<INestApplication['enableCors']>[0] | false;\n  /** Trust proxy per IP reali dietro load balancer/reverse proxy. */\n  trustProxy?: boolean | number | string;\n  /** Header di sicurezza di base su console/OpenAPI. Default: true. */\n  securityHeaders?: AccessiSecurityHeadersSetting;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione degli endpoint pubblici. Default in memoria; in cluster usare uno store condiviso. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  /** Store condiviso (es. Redis). Default: memoria del processo. */\n  store?: RateLimitStore;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  refresh?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n  adminBootstrap?: PublicAuthRateLimitRuleOptions;\n  consoleEntry?: PublicAuthRateLimitRuleOptions;\n}\n\n/**\n * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del\n * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.\n * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.\n */\nexport interface AdminBootstrapOptions {\n  /** Abilita il bootstrap admin. Default `false`. */\n  enabled?: boolean;\n  /** Crea l'utente come superutente oltre che admin. Default `true`. */\n  superUser?: boolean;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n  /** Store condiviso per il rate limit dei service token. Default: memoria. */\n  rateLimitStore?: RateLimitStore;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface SystemSeedsOptions {\n  /** `false` disabilita il seed automatico, ad esempio per ambienti gestiti manualmente. */\n  enabled?: boolean;\n}\n\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n  /**\n   * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono\n   * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.\n   */\n  allowDdl?: boolean;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n  /** Seed di sistema eseguiti dopo la riconciliazione dello schema. Default: abilitati. */\n  systemSeeds?: SystemSeedsOptions;\n  /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */\n  adminBootstrap?: AdminBootstrapOptions;\n  /**\n   * Audit persistente: sink, retention ed endpoint amministrativi di query/export.\n   */\n  audit?: AccessiAuditOptions;\n  /** Identificativo del tenant quando la configurazione arriva da una cartella multi-tenant. */\n  tenantId?: string;\n  /** Base URL pubblica usata solo per loggare gli indirizzi (console, OpenAPI, API). */\n  publicBaseUrl?: string;\n  /** Base URL API per la console quando UI e API sono su domini diversi. */\n  consoleApiBaseUrl?: string;\n  /**\n   * Documentazione OpenAPI del modulo. Default invariati:\n   * UI `accessi/openapi`, JSON `accessi/openapi.json`.\n   */\n  openapi?: OpenApiSetupOptions;\n  /** Logger Nest usato dal sotto-app Accessi. Se assente Nest usa il proprio logger. */\n  logger?: LoggerService;\n  /** Buffer dei log di bootstrap del sotto-app. Default `true` (comportamento storico). */\n  bufferLogs?: boolean;\n  /** Ticket di ingresso console: TTL e store condiviso per deployment multi-istanza. */\n  consoleEntry?: ConsoleEntryOptions;\n  /** Limite grossolano per IP davanti alle rotte Accessi. Opzionale. */\n  edgeRateLimit?: AccessiEdgeRateLimitOptions;\n  /** CORS, trust proxy e header di sicurezza del servizio. */\n  http?: AccessiHttpOptions;\n  /**\n   * Autenticazione opzionale via cookie httpOnly. Bearer resta il default:\n   * la modalita si abilita passando questo oggetto (o `enabled: true`).\n   */\n  authCookie?: AccessiAuthCookieOptions;\n  /** Metriche di dominio (login, 2FA, refresh, rate limit, store, ...). */\n  metrics?: AccessiMetricsOptions;\n  /** Revoca sessioni per utente tramite store memory/Redis. */\n  sessionRevocation?: SessionRevocationOptions;\n  /** Revoca dei singoli access token tramite `jti`, memory/Redis. */\n  accessTokenRevocation?: AccessTokenRevocationOptions;\n  /** Refresh token monouso tramite rotazione memory/Redis; rileva il riuso e revoca la famiglia. */\n  refreshTokenRotation?: RefreshTokenRotationOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ConsoleEntryController,\n    FederatedAuthExchangeController,\n    ServiceTokenController,\n    SchemaController,\n    AccessiIntrospectionController,\n    AccessiAuditController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    configureAccessiAudit(\n      options.tenantId\n        ? { ...(options.audit ?? {}), tenantId: options.audit?.tenantId ?? options.tenantId }\n        : options.audit,\n    );    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService, AccessiJwksBootstrapService],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n    };\n  }\n}\n"]}

package/dist/accessi-service/accessiRuntime.d.ts

@@ -0,0 +1,45 @@
+import type { Application } from "express";
+import type { INestApplication } from "@nestjs/common";
+import { AuthService } from "./services/auth-service/AuthService";
+import { UserService } from "./services/user-service/UserService";
+import { EmailService } from "./services/email-service/EmailService";
+import { PermissionService } from "./services/permission-service/PermissionService";
+import { ServiceTokenService } from "./services/service-token-service/ServiceTokenService";
+import { TwoFactorService } from "./services/two-factor-service/TwoFactorService";
+import { FederatedAuthService } from "./federated-auth/FederatedAuthService";
+import { AuthenticateGenService } from "./middleware/authenticateGen";
+/**
+ * Servizi Nest del modulo Accessi resi disponibili all'applicazione Express ospitante.
+ *
+ * Serve ai backend che, pur montando Accessi come modulo, devono delegare il proprio
+ * flusso di login/SSO ai servizi ufficiali (invece di reimplementare firma JWT e
+ * verifica password). Estrarre i servizi dal contenitore Nest evita di duplicare la
+ * logica di derivazione delle chiavi e il contratto dei token.
+ */
+export interface AccessiModuleServices {
+    /** Autenticazione locale, verifica token, 2FA e reset password. */
+    authService: AuthService;
+    /** Profilo utente, snapshot autorevole e gestione utenti. */
+    userService: UserService;
+    /** SSO provider-agnostico: scambio identità esterna verificata -> sessione Accessi. */
+    federatedAuthService: FederatedAuthService;
+    /** Challenge 2FA / passwordless. */
+    twoFactorService: TwoFactorService;
+    /** Ruoli, menu e grant effettivi. */
+    permissionService: PermissionService;
+    /** Invio email di reset/attivazione. */
+    emailService: EmailService;
+    /** Token macchina-a-macchina. */
+    serviceTokenService: ServiceTokenService;
+    /** Middleware Express di autorizzazione (bridge usato da authorizeAccessi). */
+    authenticateGenService: AuthenticateGenService;
+}
+/** Chiave usata su `app.locals` per esporre i servizi Accessi all'host Express. */
+export declare const ACCESSI_MODULE_SERVICES_LOCALS_KEY = "accessiServices";
+/** Estrae i servizi Accessi dal contenitore Nest e li aggancia a `app.locals`. */
+export declare function registerAccessiModuleServices(app: Application, nestApp: INestApplication): AccessiModuleServices;
+/**
+ * Recupera i servizi Accessi dall'app Express ospitante.
+ * Restituisce `undefined` se il modulo non è ancora stato inizializzato.
+ */
+export declare function getAccessiModuleServices(app: Application | undefined): AccessiModuleServices | undefined;

package/dist/accessi-service/accessiRuntime.js

@@ -0,0 +1,39 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ACCESSI_MODULE_SERVICES_LOCALS_KEY = void 0;
+exports.registerAccessiModuleServices = registerAccessiModuleServices;
+exports.getAccessiModuleServices = getAccessiModuleServices;
+const AuthService_1 = require("./services/auth-service/AuthService");
+const UserService_1 = require("./services/user-service/UserService");
+const EmailService_1 = require("./services/email-service/EmailService");
+const PermissionService_1 = require("./services/permission-service/PermissionService");
+const ServiceTokenService_1 = require("./services/service-token-service/ServiceTokenService");
+const TwoFactorService_1 = require("./services/two-factor-service/TwoFactorService");
+const FederatedAuthService_1 = require("./federated-auth/FederatedAuthService");
+const authenticateGen_1 = require("./middleware/authenticateGen");
+/** Chiave usata su `app.locals` per esporre i servizi Accessi all'host Express. */
+exports.ACCESSI_MODULE_SERVICES_LOCALS_KEY = "accessiServices";
+/** Estrae i servizi Accessi dal contenitore Nest e li aggancia a `app.locals`. */
+function registerAccessiModuleServices(app, nestApp) {
+    const services = {
+        authService: nestApp.get(AuthService_1.AuthService),
+        userService: nestApp.get(UserService_1.UserService),
+        federatedAuthService: nestApp.get(FederatedAuthService_1.FederatedAuthService),
+        twoFactorService: nestApp.get(TwoFactorService_1.TwoFactorService),
+        permissionService: nestApp.get(PermissionService_1.PermissionService),
+        emailService: nestApp.get(EmailService_1.EmailService),
+        serviceTokenService: nestApp.get(ServiceTokenService_1.ServiceTokenService),
+        authenticateGenService: nestApp.get(authenticateGen_1.AuthenticateGenService),
+    };
+    app.locals[exports.ACCESSI_MODULE_SERVICES_LOCALS_KEY] = services;
+    return services;
+}
+/**
+ * Recupera i servizi Accessi dall'app Express ospitante.
+ * Restituisce `undefined` se il modulo non è ancora stato inizializzato.
+ */
+function getAccessiModuleServices(app) {
+    var _a;
+    return (_a = app === null || app === void 0 ? void 0 : app.locals) === null || _a === void 0 ? void 0 : _a[exports.ACCESSI_MODULE_SERVICES_LOCALS_KEY];
+}
+//# sourceMappingURL=accessiRuntime.js.map

package/dist/accessi-service/accessiRuntime.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"accessiRuntime.js","sourceRoot":"","sources":["../../src/accessi-service/accessiRuntime.ts"],"names":[],"mappings":";;;AA0CA,sEAiBC;AAMD,4DAIC;AAnED,qEAAkE;AAClE,qEAAkE;AAClE,wEAAqE;AACrE,uFAAoF;AACpF,8FAA2F;AAC3F,qFAAkF;AAClF,gFAA6E;AAC7E,kEAAsE;AA6BtE,mFAAmF;AACtE,QAAA,kCAAkC,GAAG,iBAAiB,CAAC;AAEpE,kFAAkF;AAClF,SAAgB,6BAA6B,CAC3C,GAAgB,EAChB,OAAyB;IAEzB,MAAM,QAAQ,GAA0B;QACtC,WAAW,EAAE,OAAO,CAAC,GAAG,CAAC,yBAAW,CAAC;QACrC,WAAW,EAAE,OAAO,CAAC,GAAG,CAAC,yBAAW,CAAC;QACrC,oBAAoB,EAAE,OAAO,CAAC,GAAG,CAAC,2CAAoB,CAAC;QACvD,gBAAgB,EAAE,OAAO,CAAC,GAAG,CAAC,mCAAgB,CAAC;QAC/C,iBAAiB,EAAE,OAAO,CAAC,GAAG,CAAC,qCAAiB,CAAC;QACjD,YAAY,EAAE,OAAO,CAAC,GAAG,CAAC,2BAAY,CAAC;QACvC,mBAAmB,EAAE,OAAO,CAAC,GAAG,CAAC,yCAAmB,CAAC;QACrD,sBAAsB,EAAE,OAAO,CAAC,GAAG,CAAC,wCAAsB,CAAC;KAC5D,CAAC;IAEF,GAAG,CAAC,MAAM,CAAC,0CAAkC,CAAC,GAAG,QAAQ,CAAC;IAC1D,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED;;;GAGG;AACH,SAAgB,wBAAwB,CACtC,GAA4B;;IAE5B,OAAO,MAAA,GAAG,aAAH,GAAG,uBAAH,GAAG,CAAE,MAAM,0CAAG,0CAAkC,CAAC,CAAC;AAC3D,CAAC","sourcesContent":["import type { Application } from \"express\";\nimport type { INestApplication } from \"@nestjs/common\";\nimport { AuthService } from \"./services/auth-service/AuthService\";\nimport { UserService } from \"./services/user-service/UserService\";\nimport { EmailService } from \"./services/email-service/EmailService\";\nimport { PermissionService } from \"./services/permission-service/PermissionService\";\nimport { ServiceTokenService } from \"./services/service-token-service/ServiceTokenService\";\nimport { TwoFactorService } from \"./services/two-factor-service/TwoFactorService\";\nimport { FederatedAuthService } from \"./federated-auth/FederatedAuthService\";\nimport { AuthenticateGenService } from \"./middleware/authenticateGen\";\n\n/**\n * Servizi Nest del modulo Accessi resi disponibili all'applicazione Express ospitante.\n *\n * Serve ai backend che, pur montando Accessi come modulo, devono delegare il proprio\n * flusso di login/SSO ai servizi ufficiali (invece di reimplementare firma JWT e\n * verifica password). Estrarre i servizi dal contenitore Nest evita di duplicare la\n * logica di derivazione delle chiavi e il contratto dei token.\n */\nexport interface AccessiModuleServices {\n  /** Autenticazione locale, verifica token, 2FA e reset password. */\n  authService: AuthService;\n  /** Profilo utente, snapshot autorevole e gestione utenti. */\n  userService: UserService;\n  /** SSO provider-agnostico: scambio identità esterna verificata -> sessione Accessi. */\n  federatedAuthService: FederatedAuthService;\n  /** Challenge 2FA / passwordless. */\n  twoFactorService: TwoFactorService;\n  /** Ruoli, menu e grant effettivi. */\n  permissionService: PermissionService;\n  /** Invio email di reset/attivazione. */\n  emailService: EmailService;\n  /** Token macchina-a-macchina. */\n  serviceTokenService: ServiceTokenService;\n  /** Middleware Express di autorizzazione (bridge usato da authorizeAccessi). */\n  authenticateGenService: AuthenticateGenService;\n}\n\n/** Chiave usata su `app.locals` per esporre i servizi Accessi all'host Express. */\nexport const ACCESSI_MODULE_SERVICES_LOCALS_KEY = \"accessiServices\";\n\n/** Estrae i servizi Accessi dal contenitore Nest e li aggancia a `app.locals`. */\nexport function registerAccessiModuleServices(\n  app: Application,\n  nestApp: INestApplication\n): AccessiModuleServices {\n  const services: AccessiModuleServices = {\n    authService: nestApp.get(AuthService),\n    userService: nestApp.get(UserService),\n    federatedAuthService: nestApp.get(FederatedAuthService),\n    twoFactorService: nestApp.get(TwoFactorService),\n    permissionService: nestApp.get(PermissionService),\n    emailService: nestApp.get(EmailService),\n    serviceTokenService: nestApp.get(ServiceTokenService),\n    authenticateGenService: nestApp.get(AuthenticateGenService),\n  };\n\n  app.locals[ACCESSI_MODULE_SERVICES_LOCALS_KEY] = services;\n  return services;\n}\n\n/**\n * Recupera i servizi Accessi dall'app Express ospitante.\n * Restituisce `undefined` se il modulo non è ancora stato inizializzato.\n */\nexport function getAccessiModuleServices(\n  app: Application | undefined\n): AccessiModuleServices | undefined {\n  return app?.locals?.[ACCESSI_MODULE_SERVICES_LOCALS_KEY];\n}\n"]}

package/dist/accessi-service/console/accessiFetch.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"accessiFetch.js","sourceRoot":"","sources":["../../../src/accessi-service/console/accessiFetch.ts"],"names":[],"mappings":";;;;;;;;;;;;AAkDA,wDAEC;AAGD,wDAEC;AAGD,oEAIC;AAGD,wDAEC;AAYD,oDAQC;AAsCD,oCA4DC;AA3LD,IAAI,WAAW,GAAkB,IAAI,CAAC;AACtC,IAAI,OAAO,GAAkB,IAAI,CAAC;AAClC,IAAI,aAAa,GAA0D,IAAI,CAAC;AAChF,IAAI,YAAY,GAA+B,IAAI,CAAC;AA2BpD,MAAM,gBAAgB,GAAG,yBAAyB,CAAC;AACnD,8FAA8F;AACjF,QAAA,0BAA0B,GAAG,8BAA8B,CAAC;AAEzE,oGAAoG;AACpG,MAAa,mBAAoB,SAAQ,KAAK;IAC5C,YAAY,OAAe,EAAW,MAAc,EAAW,IAAa,EAAW,OAAkB;QACvG,KAAK,CAAC,OAAO,CAAC,CAAC;QADqB,WAAM,GAAN,MAAM,CAAQ;QAAW,SAAI,GAAJ,IAAI,CAAS;QAAW,YAAO,GAAP,OAAO,CAAW;QAEvG,IAAI,CAAC,IAAI,GAAG,qBAAqB,CAAC;IACpC,CAAC;CACF;AALD,kDAKC;AAED,kGAAkG;AAClG,SAAS,qBAAqB,CAAC,MAAe;IAC5C,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;QAClC,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,gBAAgB,EAAE,EAAE,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,mEAAmE;AACnE,SAAgB,sBAAsB,CAAC,KAAoB;IACzD,WAAW,GAAG,KAAK,CAAC;AACtB,CAAC;AAED,6FAA6F;AAC7F,SAAgB,sBAAsB,CAAC,GAAkB;IACvD,OAAO,GAAG,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACjD,CAAC;AAED,oFAAoF;AACpF,SAAgB,4BAA4B,CAC1C,QAA+D;IAE/D,aAAa,GAAG,QAAQ,CAAC;AAC3B,CAAC;AAED,mFAAmF;AACnF,SAAgB,sBAAsB;IACpC,OAAO,YAAY,CAAC;AACtB,CAAC;AAED;;;;;;;;;GASG;AACH,SAAgB,oBAAoB,CAAI,MAA2B,EAAE,QAAiB;IACpF,MAAM,QAAQ,GAAG,YAAY,CAAC;IAC9B,YAAY,GAAG,MAAM,CAAC;IACtB,IAAI,CAAC;QACH,OAAO,QAAQ,EAAE,CAAC;IACpB,CAAC;YAAS,CAAC;QACT,YAAY,GAAG,QAAQ,CAAC;IAC1B,CAAC;AACH,CAAC;AAED,0FAA0F;AAC1F,SAAS,aAAa,CAAC,OAAgB,EAAE,GAAW;IAClD,IAAI,CAAC,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ;QAAE,OAAO,SAAS,CAAC;IAC9D,MAAM,KAAK,GAAI,OAAmC,CAAC,GAAG,CAAC,CAAC;IACxD,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC;AAC3E,CAAC;AAED,+DAA+D;AAC/D,SAAS,iBAAiB,CAAC,IAAY;IACrC,IAAI,OAAO,QAAQ,KAAK,WAAW,IAAI,CAAC,QAAQ,CAAC,MAAM;QAAE,OAAO,IAAI,CAAC;IACrE,KAAK,MAAM,IAAI,IAAI,QAAQ,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,EAAE,CAAC;QAC9C,MAAM,SAAS,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;QACpC,IAAI,SAAS,GAAG,CAAC;YAAE,SAAS;QAC5B,IAAI,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,SAAS,CAAC,CAAC,IAAI,EAAE,KAAK,IAAI;YAAE,SAAS;QACvD,IAAI,CAAC;YACH,OAAO,kBAAkB,CAAC,IAAI,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC;QAC9D,CAAC;QAAC,WAAM,CAAC;YACP,OAAO,IAAI,CAAC,KAAK,CAAC,SAAS,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;QAC1C,CAAC;IACH,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED,SAAS,gBAAgB;IACvB,OAAO,OAAO,MAAM,KAAK,WAAW,IAAI,MAAM,CAAC,uBAAuB,KAAK,IAAI,CAAC;AAClF,CAAC;AAED,MAAM,cAAc,GAAG,IAAI,GAAG,CAAC,CAAC,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,QAAQ,CAAC,CAAC,CAAC;AAEnE;;;;;;GAMG;AACH,SAAsB,YAAY,CAAI,GAAW,EAAE,OAAoB;;;QACrE,2EAA2E;QAC3E,iFAAiF;QACjF,MAAM,MAAM,GAAG,YAAY,CAAC;QAC5B,MAAM,UAAU,GAAG,gBAAgB,EAAE,CAAC;QACtC,MAAM,OAAO,GAAG,IAAI,OAAO,CAAC,OAAO,CAAC,OAAO,CAAC,CAAC;QAC7C,OAAO,CAAC,GAAG,CAAC,QAAQ,EAAE,kBAAkB,CAAC,CAAC;QAC1C,IAAI,OAAO,CAAC,IAAI,KAAK,SAAS,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,EAAE,CAAC;YAC/D,OAAO,CAAC,GAAG,CAAC,cAAc,EAAE,kBAAkB,CAAC,CAAC;QAClD,CAAC;QACD,IAAI,UAAU,EAAE,CAAC;YACf,MAAM,MAAM,GAAG,CAAC,MAAA,OAAO,CAAC,MAAM,mCAAI,KAAK,CAAC,CAAC,WAAW,EAAE,CAAC;YACvD,IAAI,cAAc,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC/B,MAAM,UAAU,GAAG,MAAA,MAAM,CAAC,4BAA4B,mCAAI,cAAc,CAAC;gBACzE,MAAM,UAAU,GAAG,MAAA,MAAM,CAAC,4BAA4B,mCAAI,cAAc,CAAC;gBACzE,MAAM,SAAS,GAAG,iBAAiB,CAAC,UAAU,CAAC,CAAC;gBAChD,IAAI,SAAS;oBAAE,OAAO,CAAC,GAAG,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;YACpD,CAAC;QACH,CAAC;QACD,MAAM,aAAa,GAAG,MAAM;YAC1B,CAAC,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,CAAC,MAAM,MAAM,CAAC,QAAQ,EAAE,CAAC,CAAC,CAAC,MAAA,MAAM,CAAC,KAAK,mCAAI,IAAI,CAAC;YACpE,CAAC,CAAC,aAAa;gBACb,CAAC,CAAC,MAAM,aAAa,EAAE;gBACvB,CAAC,CAAC,WAAW,CAAC;QAClB,MAAM,kBAAkB,GAAG,wFAAwF,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;QAC9H,MAAM,oBAAoB,GAAG,CAAC,kBAAkB,IAAI,CAAC,UAAU,IAAI,CAAC,aAAa,KAAK,IAAI,IAAI,aAAa,KAAK,SAAS,CAAC,CAAC,CAAC;QAC5H,IAAI,aAAa;YAAE,OAAO,CAAC,GAAG,CAAC,eAAe,EAAE,UAAU,aAAa,EAAE,CAAC,CAAC;QAC3E,MAAM,cAAc,GAAG,CAAA,MAAM,aAAN,MAAM,uBAAN,MAAM,CAAE,OAAO,MAAK,SAAS;YAClD,CAAC,CAAC,MAAM,CAAC,OAAO;YAChB,CAAC,CAAC,OAAO,aAAP,OAAO,cAAP,OAAO,GAAI,CAAC,OAAO,MAAM,KAAK,WAAW,CAAC,CAAC,CAAC,MAAA,MAAM,CAAC,wBAAwB,mCAAI,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAChG,MAAM,UAAU,GAAG,cAAc,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC;YACtD,CAAC,CAAC,GAAG,cAAc,CAAC,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC,GAAG,GAAG,EAAE;YAC/C,CAAC,CAAC,GAAG,CAAC;QAER,qBAAqB,CAAC,IAAI,CAAC,CAAC;QAC5B,IAAI,CAAC;YACH,MAAM,QAAQ,GAAG,MAAM,KAAK,CAAC,UAAU,gDAClC,OAAO,KACV,OAAO,KACJ,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,WAAW,EAAE,SAAkB,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAC1D,CAAC;YACH,MAAM,OAAO,GAAG,MAAM,QAAQ,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;YAC7D,IAAI,CAAC,QAAQ,CAAC,EAAE,EAAE,CAAC;gBACjB,MAAM,OAAO,GAAG,MAAA,MAAA,aAAa,CAAC,OAAO,EAAE,SAAS,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,mCAAI,eAAe,QAAQ,CAAC,MAAM,EAAE,CAAC;gBACzH,MAAM,UAAU,GAAG,OAAO,IAAI,OAAO,OAAO,KAAK,QAAQ,CAAC,CAAC,CAAE,OAAiC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC;gBACnH,MAAM,OAAO,GAAG,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;gBAC/F,sGAAsG;gBACtG,IAAI,QAAQ,CAAC,MAAM,KAAK,GAAG,IAAI,oBAAoB,IAAI,OAAO,MAAM,KAAK,WAAW,EAAE,CAAC;oBACrF,MAAM,CAAC,aAAa,CAAC,IAAI,WAAW,CAAC,kCAA0B,CAAC,CAAC,CAAC;gBACpE,CAAC;gBACD,MAAM,IAAI,mBAAmB,CAAC,OAAO,EAAE,QAAQ,CAAC,MAAM,EAAE,MAAA,aAAa,CAAC,OAAO,EAAE,MAAM,CAAC,mCAAI,aAAa,CAAC,OAAO,EAAE,OAAO,CAAC,EAAE,OAAO,CAAC,CAAC;YACtI,CAAC;YACD,OAAO;gBACL,IAAI,EAAE,OAAO;gBACb,MAAM,EAAE,QAAQ,CAAC,MAAM;gBACvB,OAAO,EAAE,QAAQ,CAAC,OAAO;aACrB,CAAC;QACT,CAAC;gBAAS,CAAC;YACT,qBAAqB,CAAC,KAAK,CAAC,CAAC;QAC/B,CAAC;IACH,CAAC;CAAA","sourcesContent":["let accessToken: string | null = null;\nlet baseUrl: string | null = null;\nlet tokenProvider: (() => string | null | Promise<string | null>) | null = null;\nlet scopedConfig: AccessiClientConfig | null = null;\n\n/**\n * Configurazione di un client Accessi.\n *\n * Usata sia dalla configurazione globale (`configureAccessiClient`) sia dalle\n * istanze isolate create con `createAccessiClient`.\n */\nexport interface AccessiClientConfig {\n  /** Base URL di Accessi Service, es. `https://accessi.example.com`. */\n  baseUrl?: string | null;\n  /** Token statico. Preferire `getToken` per token che cambiano nel tempo. */\n  token?: string | null;\n  /** Provider asincrono/sincrono del token corrente. */\n  getToken?: () => string | null | Promise<string | null>;\n}\n\ndeclare global {\n  interface Window {\n    __ACCESSI_API_BASE_URL__?: string;\n    /** La console e servita in modalita cookie httpOnly. */\n    __ACCESSI_AUTH_COOKIE__?: boolean;\n    __ACCESSI_CSRF_COOKIE_NAME__?: string;\n    __ACCESSI_CSRF_HEADER_NAME__?: string;\n  }\n}\n\nconst loadingEventName = 'accessi-console-network';\n/** Emesso quando una richiesta autenticata riceve 401: la console deve riportare al login. */\nexport const ACCESSI_UNAUTHORIZED_EVENT = 'accessi-console-unauthorized';\n\n/** Errore del client console: conserva status, codice stabile Accessi e dettagli di validazione. */\nexport class AccessiRequestError extends Error {\n  constructor(message: string, readonly status: number, readonly code?: string, readonly details?: string[]) {\n    super(message);\n    this.name = 'AccessiRequestError';\n  }\n}\n\n/** Notifies the browser shell without coupling generated Orval calls to the UI implementation. */\nfunction notifyNetworkActivity(active: boolean): void {\n  if (typeof window !== 'undefined') {\n    window.dispatchEvent(new CustomEvent(loadingEventName, { detail: { active } }));\n  }\n}\n\n/** Imposta il JWT usato da tutte le funzioni generate da Orval. */\nexport function setAccessiConsoleToken(token: string | null): void {\n  accessToken = token;\n}\n\n/** Prefissa le chiamate relative del client generato (es. `https://accessi.example.com`). */\nexport function setAccessiFetchBaseUrl(url: string | null): void {\n  baseUrl = url ? url.replace(/\\/+$/, '') : null;\n}\n\n/** Token provider per client esterni alla console (server-to-server o frontend). */\nexport function setAccessiFetchTokenProvider(\n  provider: (() => string | null | Promise<string | null>) | null,\n): void {\n  tokenProvider = provider;\n}\n\n/** Configurazione isolata attiva in questo momento, se una chiamata e in corso. */\nexport function getAccessiClientConfig(): AccessiClientConfig | null {\n  return scopedConfig;\n}\n\n/**\n * Esegue `callback` con una configurazione del client isolata.\n *\n * Le funzioni generate da Orval invocano il trasporto in modo sincrono, quindi\n * la configurazione viene letta all'inizio della richiesta: due client diversi\n * possono chiamare in concorrenza senza sovrascriversi a vicenda.\n *\n * Per un uso continuativo preferire `createAccessiClient`, che applica il\n * contesto a ogni metodo.\n */\nexport function runWithAccessiClient<T>(config: AccessiClientConfig, callback: () => T): T {\n  const previous = scopedConfig;\n  scopedConfig = config;\n  try {\n    return callback();\n  } finally {\n    scopedConfig = previous;\n  }\n}\n\n/** Legge una stringa non vuota dal payload di errore Accessi, ignorando tipi inattesi. */\nfunction payloadString(payload: unknown, key: string): string | undefined {\n  if (!payload || typeof payload !== 'object') return undefined;\n  const value = (payload as Record<string, unknown>)[key];\n  return typeof value === 'string' && value.length > 0 ? value : undefined;\n}\n\n/** Legge un cookie non httpOnly (token CSRF double-submit). */\nfunction readBrowserCookie(name: string): string | null {\n  if (typeof document === 'undefined' || !document.cookie) return null;\n  for (const part of document.cookie.split(';')) {\n    const separator = part.indexOf('=');\n    if (separator < 0) continue;\n    if (part.slice(0, separator).trim() !== name) continue;\n    try {\n      return decodeURIComponent(part.slice(separator + 1).trim());\n    } catch {\n      return part.slice(separator + 1).trim();\n    }\n  }\n  return null;\n}\n\nfunction isCookieAuthMode(): boolean {\n  return typeof window !== 'undefined' && window.__ACCESSI_AUTH_COOKIE__ === true;\n}\n\nconst UNSAFE_METHODS = new Set(['POST', 'PUT', 'PATCH', 'DELETE']);\n\n/**\n * Trasporto comune del client Orval: aggiunge il Bearer token e converte le\n * risposte di errore Accessi in Error JavaScript leggibili dalla console.\n *\n * In modalita cookie non richiede un token in memoria: invia i cookie\n * same-origin/cross-origin e l'header CSRF double-submit.\n */\nexport async function accessiFetch<T>(url: string, options: RequestInit): Promise<T> {\n  // Il contesto va letto prima di ogni await: la funzione generata invoca il\n  // trasporto in modo sincrono, quindi la configurazione appartiene a questa call.\n  const config = scopedConfig;\n  const cookieMode = isCookieAuthMode();\n  const headers = new Headers(options.headers);\n  headers.set('Accept', 'application/json');\n  if (options.body !== undefined && !headers.has('Content-Type')) {\n    headers.set('Content-Type', 'application/json');\n  }\n  if (cookieMode) {\n    const method = (options.method ?? 'GET').toUpperCase();\n    if (UNSAFE_METHODS.has(method)) {\n      const csrfCookie = window.__ACCESSI_CSRF_COOKIE_NAME__ ?? 'accessi_csrf';\n      const csrfHeader = window.__ACCESSI_CSRF_HEADER_NAME__ ?? 'x-csrf-token';\n      const csrfToken = readBrowserCookie(csrfCookie);\n      if (csrfToken) headers.set(csrfHeader, csrfToken);\n    }\n  }\n  const resolvedToken = config\n    ? (config.getToken ? await config.getToken() : config.token ?? null)\n    : tokenProvider\n      ? await tokenProvider()\n      : accessToken;\n  const isAuthEntryRequest = /\\/(?:auth\\/(?:login|refresh|two-factor\\/(?:verify|resend))|console\\/entry\\/exchange)\\b/.test(url);\n  const authenticatedRequest = !isAuthEntryRequest && (cookieMode || (resolvedToken !== null && resolvedToken !== undefined));\n  if (resolvedToken) headers.set('Authorization', `Bearer ${resolvedToken}`);\n  const runtimeBaseUrl = config?.baseUrl !== undefined\n    ? config.baseUrl\n    : baseUrl ?? (typeof window !== 'undefined' ? window.__ACCESSI_API_BASE_URL__ ?? null : null);\n  const requestUrl = runtimeBaseUrl && url.startsWith('/')\n    ? `${runtimeBaseUrl.replace(/\\/+$/, '')}${url}`\n    : url;\n\n  notifyNetworkActivity(true);\n  try {\n    const response = await fetch(requestUrl, {\n      ...options,\n      headers,\n      ...(cookieMode ? { credentials: 'include' as const } : {}),\n    });\n    const payload = await response.json().catch(() => undefined);\n    if (!response.ok) {\n      const message = payloadString(payload, 'message') ?? payloadString(payload, 'error') ?? `Errore HTTP ${response.status}`;\n      const rawDetails = payload && typeof payload === 'object' ? (payload as { details?: unknown }).details : undefined;\n      const details = Array.isArray(rawDetails) ? rawDetails.map((item) => String(item)) : undefined;\n      // Un 401 su una richiesta autenticata significa sessione scaduta/revocata: il token non e piu valido.\n      if (response.status === 401 && authenticatedRequest && typeof window !== 'undefined') {\n        window.dispatchEvent(new CustomEvent(ACCESSI_UNAUTHORIZED_EVENT));\n      }\n      throw new AccessiRequestError(message, response.status, payloadString(payload, 'code') ?? payloadString(payload, 'error'), details);\n    }\n    return {\n      data: payload,\n      status: response.status,\n      headers: response.headers,\n    } as T;\n  } finally {\n    notifyNetworkActivity(false);\n  }\n}\n"]}