Correggi bug di sicurezza e integrita' dei dati

I due piu' gravi potevano causare perdita di dati silenziosa.

AppServiceProvider chiamava key:generate --force a ogni richiesta quando
APP_KEY risultava vuota. Poiche' nome e cognome dei proclamatori sono
cifrati con quella chiave, ogni riga scritta sotto una chiave poi
sostituita diventava irrecuperabile. La chiave e' ora risolta una sola
volta all'avvio del container e il provider solleva un'eccezione se manca,
invece di rigenerarla.

importTerritoryPdfFolder() caricava i PDF, costruiva l'elenco dei file e
poi lo scartava senza mai accodare il job: nessun errore, nessun territorio
aggiornato, e i file restavano su disco a crescita illimitata perche' la
pulizia viveva solo nel finally del job mai eseguito.

Sicurezza:
- i permessi non venivano riapplicati alle richieste /livewire/update, per
  cui un permesso revocato restava attivo fino al reload della pagina
- host header injection: nginx passava l'Host del client come
  X-Forwarded-Host e Laravel si fidava di tutti i proxy, abbastanza per far
  generare a route() link verso domini arbitrari, inclusi i PDF pubblici
  che contengono un codice di accesso valido
- lo schema forwarded e' ora deciso dal server e non dall'header del client
- campagna_id in Rientra e' #[Locked]: era derivato lato server ma
  manipolabile dal client, permettendo di conteggiare un rientro su una
  campagna arbitraria
- sortField del registro passava non validato a orderBy(), con 500 su
  colonna inesistente
- SESSION_SECURE_COOKIE ora vale true fuori da local
- limiti su dimensione e numero di voci negli import ZIP

Integrita' e prestazioni:
- il default di assignment_link_ttl_hours era rimasto 24 dopo la
  conversione da ore a mesi: i link PDF pubblici duravano due anni invece
  di uno mese
- il seeder usava syncPermissions(), che a un secondo giro azzerava i
  permessi personalizzati dei ruoli; ora e' additivo
- pdftoppm senza timeout poteva bloccare il worker indefinitamente
- nomi file deterministici nell'import: "1 A" e "1-A" scrivevano sullo
  stesso PDF, sovrascrivendosi
- Setting::flushCache() dopo le cancellazioni massive, che non emettono
  eventi e lasciavano la cache puntata a una riga inesistente
- riga settings creata dal seeder, per evitare due singleton concorrenti
- rimosse due migrazioni ridondanti che rompevano migrate:rollback
- indici su assigned_at, (attivo, deleted_at) e deleted_at
- risolti gli N+1 negli elenchi territori e proclamatori

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/Jobs/ImportTerritoryPdfFolder.php

@@ -22,7 +22,11 @@ class ImportTerritoryPdfFolder implements ShouldQueue
     use SerializesModels;
 
     public int $tries = 1;
-    public int $timeout = 0;
+
+    // A bounded timeout, not 0. With no limit a single PDF that hangs the
+    // renderer blocks the worker forever and the import state never leaves
+    // "running", so the UI polls a job that will never finish.
+    public int $timeout = 900;
 
     public function __construct(
         public string $importId,
@@ -115,7 +119,14 @@ class ImportTerritoryPdfFolder implements ShouldQueue
                         $thumbnailService->delete($territorio->thumbnail_path);
                     }
 
-                    $storedFilename = Str::slug('territorio-' . $territorio->numero) . '.pdf';
+                    // The territory id is part of the filename because the slug
+                    // alone is not unique: "1 A" and "1-A" are distinct
+                    // territory numbers that both slug to "territorio-1-a".
+                    // Without it the second import overwrites the first's PDF
+                    // and both rows point at one file — then removing the PDF
+                    // from either territory breaks the other.
+                    $storedFilename = Str::slug('territorio-' . $territorio->numero)
+                        . '-' . $territorio->id . '.pdf';
                     $publicPath = 'territori-pdf/' . $storedFilename;
                     Storage::disk('public')->put($publicPath, file_get_contents($sourcePath));
                     $thumbnailPath = $thumbnailService->generate($publicPath);
@@ -166,6 +177,26 @@ class ImportTerritoryPdfFolder implements ShouldQueue
         }
     }
 
+    /**
+     * Runs when the job exceeds $timeout or dies outside handle()'s try block.
+     *
+     * Without this the import state is stranded in "running" — the UI polls it
+     * until the 24h cache entry expires — and the uploaded temp directory is
+     * never reclaimed, since handle()'s finally never executes.
+     */
+    public function failed(?\Throwable $exception): void
+    {
+        $stateService = app(TerritorioPdfImportState::class);
+
+        $stateService->appendLog(
+            $this->importId,
+            '[ERR] Job terminato senza completare: ' . ($exception?->getMessage() ?? 'timeout')
+        );
+        $stateService->markFailed($this->importId);
+
+        Storage::disk('local')->deleteDirectory('bulk-territori-imports/' . $this->importId);
+    }
+
     protected function resolveTerritoryFromFilename(string $filename, array $territoriMap): ?array
     {
         if ($territoriMap === []) {