Correggi bug di sicurezza e integrita' dei dati

I due piu' gravi potevano causare perdita di dati silenziosa.

AppServiceProvider chiamava key:generate --force a ogni richiesta quando
APP_KEY risultava vuota. Poiche' nome e cognome dei proclamatori sono
cifrati con quella chiave, ogni riga scritta sotto una chiave poi
sostituita diventava irrecuperabile. La chiave e' ora risolta una sola
volta all'avvio del container e il provider solleva un'eccezione se manca,
invece di rigenerarla.

importTerritoryPdfFolder() caricava i PDF, costruiva l'elenco dei file e
poi lo scartava senza mai accodare il job: nessun errore, nessun territorio
aggiornato, e i file restavano su disco a crescita illimitata perche' la
pulizia viveva solo nel finally del job mai eseguito.

Sicurezza:
- i permessi non venivano riapplicati alle richieste /livewire/update, per
  cui un permesso revocato restava attivo fino al reload della pagina
- host header injection: nginx passava l'Host del client come
  X-Forwarded-Host e Laravel si fidava di tutti i proxy, abbastanza per far
  generare a route() link verso domini arbitrari, inclusi i PDF pubblici
  che contengono un codice di accesso valido
- lo schema forwarded e' ora deciso dal server e non dall'header del client
- campagna_id in Rientra e' #[Locked]: era derivato lato server ma
  manipolabile dal client, permettendo di conteggiare un rientro su una
  campagna arbitraria
- sortField del registro passava non validato a orderBy(), con 500 su
  colonna inesistente
- SESSION_SECURE_COOKIE ora vale true fuori da local
- limiti su dimensione e numero di voci negli import ZIP

Integrita' e prestazioni:
- il default di assignment_link_ttl_hours era rimasto 24 dopo la
  conversione da ore a mesi: i link PDF pubblici duravano due anni invece
  di uno mese
- il seeder usava syncPermissions(), che a un secondo giro azzerava i
  permessi personalizzati dei ruoli; ora e' additivo
- pdftoppm senza timeout poteva bloccare il worker indefinitamente
- nomi file deterministici nell'import: "1 A" e "1-A" scrivevano sullo
  stesso PDF, sovrascrivendosi
- Setting::flushCache() dopo le cancellazioni massive, che non emettono
  eventi e lasciavano la cache puntata a una riga inesistente
- riga settings creata dal seeder, per evitare due singleton concorrenti
- rimosse due migrazioni ridondanti che rompevano migrate:rollback
- indici su assigned_at, (attivo, deleted_at) e deleted_at
- risolti gli N+1 negli elenchi territori e proclamatori

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/Services/TerritorioPdfImportDispatcher.php

@@ -4,12 +4,19 @@ namespace App\Services;
 
 use App\Jobs\ImportTerritoryPdfFolder;
 use Illuminate\Http\UploadedFile;
+use Illuminate\Support\Facades\Storage;
 use Illuminate\Support\Str;
 use RuntimeException;
 use ZipArchive;
 
 class TerritorioPdfImportDispatcher
 {
+    /** Per-entry uncompressed ceiling, matching the 10 MB Livewire upload rule. */
+    private const MAX_ENTRY_BYTES = 10 * 1024 * 1024;
+
+    /** Caps the job payload — every entry is serialized into one queue message. */
+    private const MAX_ENTRIES = 2000;
+
     public function __construct(
         protected TerritorioPdfImportState $stateService,
     ) {
@@ -56,6 +63,25 @@ class TerritorioPdfImportDispatcher
                     continue;
                 }
 
+                if ($entryIndex >= self::MAX_ENTRIES) {
+                    throw new RuntimeException(
+                        'Lo ZIP contiene più di ' . self::MAX_ENTRIES . ' PDF. Suddividilo in archivi più piccoli.'
+                    );
+                }
+
+                // Check the *uncompressed* size before reading. getFromIndex()
+                // inflates the entry entirely into memory, so a small zip with
+                // one hugely compressible entry would otherwise exhaust PHP's
+                // memory limit and abort the request mid-extraction.
+                $uncompressedSize = $zip->statIndex($index)['size'] ?? 0;
+                if ($uncompressedSize > self::MAX_ENTRY_BYTES) {
+                    throw new RuntimeException(sprintf(
+                        'Il file "%s" nello ZIP supera %d MB.',
+                        basename($entryName),
+                        self::MAX_ENTRY_BYTES / 1048576
+                    ));
+                }
+
                 $content = $zip->getFromIndex($index);
                 if ($content === false) {
                     continue;
@@ -74,6 +100,12 @@ class TerritorioPdfImportDispatcher
 
                 $entryIndex++;
             }
+        } catch (\Throwable $exception) {
+            // Nothing was queued, so the job's own cleanup will never run —
+            // drop the partially extracted files rather than orphaning them.
+            Storage::disk('local')->deleteDirectory('bulk-territori-imports/' . $importId);
+
+            throw $exception;
         } finally {
             $zip->close();
         }

app/Services/TerritorioThumbnailService.php

@@ -2,10 +2,20 @@
 
 namespace App\Services;
 
+use Illuminate\Support\Facades\Log;
 use Illuminate\Support\Facades\Storage;
+use Symfony\Component\Process\Exception\ProcessTimedOutException;
+use Symfony\Component\Process\Process;
 
 class TerritorioThumbnailService
 {
+    /**
+     * Wall-clock limit for pdftoppm. A malformed PDF can make it spin
+     * indefinitely; unbounded, that wedges the queue worker for good.
+     */
+    private const RENDER_TIMEOUT_SECONDS = 60;
+
+
     /**
      * Generate a PNG thumbnail of the first page of a PDF stored on the public disk.
      *
@@ -22,11 +32,26 @@ class TerritorioThumbnailService
 
         $tempPrefix = sys_get_temp_dir() . '/terr_thumb_' . uniqid();
 
-        exec(
-            'pdftoppm -r 72 -png -l 1 ' . escapeshellarg($pdfAbsPath) . ' ' . escapeshellarg($tempPrefix),
-            $output,
-            $exitCode
-        );
+        $process = new Process([
+            'pdftoppm', '-r', '72', '-png', '-l', '1', $pdfAbsPath, $tempPrefix,
+        ]);
+        $process->setTimeout(self::RENDER_TIMEOUT_SECONDS);
+
+        try {
+            $process->run();
+        } catch (ProcessTimedOutException) {
+            Log::warning('pdftoppm timed out generating a territory thumbnail.', [
+                'pdf' => $pdfStoragePath,
+                'timeout' => self::RENDER_TIMEOUT_SECONDS,
+            ]);
+
+            // Clean up whatever partial pages it managed to write.
+            foreach (glob($tempPrefix . '*.png') ?: [] as $partial) {
+                @unlink($partial);
+            }
+
+            return null;
+        }
 
         // pdftoppm may produce -1.png, -01.png or even -001.png depending on page count
         $generated = null;