Revisione blocchi 2 e 3: file protetti, ripristino atomico, import sicuri

Blocco 2
- Esiti delle azioni Livewire come avvisi (trait Avvisa) invece di flash
  che comparivano alla pagina dopo.
- PDF, miniature e versioni dei territori non più serviti da nginx su
  /storage: TerritorioFileController con login, permessi e cache privata.
- Ripristino tutto o niente: verifica dell'archivio, una transazione con
  import, piantine, blocco account e scambio dei file annullabile.
- Backup formato 2 con piantine, storico PDF e area KML.
- Posto unico preso in un passo (Cache::lock) e rispettato anche da
  import XML e PDF.
- Import PDF da cartella: abbinamento corretto (1-A, 12 B, ambigui),
  caricamento a lotti, file non PDF ignorati, PDF sostituito nello storico.
- L'import XML elimina i file dei territori che non usa più; comando
  territori:file-orfani per quelli accumulati prima.

Blocco 3
- Password attuale richiesta al cambio volontario; AuthenticateSession
  chiude le sessioni aperte altrove.
- Niente nomi dei proclamatori in chiaro nel registro attività.
- Export XML senza remember_token; chi riceve l'hash dal file deve
  cambiare password.
- Campagne: ultimo giorno incluso, percentuale sui territori distinti.
- Coda: retry_after 960 s, stop_grace_period 16m, Redis volatile-lru,
  impostazioni rilette a ogni job.
- Azzeramento che cancella anche piantine, area KML e anteprime.
- Pulsanti profilo e menu che non si nascondevano; icona del sito.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Http/Controllers/Auth/PasswordChangeController.php

@@ -43,23 +43,30 @@ class PasswordChangeController extends Controller
 
     public function store(Request $request)
     {
-        // La password attuale NON viene richiesta, ed e' una scelta.
+        $user = $request->user();
+
+        // La password attuale si chiede solo a chi arriva qui di sua
+        // iniziativa, come fa il profilo.
         //
-        // Il ripristino sovrascrive gli hash con quelli del backup: subito dopo,
-        // la "password attuale" di un account e' quella che aveva all'epoca del
-        // backup, che l'utente puo' benissimo non ricordare — l'amministratore
-        // che ha appena fatto il restore per primo. Chiederla bloccherebbe fuori
-        // proprio le persone che questa schermata deve sbloccare. La garanzia
-        // qui e' la sessione: si arriva a questa pagina gia' autenticati.
-        $validated = $request->validate([
-            'password' => ['required', 'confirmed', Password::min(8)],
-        ], [
+        // Dopo un ripristino no: gli hash sono quelli del backup, e la
+        // "password attuale" di un account e' quella che aveva all'epoca, che
+        // l'utente puo' benissimo non ricordare. Chiederla bloccherebbe fuori
+        // proprio le persone che questa schermata deve sbloccare; la garanzia li'
+        // e' la sessione. Fuori da quel caso, invece, bastava una sessione
+        // lasciata aperta per cambiare la password a qualcun altro e chiuderlo
+        // fuori dal suo account.
+        $regole = ['password' => ['required', 'confirmed', Password::min(8)]];
+        if (! $user->password_change_required) {
+            $regole['current_password'] = ['required', 'current_password'];
+        }
+
+        $validated = $request->validate($regole, [
             'password.required' => 'Inserisci la nuova password.',
             'password.confirmed' => 'Le due password non coincidono.',
+            'current_password.required' => 'Inserisci la password attuale.',
+            'current_password.current_password' => 'La password attuale non è corretta.',
         ]);
 
-        $user = $request->user();
-
         // Il cast `hashed` sul modello cifra il valore al salvataggio.
         $user->update([
             'password' => $validated['password'],
@@ -68,7 +75,10 @@ class PasswordChangeController extends Controller
 
         // La sessione corrente sopravvive al cambio, le altre no: dopo un
         // ripristino le vecchie credenziali sono da considerarsi compromesse e
-        // una sessione aperta altrove lo e' altrettanto.
+        // una sessione aperta altrove lo e' altrettanto. Le altre le chiude
+        // AuthenticateSession (bootstrap/app.php) alla loro prossima richiesta,
+        // perche' l'hash della password e' cambiato; qui si cambia l'id di
+        // questa e si invalida il "ricordami".
         $request->session()->regenerate();
         $user->setRememberToken(null);
         $user->save();

app/Http/Controllers/Settings/BackupController.php

@@ -110,30 +110,45 @@ class BackupController extends Controller
             'backupZip.max' => 'Il pacchetto supera i ' . self::maxUploadMb() . ' MB accettati dal server.',
         ]);
 
+        $operationId = (string) Str::uuid();
+
         // Stesso blocco del componente Livewire, ripetuto qui perche' questa e'
         // una porta d'ingresso separata: un ripristino avviato mentre gira un
         // azzeramento riscriverebbe le tabelle che l'altro sta cancellando.
-        if ($this->stato->corrente() !== null) {
+        // Il posto si prende subito e in un passo solo (occupa()): controllarlo
+        // e prenderlo solo dopo aver salvato il file lasciava una finestra in cui
+        // un import o un secondo ripristino passavano entrambi.
+        $inCorso = $this->stato->occupa($operationId, BackupOperationState::TIPO_RESTORE, 'In coda');
+        if ($inCorso !== null) {
             return response()->json([
-                'message' => 'C\'e\' gia\' un\'operazione in corso: attendi che finisca.',
+                'message' => $this->stato->messaggioOccupato($inCorso),
             ], 409);
         }
 
-        $operationId = (string) Str::uuid();
+        try {
+            // Il file dell'upload vive in una cartella temporanea che sparisce a
+            // fine richiesta: il job lo troverebbe gia' cancellato.
+            $percorso = $request->file('backupZip')->storeAs(
+                'backup-restore-in',
+                $operationId . '.zip',
+                'local'
+            );
+        } catch (\Throwable $e) {
+            // Il posto e' gia' preso: senza chiuderlo resterebbe occupato da un
+            // ripristino che non partira' mai, per l'ora intera del TTL.
+            $this->stato->markFailed($operationId, 'Archivio non salvato sul server: ' . $e->getMessage());
 
-        // Il file dell'upload vive in una cartella temporanea che sparisce a
-        // fine richiesta: il job lo troverebbe gia' cancellato.
-        $percorso = $request->file('backupZip')->storeAs(
-            'backup-restore-in',
-            $operationId . '.zip',
-            'local'
-        );
+            throw $e;
+        }
+
+        if ($percorso === false) {
+            $this->stato->markFailed($operationId, 'Archivio non salvato sul server.');
+
+            return response()->json([
+                'message' => 'Il server non è riuscito a salvare il pacchetto ricevuto (spazio o permessi sul disco).',
+            ], 500);
+        }
 
-        $this->stato->initialize(
-            $operationId,
-            BackupOperationState::TIPO_RESTORE,
-            'In coda'
-        );
         $this->stato->log($operationId, 'Archivio ricevuto. In attesa del worker di coda.');
 
         RestoreBackupArchive::dispatch(

app/Http/Controllers/Settings/XmlExchangeUploadController.php

@@ -4,10 +4,21 @@ namespace App\Http\Controllers\Settings;
 
 use App\Http\Controllers\Controller;
 use App\Livewire\Settings\XmlExchange;
+use App\Services\BackupOperationState;
 use Illuminate\Http\Request;
+use Illuminate\Support\Str;
 
 class XmlExchangeUploadController extends Controller
 {
+    /**
+     * Quanto resta occupato il posto unico se la richiesta di import muore senza
+     * liberarlo (timeout, errore fatale: casi in cui il `finally` non gira).
+     * L'import e' sincrono e PHP lo ferma comunque dopo max_execution_time
+     * (120 s): dieci minuti bastano a coprirlo, invece dell'ora intera pensata
+     * per i job in coda.
+     */
+    private const TTL_POSTO_IMPORT_XML = 600;
+
     public function convertSqlToXml(Request $request)
     {
         $request->validate([
@@ -51,13 +62,44 @@ class XmlExchangeUploadController extends Controller
             return back()->withErrors(['xmlImport' => 'File vuoto o non leggibile.']);
         }
 
-        $exchange = new XmlExchange();
-        $result = $exchange->importXmlFromContent($content);
+        // L'import svuota e riscrive le tabelle: non puo' girare insieme a un
+        // ripristino (che fa lo stesso), a un azzeramento, a un backup che le sta
+        // fotografando o a un import PDF che sta aggiornando i territori. Il
+        // ripristino chiama importXmlFromContent() per conto suo, gia' dentro il
+        // proprio posto: per questo il blocco sta qui, sulla porta d'ingresso, e
+        // non dentro l'import.
+        $stato = app(BackupOperationState::class);
+        $operationId = (string) Str::uuid();
+        $inCorso = $stato->occupa($operationId, BackupOperationState::TIPO_IMPORT_XML, 'Import XML', self::TTL_POSTO_IMPORT_XML);
+
+        if ($inCorso !== null) {
+            return back()->withErrors(['xmlImport' => $stato->messaggioOccupato($inCorso) . ' Nessun dato è stato modificato.']);
+        }
+
+        $stato->markRunning($operationId);
+
+        try {
+            $exchange = new XmlExchange();
+            $fileDiPrima = XmlExchange::fileDeiTerritori();
+            $result = $exchange->importXmlFromContent($content);
+
+            if (! isset($result['error'])) {
+                $result['stats']['file_rimossi'] = XmlExchange::eliminaFileNonPiuUsati($fileDiPrima);
+            }
+        } catch (\Throwable $e) {
+            $stato->markFailed($operationId, $e->getMessage());
+
+            throw $e;
+        }
 
         if (isset($result['error'])) {
+            $stato->markFailed($operationId, $result['error']);
+
             return back()->withErrors(['xmlImport' => $result['error']]);
         }
 
+        $stato->markCompleted($operationId);
+
         $stats = $result['stats'];
         $issues = $result['issues'];
 
@@ -65,6 +107,9 @@ class XmlExchangeUploadController extends Controller
         if (($stats['duplicate_territori'] ?? 0) > 0 || ($stats['assegnazioni_saltate'] ?? 0) > 0) {
             $message .= ' Territori duplicati saltati: ' . $stats['duplicate_territori'] . '. Assegnazioni saltate: ' . $stats['assegnazioni_saltate'] . '.';
         }
+        if (($stats['file_rimossi'] ?? 0) > 0) {
+            $message .= ' Eliminati ' . $stats['file_rimossi'] . ' file (PDF e miniature) dei territori sostituiti, che i dati importati non usano più.';
+        }
 
         return redirect()->route('xml.exchange')
             ->with('success', $message)

app/Http/Controllers/TerritorioFileController.php

@@ -0,0 +1,62 @@
+<?php
+
+namespace App\Http\Controllers;
+
+use App\Models\Territorio;
+use App\Models\TerritorioPdfVersione;
+use Illuminate\Support\Facades\Storage;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * PDF, miniature e versioni archiviate dei territori, solo per chi è dentro.
+ *
+ * I file stanno sul disco `public`, ma nginx non serve più le cartelle
+ * `territori-*` (docker/nginx/default.conf): prima chiunque scaricava
+ * /storage/territori-pdf/territorio-12-34.pdf senza login, con nomi facili da
+ * indovinare, e Cloudflare li teneva in cache pubblica per una settimana. I
+ * proclamatori continuano a riceverli dal link con codice e scadenza
+ * (AssignmentPdfController); da qui passano solo gli utenti autenticati, con i
+ * permessi della pagina che li mostra.
+ */
+class TerritorioFileController extends Controller
+{
+    public function pdf(Territorio $territorio): Response
+    {
+        return $this->servi($territorio->pdf_path, 'application/pdf', 'territorio-' . $territorio->numero . '.pdf');
+    }
+
+    public function miniatura(Territorio $territorio): Response
+    {
+        return $this->servi($territorio->thumbnail_path, null, null);
+    }
+
+    public function versione(TerritorioPdfVersione $versione): Response
+    {
+        $numero = $versione->territorio?->numero ?? 'senza-territorio';
+
+        return $this->servi($versione->pdf_path, 'application/pdf', "territorio-{$numero}-versione-{$versione->id}.pdf");
+    }
+
+    private function servi(?string $percorso, ?string $tipo, ?string $nome): Response
+    {
+        $disco = Storage::disk('public');
+
+        abort_unless($percorso && $disco->exists($percorso), 404);
+
+        $intestazioni = [];
+        if ($tipo) {
+            $intestazioni['Content-Type'] = $tipo;
+        }
+        if ($nome) {
+            $intestazioni['Content-Disposition'] = 'inline; filename="' . $nome . '"';
+        }
+
+        // Privata: niente cache intermedie (Cloudflare). Va impostata dopo,
+        // perché BinaryFileResponse si dichiara pubblica da sola e
+        // sovrascriverebbe un Cache-Control passato fra le intestazioni.
+        // L'indirizzo porta l'impronta del percorso (?v=), che cambia col file.
+        return response()->file($disco->path($percorso), $intestazioni)
+            ->setPrivate()
+            ->setMaxAge(86400);
+    }
+}