Revisione blocchi 2 e 3: file protetti, ripristino atomico, import sicuri

Blocco 2
- Esiti delle azioni Livewire come avvisi (trait Avvisa) invece di flash
  che comparivano alla pagina dopo.
- PDF, miniature e versioni dei territori non più serviti da nginx su
  /storage: TerritorioFileController con login, permessi e cache privata.
- Ripristino tutto o niente: verifica dell'archivio, una transazione con
  import, piantine, blocco account e scambio dei file annullabile.
- Backup formato 2 con piantine, storico PDF e area KML.
- Posto unico preso in un passo (Cache::lock) e rispettato anche da
  import XML e PDF.
- Import PDF da cartella: abbinamento corretto (1-A, 12 B, ambigui),
  caricamento a lotti, file non PDF ignorati, PDF sostituito nello storico.
- L'import XML elimina i file dei territori che non usa più; comando
  territori:file-orfani per quelli accumulati prima.

Blocco 3
- Password attuale richiesta al cambio volontario; AuthenticateSession
  chiude le sessioni aperte altrove.
- Niente nomi dei proclamatori in chiaro nel registro attività.
- Export XML senza remember_token; chi riceve l'hash dal file deve
  cambiare password.
- Campagne: ultimo giorno incluso, percentuale sui territori distinti.
- Coda: retry_after 960 s, stop_grace_period 16m, Redis volatile-lru,
  impostazioni rilette a ogni job.
- Azzeramento che cancella anche piantine, area KML e anteprime.
- Pulsanti profilo e menu che non si nascondevano; icona del sito.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Http/Controllers/TerritorioFileController.php

@@ -0,0 +1,62 @@
+<?php
+
+namespace App\Http\Controllers;
+
+use App\Models\Territorio;
+use App\Models\TerritorioPdfVersione;
+use Illuminate\Support\Facades\Storage;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * PDF, miniature e versioni archiviate dei territori, solo per chi è dentro.
+ *
+ * I file stanno sul disco `public`, ma nginx non serve più le cartelle
+ * `territori-*` (docker/nginx/default.conf): prima chiunque scaricava
+ * /storage/territori-pdf/territorio-12-34.pdf senza login, con nomi facili da
+ * indovinare, e Cloudflare li teneva in cache pubblica per una settimana. I
+ * proclamatori continuano a riceverli dal link con codice e scadenza
+ * (AssignmentPdfController); da qui passano solo gli utenti autenticati, con i
+ * permessi della pagina che li mostra.
+ */
+class TerritorioFileController extends Controller
+{
+    public function pdf(Territorio $territorio): Response
+    {
+        return $this->servi($territorio->pdf_path, 'application/pdf', 'territorio-' . $territorio->numero . '.pdf');
+    }
+
+    public function miniatura(Territorio $territorio): Response
+    {
+        return $this->servi($territorio->thumbnail_path, null, null);
+    }
+
+    public function versione(TerritorioPdfVersione $versione): Response
+    {
+        $numero = $versione->territorio?->numero ?? 'senza-territorio';
+
+        return $this->servi($versione->pdf_path, 'application/pdf', "territorio-{$numero}-versione-{$versione->id}.pdf");
+    }
+
+    private function servi(?string $percorso, ?string $tipo, ?string $nome): Response
+    {
+        $disco = Storage::disk('public');
+
+        abort_unless($percorso && $disco->exists($percorso), 404);
+
+        $intestazioni = [];
+        if ($tipo) {
+            $intestazioni['Content-Type'] = $tipo;
+        }
+        if ($nome) {
+            $intestazioni['Content-Disposition'] = 'inline; filename="' . $nome . '"';
+        }
+
+        // Privata: niente cache intermedie (Cloudflare). Va impostata dopo,
+        // perché BinaryFileResponse si dichiara pubblica da sola e
+        // sovrascriverebbe un Cache-Control passato fra le intestazioni.
+        // L'indirizzo porta l'impronta del percorso (?v=), che cambia col file.
+        return response()->file($disco->path($percorso), $intestazioni)
+            ->setPrivate()
+            ->setMaxAge(86400);
+    }
+}