Revisione blocchi 2 e 3: file protetti, ripristino atomico, import sicuri

Blocco 2
- Esiti delle azioni Livewire come avvisi (trait Avvisa) invece di flash
  che comparivano alla pagina dopo.
- PDF, miniature e versioni dei territori non più serviti da nginx su
  /storage: TerritorioFileController con login, permessi e cache privata.
- Ripristino tutto o niente: verifica dell'archivio, una transazione con
  import, piantine, blocco account e scambio dei file annullabile.
- Backup formato 2 con piantine, storico PDF e area KML.
- Posto unico preso in un passo (Cache::lock) e rispettato anche da
  import XML e PDF.
- Import PDF da cartella: abbinamento corretto (1-A, 12 B, ambigui),
  caricamento a lotti, file non PDF ignorati, PDF sostituito nello storico.
- L'import XML elimina i file dei territori che non usa più; comando
  territori:file-orfani per quelli accumulati prima.

Blocco 3
- Password attuale richiesta al cambio volontario; AuthenticateSession
  chiude le sessioni aperte altrove.
- Niente nomi dei proclamatori in chiaro nel registro attività.
- Export XML senza remember_token; chi riceve l'hash dal file deve
  cambiare password.
- Campagne: ultimo giorno incluso, percentuale sui territori distinti.
- Coda: retry_after 960 s, stop_grace_period 16m, Redis volatile-lru,
  impostazioni rilette a ogni job.
- Azzeramento che cancella anche piantine, area KML e anteprime.
- Pulsanti profilo e menu che non si nascondevano; icona del sito.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docker-compose.yml

@@ -71,6 +71,11 @@ services:
       - --tries=3
       - --timeout=600
       - --max-time=3600
+    # Al riavvio (ogni deploy) il worker riceve SIGTERM e finisce il job in
+    # corso prima di uscire; Docker pero' di default aspetta 10 secondi e poi
+    # lo uccide. Un ripristino o un import interrotto cosi' lascia i dati a
+    # meta'. 16 minuti coprono il job piu' lungo (900 s).
+    stop_grace_period: 16m
     # Sostituisce l'healthcheck dell'immagine, che interroga nginx: qui non c'e'.
     healthcheck:
       test: ["CMD-SHELL", "pgrep -f 'queue:work' > /dev/null || exit 1"]
@@ -166,9 +171,11 @@ services:
       - ${REDIS_PASSWORD:?manca REDIS_PASSWORD nel .env}
       - --maxmemory
       - 256mb
-      # Qui vivono sessioni e cache: meglio sfrattare chiavi che esaurire memoria.
+      # Qui vivono sessioni, cache e la coda. volatile-lru sfratta solo le
+      # chiavi con scadenza (sessioni, cache): con allkeys-lru, a memoria
+      # piena, potevano sparire anche i job in coda, senza errori.
       - --maxmemory-policy
-      - allkeys-lru
+      - volatile-lru
     volumes:
       - redis_data:/data
     networks: