++ gruppi di servizio: sorvegliante con utenza limitata, pacchetto di territori, assegnazione ai membri

Il gruppo ha un sorvegliante (proclamatore con utenza: email e password
temporanea, senza conferma dell'email) e dei membri; l'amministratore
mette in blocco dei territori nel pacchetto del gruppo. Il pacchetto non
e' un'assegnazione e non tocca le statistiche; quando il sorvegliante da'
un territorio a un membro nasce un'assegnazione normale con
gruppo_servizio_id. Al rientro il territorio torna in reparto. Sciogliere
il gruppo libera pacchetto e membri e disattiva l'utenza.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Http/Controllers/Auth/LoginController.php

@@ -40,10 +40,25 @@ class LoginController extends Controller
                 ->withInput($request->only('email', 'remember'));
         }
 
+        // Utenza disattivata (gruppo di servizio sciolto): la password è giusta
+        // ma non si entra.
+        if (Auth::user()->isDisattivato()) {
+            Auth::logout();
+
+            return back()
+                ->withErrors(['email' => 'Questa utenza è stata disattivata.'])
+                ->withInput($request->only('email', 'remember'));
+        }
+
         RateLimiter::clear($throttleKey);
         $request->session()->regenerate();
         activity()->causedBy(auth()->user())->log('login');
 
+        // Il sorvegliante di gruppo va dritto al suo gruppo.
+        if (Auth::user()->isSorvegliante() && Auth::user()->roles->count() === 1) {
+            return redirect()->route('mio-gruppo');
+        }
+
         return redirect()->intended(route('dashboard'));
     }
 }

app/Http/Controllers/TerritorioFileController.php

@@ -25,6 +25,18 @@ class TerritorioFileController extends Controller
         return $this->servi($territorio->pdf_path, 'application/pdf', 'territorio-' . $territorio->numero . '.pdf');
     }
 
+    /**
+     * Il PDF di un territorio del pacchetto, per il sorvegliante di gruppo:
+     * solo se il territorio è nel pacchetto del gruppo che sorveglia.
+     */
+    public function pdfGruppo(Territorio $territorio): Response
+    {
+        $gruppo = auth()->user()->gruppoSorvegliato();
+        abort_unless($gruppo && $territorio->gruppo_servizio_id === $gruppo->id, 403);
+
+        return $this->pdf($territorio);
+    }
+
     public function miniatura(Territorio $territorio): Response
     {
         return $this->servi($territorio->thumbnail_path, null, null);

app/Http/Middleware/LimitaSorvegliante.php

@@ -0,0 +1,68 @@
+<?php
+
+namespace App\Http\Middleware;
+
+use Closure;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Auth;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * Due regole per gli utenti autenticati.
+ *
+ * 1. Un'utenza disattivata (gruppo di servizio sciolto) non può più lavorare:
+ *    anche una sessione già aperta viene chiusa alla richiesta successiva.
+ *
+ * 2. Il sorvegliante di gruppo vede solo il proprio gruppo e il proprio
+ *    profilo. La Home lo porta a "Il mio gruppo"; ogni altra pagina è 403,
+ *    anche scrivendone l'indirizzo a mano. Le azioni Livewire passano: i
+ *    componenti che può aprire controllano da sé che territori e assegnazioni
+ *    siano del suo gruppo, e gli altri non può caricarli.
+ *
+ * Vale solo per chi ha il ruolo sorvegliante e nessun altro: un utente con
+ * anche un altro ruolo resta regolato dai permessi di quel ruolo.
+ */
+class LimitaSorvegliante
+{
+    private const ROTTE_AMMESSE = [
+        'mio-gruppo',
+        'mio-gruppo.*',
+        'assegnazioni.rientra',
+        'profile',
+        'password.change',
+        'password.change.store',
+        'logout',
+        'verification.*',
+        'livewire.*',
+    ];
+
+    public function handle(Request $request, Closure $next): Response
+    {
+        $user = $request->user();
+        if (! $user) {
+            return $next($request);
+        }
+
+        if ($user->isDisattivato()) {
+            Auth::guard('web')->logout();
+            $request->session()->invalidate();
+            $request->session()->regenerateToken();
+
+            return redirect()->route('login')->withErrors(['email' => 'Questa utenza è stata disattivata.']);
+        }
+
+        if (! $user->isSorvegliante() || $user->roles->count() > 1) {
+            return $next($request);
+        }
+
+        if ($request->routeIs(self::ROTTE_AMMESSE)) {
+            return $next($request);
+        }
+
+        if ($request->routeIs('dashboard')) {
+            return redirect()->route('mio-gruppo');
+        }
+
+        abort(403, 'Il sorvegliante di gruppo può usare solo la pagina del proprio gruppo.');
+    }
+}