++ gruppi di servizio: sorvegliante con utenza limitata, pacchetto di territori, assegnazione ai membri

Il gruppo ha un sorvegliante (proclamatore con utenza: email e password
temporanea, senza conferma dell'email) e dei membri; l'amministratore
mette in blocco dei territori nel pacchetto del gruppo. Il pacchetto non
e' un'assegnazione e non tocca le statistiche; quando il sorvegliante da'
un territorio a un membro nasce un'assegnazione normale con
gruppo_servizio_id. Al rientro il territorio torna in reparto. Sciogliere
il gruppo libera pacchetto e membri e disattiva l'utenza.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Http/Middleware/LimitaSorvegliante.php

@@ -0,0 +1,68 @@
+<?php
+
+namespace App\Http\Middleware;
+
+use Closure;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Auth;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * Due regole per gli utenti autenticati.
+ *
+ * 1. Un'utenza disattivata (gruppo di servizio sciolto) non può più lavorare:
+ *    anche una sessione già aperta viene chiusa alla richiesta successiva.
+ *
+ * 2. Il sorvegliante di gruppo vede solo il proprio gruppo e il proprio
+ *    profilo. La Home lo porta a "Il mio gruppo"; ogni altra pagina è 403,
+ *    anche scrivendone l'indirizzo a mano. Le azioni Livewire passano: i
+ *    componenti che può aprire controllano da sé che territori e assegnazioni
+ *    siano del suo gruppo, e gli altri non può caricarli.
+ *
+ * Vale solo per chi ha il ruolo sorvegliante e nessun altro: un utente con
+ * anche un altro ruolo resta regolato dai permessi di quel ruolo.
+ */
+class LimitaSorvegliante
+{
+    private const ROTTE_AMMESSE = [
+        'mio-gruppo',
+        'mio-gruppo.*',
+        'assegnazioni.rientra',
+        'profile',
+        'password.change',
+        'password.change.store',
+        'logout',
+        'verification.*',
+        'livewire.*',
+    ];
+
+    public function handle(Request $request, Closure $next): Response
+    {
+        $user = $request->user();
+        if (! $user) {
+            return $next($request);
+        }
+
+        if ($user->isDisattivato()) {
+            Auth::guard('web')->logout();
+            $request->session()->invalidate();
+            $request->session()->regenerateToken();
+
+            return redirect()->route('login')->withErrors(['email' => 'Questa utenza è stata disattivata.']);
+        }
+
+        if (! $user->isSorvegliante() || $user->roles->count() > 1) {
+            return $next($request);
+        }
+
+        if ($request->routeIs(self::ROTTE_AMMESSE)) {
+            return $next($request);
+        }
+
+        if ($request->routeIs('dashboard')) {
+            return redirect()->route('mio-gruppo');
+        }
+
+        abort(403, 'Il sorvegliante di gruppo può usare solo la pagina del proprio gruppo.');
+    }
+}