++ fix campagna

HANDOFF.md

@@ -112,6 +112,17 @@ drift per i database esistenti: revoca `settings.manage` dal ruolo `assistente`
 se presente. È idempotente (no-op sul baseline) e volutamente irreversibile —
 il `down()` non ripristina il permesso.
 
+Stesso principio per le **campagne**: creazione e visualizzazione restano su
+`campagne.manage` (che ha anche l'assistente), ma **modifica ed eliminazione
+sono riservate all'amministratore** (`settings.manage`). Il gate è su tre
+livelli: la route `campagne/{campagna}/edit` è nel gruppo `settings.manage`;
+`CampagnaEdit::mount()`/`save()` e `CampagnaIndex::deleteCampagna()` chiamano
+`$this->authorize('settings.manage')` (l'index è raggiungibile da chi ha
+`campagne.manage`, quindi il delete va protetto nel metodo, non solo in route);
+i pulsanti Modifica/Elimina in `campagna-index`/`campagna-show` sono sotto
+`@can('settings.manage')`. Nota: `Campagna` non ha soft delete — l'eliminazione
+è definitiva.
+
 ### Export/Import XML: backup completo e round-trip
 
 `Livewire/Settings/XmlExchange` esporta e reimporta **tutti** i dati gestionali,

app/Livewire/Campagne/CampagnaEdit.php

@@ -14,6 +14,9 @@ class CampagnaEdit extends Component
 
     public function mount(Campagna $campagna)
     {
+        // Modifica campagne riservata all'amministratore.
+        $this->authorize('settings.manage');
+
         $this->campagna = $campagna;
         $this->descrizione = $campagna->descrizione;
         $this->start_date = $campagna->start_date->format('Y-m-d');
@@ -31,6 +34,10 @@ class CampagnaEdit extends Component
 
     public function save()
     {
+        // Re-check on the update request: route middleware guards the initial
+        // load, but the action can be replayed on a persisted component.
+        $this->authorize('settings.manage');
+
         $this->validate();
 
         $this->campagna->update([

app/Livewire/Campagne/CampagnaIndex.php

@@ -12,6 +12,11 @@ class CampagnaIndex extends Component
 
     public function deleteCampagna(int $id)
     {
+        // Eliminazione campagne riservata all'amministratore. La index è
+        // accessibile a chiunque abbia campagne.manage, quindi il gate deve
+        // stare qui, non solo sul middleware di route.
+        $this->authorize('settings.manage');
+
         $campagna = Campagna::findOrFail($id);
         $campagna->delete();
         session()->flash('success', "Campagna '{$campagna->descrizione}' eliminata.");

resources/views/livewire/campagne/campagna-index.blade.php

@@ -50,7 +50,7 @@
                                 <a href="{{ route('campagne.show', $campagna) }}" class="btn-action btn-action-indigo" title="Dettaglio">
                                     <svg class="h-3.5 w-3.5" fill="none" viewBox="0 0 24 24" stroke="currentColor"><path stroke-linecap="round" stroke-linejoin="round" stroke-width="2" d="M15 12a3 3 0 11-6 0 3 3 0 016 0z"/><path stroke-linecap="round" stroke-linejoin="round" stroke-width="2" d="M2.458 12C3.732 7.943 7.523 5 12 5c4.478 0 8.268 2.943 9.542 7-1.274 4.057-5.064 7-9.542 7-4.477 0-8.268-2.943-9.542-7z"/></svg>
                                 </a>
-                                @can('campagne.manage')
+                                @can('settings.manage')
                                 <a href="{{ route('campagne.edit', $campagna) }}" class="btn-action btn-action-gray" title="Modifica">
                                     <svg class="h-3.5 w-3.5" fill="none" viewBox="0 0 24 24" stroke="currentColor"><path stroke-linecap="round" stroke-linejoin="round" stroke-width="2" d="M11 5H6a2 2 0 00-2 2v11a2 2 0 002 2h11a2 2 0 002-2v-5m-1.414-9.414a2 2 0 112.828 2.828L11.828 15H9v-2.828l8.586-8.586z"/></svg>
                                 </a>

resources/views/livewire/campagne/campagna-show.blade.php

@@ -7,7 +7,7 @@
             </a>
             <h1 class="text-2xl font-bold text-gray-900">{{ $campagna->descrizione }}</h1>
         </div>
-        @can('campagne.manage')
+        @can('settings.manage')
         <a href="{{ route('campagne.edit', $campagna) }}" class="btn-action btn-action-indigo" style="padding:8px 16px;font-size:14px;border-radius:8px">
             <svg class="h-4 w-4" fill="none" viewBox="0 0 24 24" stroke="currentColor"><path stroke-linecap="round" stroke-linejoin="round" stroke-width="2" d="M11 5H6a2 2 0 00-2 2v11a2 2 0 002 2h11a2 2 0 002-2v-5m-1.414-9.414a2 2 0 112.828 2.828L11.828 15H9v-2.828l8.586-8.586z"/></svg>
             Modifica

routes/web.php

@@ -92,11 +92,15 @@ Route::middleware('auth')->group(function () {
         Route::get('assegnazioni/{assegnazione}/rientra', Rientra::class)->name('assegnazioni.rientra');
     });
 
-    // Campagne
+    // Campagne — creazione/visualizzazione per chi ha campagne.manage.
     Route::middleware('permission:campagne.manage')->group(function () {
         Route::get('campagne', CampagnaIndex::class)->name('campagne.index');
         Route::get('campagne/create', CampagnaCreate::class)->name('campagne.create');
         Route::get('campagne/{campagna}', CampagnaShow::class)->name('campagne.show');
+    });
+    // Modifica campagne: solo amministratore (settings.manage). L'eliminazione
+    // vive in CampagnaIndex::deleteCampagna(), protetta lì con lo stesso gate.
+    Route::middleware('permission:settings.manage')->group(function () {
         Route::get('campagne/{campagna}/edit', CampagnaEdit::class)->name('campagne.edit');
     });