S-13 sul modulo ufficiale e correzioni all'integrità dei dati

Modulo S-13
- Il PDF scrive sopra il modulo ufficiale (FPDI, matrice convertita in PDF 1.4)
  invece di ricostruirlo in HTML: 20 righe per foglio come l'originale.
- Una riga per ogni territorio attivo; riporto dell'ultimo rientro prima
  dell'anno; assegnazioni a cavallo d'anno su entrambi i fogli; scelta per
  data e non per anno registrato; nomi come "Cognome I.".
- Logica spostata in App\Services\Registro\ModuloS13.

Integrità dei dati
- Export/import XML (e quindi backup/ripristino): le date non slittano più di
  un giorno; i file vecchi in UTC tornano al giorno giusto.
- Import XML: rifiuta file estranei o incompleti senza toccare i dati, errore
  con riga e motivo, territori senza zona importati con il loro storico,
  caratteri di controllo rimossi in export, chi importa conserva password e
  ruolo di amministratore.
- Assegnazioni: assegnazioneCorrente corretta (filtro dentro ofMany), periodi
  sovrapposti rifiutati in Assegna e Registro sotto lock, anno di servizio
  ricavato dalla data, niente date future nel Registro.
- Utenti: non si declassa sé stessi né l'ultimo amministratore.
- Entrypoint: non sovrascrive più la copia persistente di APP_KEY con un
  valore diverso; serve APP_KEY_ROTATE=1 per un cambio voluto.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Livewire/Settings/UsersIndex.php

@@ -6,6 +6,7 @@ use App\Models\Assegnazione;
 use App\Models\User;
 use Illuminate\Support\Facades\DB;
 use Illuminate\Validation\Rule;
+use Livewire\Attributes\Locked;
 use Livewire\Component;
 use Spatie\Activitylog\Models\Activity;
 use Spatie\Permission\Models\Role;
@@ -17,6 +18,9 @@ class UsersIndex extends Component
     public string $password = '';
     public string $password_confirmation = '';
     public string $selectedRole = '';
+    // Locked: è la lista che le regole di validazione usano per accettare un
+    // ruolo; modificabile dal client, ammetterebbe qualsiasi nome.
+    #[Locked]
     public array $availableRoles = [];
 
     public ?int $editingUserId = null;
@@ -115,6 +119,23 @@ class UsersIndex extends Component
         $validated = $this->validate($this->editRules());
         $user = User::query()->findOrFail($this->editingUserId);
 
+        // Togliere il ruolo di amministratore a sé stessi, o all'ultimo
+        // rimasto, lascia l'installazione senza nessuno che possa gestire
+        // utenti, impostazioni e backup.
+        if ($user->hasRole('amministratore') && $validated['editSelectedRole'] !== 'amministratore') {
+            if ($user->id === auth()->id()) {
+                $this->addError('editSelectedRole', 'Non puoi togliere a te stesso il ruolo di amministratore: chiedilo a un altro amministratore.');
+
+                return;
+            }
+
+            if (User::role('amministratore')->count() <= 1) {
+                $this->addError('editSelectedRole', "È l'ultimo amministratore: assegna prima il ruolo a un altro utente.");
+
+                return;
+            }
+        }
+
         $user->name = $validated['editName'];
         $user->email = $validated['editEmail'];