longevity: revisione finale — il motore ora si calcola, il consenso è atomico, il codice cliente è tipato fuori dal corpo

Sei correzioni dalla revisione finale del 22/08, ognuna con test scritto prima:

1. salvaDalForm calcolava mai i punteggi (calcolaSessione/salvaScore) dopo il
   salvataggio: un cliente compilava venti domande e vedeva un referto vuoto.
   Ora avviene nella stessa transazione del salvataggio.
2. Il corpo della richiesta dell'endpoint questionario è tipato
   (CorpoQuestionario): client_code non esiste in quel tipo, non è più
   prendibile per errore. Il vecchio test a lista di nomi vietati era vacuo
   (cercava body./corpo., il file usa data.) — sostituito con un test
   comportamentale end-to-end sull'endpoint vero.
3. Il consenso: aggiunto il test sul ramo affermativo (non coperto, vacuo
   quanto il punto 2); la nota di consenso ora è nella stessa transazione dei
   dati sanitari; ha una versione propria (CONSENT_VERSION) invece di quella
   del questionario.
4. La prima apertura del referto ora spiega invece di sembrare rotta: Fitness
   Age con nota quando manca, spiegazione del radar prima del grafico,
   copertura sempre visibile, invito a fare i test in sala col trainer,
   numeri formattati all'italiana.
5. Aggiunto il link per ricompilare il questionario nella pagina del referto
   (prima spariva appena esisteva una compilazione).
6. Il test anti-query ora scandisce tutte le pagine sotto src/pages/longevity/,
   non due nomi a mano. Il test anti-giunzione identity/longevity resta con lo
   stesso limite di sempre (createIdentityDb è esportata per creaCliente) —
   corretto solo il commento perché lo dichiari onestamente.

Report con comandi e output letterali:
.superpowers/sdd/2026-08-22-longevity-interfaccia/review-finale-report.md

src/pages/api/longevity/questionario.ts

@@ -9,29 +9,38 @@ export const prerender = false;
 const json = (status: number, body: object) =>
   new Response(JSON.stringify(body), { status, headers: { 'Content-Type': 'application/json' } });
 
-export const POST: APIRoute = async ({ request, locals }) => {
-  // Il codice cliente si ricava SEMPRE dalla sessione dell'utente loggato (spec §8), mai dal
-  // corpo della richiesta: qui infatti il corpo non viene mai letto per questo campo. La
-  // risoluzione passa da anagrafica.ts (l'unico modulo autorizzato a toccare quella
-  // connessione): questo file apre solo longevity, per salvare.
-  const codice = codicePerUtenteLoggato(locals.user!.id);
-  if (!codice) return json(403, { error: 'Nessun fascicolo cliente associato a questo utente.' });
+/**
+ * Il corpo legittimo della richiesta: SOLO i campi che un cliente può davvero mandare.
+ * `client_code` non è un campo di questo tipo — non per una lista di nomi vietati (una
+ * lista così invecchia appena il file rinomina la variabile, vedi il commento nel test),
+ * ma perché il tipo non lo prevede: chi scrivesse domani `corpo.client_code` non
+ * supererebbe `tsc --noEmit`, il campo non esiste. Il codice cliente resta SEMPRE quello
+ * della sessione (codicePerUtenteLoggato, spec §8), mai un campo letto da qui.
+ */
+type CorpoQuestionario = {
+  risposte: Record<string, number>;
+  liberi: Record<string, string>;
+  consensoSanitario: string;
+  eta?: number;
+};
 
-  let data: Record<string, unknown>;
-  try { data = await request.json(); } catch { return json(400, { error: 'Dati non validi.' }); }
-  if (typeof data !== 'object' || data === null) return json(400, { error: 'Dati non validi.' });
+/** Estrae SOLO i campi di CorpoQuestionario da un JSON grezzo; `null` se il corpo non è
+ * nemmeno un oggetto, o se manca `risposte`. Ogni altra chiave del corpo (incluso un
+ * eventuale `client_code`) viene semplicemente ignorata: non esiste modo di farla arrivare
+ * al chiamante, perché il tipo di ritorno non la contiene. */
+function corpoDaJson(raw: unknown): CorpoQuestionario | null {
+  if (typeof raw !== 'object' || raw === null) return null;
+  const grezzo = raw as Record<string, unknown>;
 
-  const risposteIn = data.risposte;
-  if (typeof risposteIn !== 'object' || risposteIn === null) {
-    return json(400, { error: 'Risposte mancanti.' });
-  }
+  const risposteIn = grezzo.risposte;
+  if (typeof risposteIn !== 'object' || risposteIn === null) return null;
   const risposte: Record<string, number> = {};
   for (const [id, v] of Object.entries(risposteIn as Record<string, unknown>)) {
     if (typeof v === 'number' && Number.isFinite(v)) risposte[id] = v;
   }
 
   // Solo i campi liberi dichiarati: un corpo con chiavi arbitrarie non ne inventa di nuove.
-  const liberiIn = data.liberi;
+  const liberiIn = grezzo.liberi;
   const liberi: Record<string, string> = {};
   if (typeof liberiIn === 'object' && liberiIn !== null) {
     for (const campo of CAMPI_LIBERI) {
@@ -40,8 +49,27 @@ export const POST: APIRoute = async ({ request, locals }) => {
     }
   }
 
-  const consensoSanitario = typeof data.consensoSanitario === 'string' ? data.consensoSanitario : '';
-  const eta = typeof data.eta === 'number' && Number.isFinite(data.eta) ? data.eta : undefined;
+  const consensoSanitario = typeof grezzo.consensoSanitario === 'string' ? grezzo.consensoSanitario : '';
+  const eta = typeof grezzo.eta === 'number' && Number.isFinite(grezzo.eta) ? grezzo.eta : undefined;
+
+  return { risposte, liberi, consensoSanitario, eta };
+}
+
+export const POST: APIRoute = async ({ request, locals }) => {
+  // Il codice cliente si ricava SEMPRE dalla sessione dell'utente loggato (spec §8), mai dal
+  // corpo della richiesta: la risoluzione passa da anagrafica.ts (l'unico modulo autorizzato
+  // a toccare quella connessione). `corpo`, qui sotto, non ha nemmeno un campo da cui
+  // prenderlo per errore.
+  const codice = codicePerUtenteLoggato(locals.user!.id);
+  if (!codice) return json(403, { error: 'Nessun fascicolo cliente associato a questo utente.' });
+
+  let raw: unknown;
+  try { raw = await request.json(); } catch { return json(400, { error: 'Dati non validi.' }); }
+  if (typeof raw !== 'object' || raw === null) return json(400, { error: 'Dati non validi.' });
+
+  const corpo = corpoDaJson(raw);
+  if (!corpo) return json(400, { error: 'Risposte mancanti.' });
+  const { risposte, liberi, consensoSanitario, eta } = corpo;
 
   // La data della compilazione è quella del server, non quella (manomettibile) del client.
   const oggi = new Date().toISOString().slice(0, 10);

src/pages/longevity/io.astro

@@ -9,6 +9,7 @@ import MacroScore from '../../components/longevity/MacroScore.astro';
 import { getLongevityDb } from '../../lib/longevity/db';
 import { codicePerUtenteLoggato } from '../../lib/longevity/anagrafica';
 import { refertoDi, ultimaSessioneDi } from '../../lib/longevity/vista';
+import { formattaNumero } from '../../lib/longevity/formato';
 
 export const prerender = false;
 
@@ -34,12 +35,18 @@ const referto = sessioneId !== null ? refertoDi(db, sessioneId) : null;
 
   {referto && (
     <div class="lg-referto">
-      <section class="lg-card">
+      <section class:list={['lg-card', { 'lg-card--incompleto': referto.fitnessAge === null }]}>
         <p class="lg-score__label">Fitness Age</p>
         <div class="lg-score">
-          <span class="lg-score__value lg-num">{referto.fitnessAge ?? '—'}</span>
+          <span class="lg-score__value lg-num">
+            {referto.fitnessAge !== null ? formattaNumero(referto.fitnessAge) : '—'}
+          </span>
           {referto.fitnessAge !== null && <span class="lg-score__max">anni</span>}
         </div>
+        <p class="lg-muted lg-macro__nota">
+          Copertura dati: {Math.round(referto.fitnessAgeCopertura * 100)}%
+          {referto.fitnessAge === null && ' — non ancora sufficiente per un numero.'}
+        </p>
       </section>
 
       <section class="lg-card">
@@ -52,6 +59,14 @@ const referto = sessioneId !== null ? refertoDi(db, sessioneId) : null;
           <MacroScore nome={m.nome} valore={m.valore} copertura={m.copertura} />
         ))}
       </section>
+
+      <section class="lg-card">
+        <p>
+          InsanityLab Longevity monitora il tuo percorso nel tempo: più compilazioni
+          raccontano come cambi, non solo come stai oggi.
+          <a href="/longevity/questionario">Compila di nuovo il questionario</a>.
+        </p>
+      </section>
     </div>
   )}
 </Longevity>