longevity: revisione finale — il motore ora si calcola, il consenso è atomico, il codice cliente è tipato fuori dal corpo

Sei correzioni dalla revisione finale del 22/08, ognuna con test scritto prima:

1. salvaDalForm calcolava mai i punteggi (calcolaSessione/salvaScore) dopo il
   salvataggio: un cliente compilava venti domande e vedeva un referto vuoto.
   Ora avviene nella stessa transazione del salvataggio.
2. Il corpo della richiesta dell'endpoint questionario è tipato
   (CorpoQuestionario): client_code non esiste in quel tipo, non è più
   prendibile per errore. Il vecchio test a lista di nomi vietati era vacuo
   (cercava body./corpo., il file usa data.) — sostituito con un test
   comportamentale end-to-end sull'endpoint vero.
3. Il consenso: aggiunto il test sul ramo affermativo (non coperto, vacuo
   quanto il punto 2); la nota di consenso ora è nella stessa transazione dei
   dati sanitari; ha una versione propria (CONSENT_VERSION) invece di quella
   del questionario.
4. La prima apertura del referto ora spiega invece di sembrare rotta: Fitness
   Age con nota quando manca, spiegazione del radar prima del grafico,
   copertura sempre visibile, invito a fare i test in sala col trainer,
   numeri formattati all'italiana.
5. Aggiunto il link per ricompilare il questionario nella pagina del referto
   (prima spariva appena esisteva una compilazione).
6. Il test anti-query ora scandisce tutte le pagine sotto src/pages/longevity/,
   non due nomi a mano. Il test anti-giunzione identity/longevity resta con lo
   stesso limite di sempre (createIdentityDb è esportata per creaCliente) —
   corretto solo il commento perché lo dichiari onestamente.

Report con comandi e output letterali:
.superpowers/sdd/2026-08-22-longevity-interfaccia/review-finale-report.md

tests/longevity/anagrafica.test.ts

@@ -105,6 +105,19 @@ describe('anagrafica pseudonimizzata', () => {
     // come compaiono in qualunque accessore camelCase) invece di un elenco chiuso di nomi:
     // un elenco di nomi vietati invecchia (è già successo qui: getIdentityDb/getLongevityDb
     // sono nati dopo la prima versione di questo test e sono passati indisturbati).
+    // ⚠️ VERIFICATO IL 22/08, UN TERZO BUCO, STAVOLTA IN UN FILE SOLO: `createIdentityDb`
+    // (a differenza del singleton privato getIdentityDb) È esportata da db.ts — serve a
+    // creaCliente, che riceve due connessioni già aperte da fuori. Un file che chiama
+    // `createIdentityDb()` direttamente e apre longevity con una connessione propria (es.
+    // `new Database(process.env.LONGEVITY_DB_PATH ?? 'data/longevity.db')`, mai col nome
+    // `getLongevityDb`/`createLongevityDb`) contiene "Identity" ma MAI "Longevity" con
+    // l'iniziale maiuscola — LONGEVITY_DB_PATH è tutto maiuscolo, 'longevity.db' tutto
+    // minuscolo — e questo test lo lascia passare. Provato con un file del genere in
+    // src/lib/longevity/: zero test rossi. Non è una falla da chiudere con un controllo
+    // più furbo (già tentato e aggirato due volte prima di questa): la garanzia resta solo
+    // quella architetturale sopra, e su `createIdentityDb` non c'è — è pensata per essere
+    // chiamata da fuori anagrafica.ts (creaCliente la riceve come parametro), quindi non si
+    // può chiuderla come si è chiusa getIdentityDb senza cambiare quella funzione.
     const srcDir = join(process.cwd(), 'src');
     const colpevoli: string[] = [];