Il repo resta al sito: app in radice, piattaforme nel loro repo

apps/sito passa in radice, apps/platforms si toglie: vive in
gitea:Adriano/InsanityLab-platforms, con la storia del repo comune. I piani e
le specifiche di Longevity e Campus lasciano docs/ e seguono le piattaforme.
README e compose: deploy da /opt/docker/insanitylab/src; al primo deploy .env
va spostato da apps/sito/.env alla radice.

Refs #20

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

tests/ruoli-dopo-separazione.test.ts

@@ -0,0 +1,48 @@
+// Cosa resta vero in questo sito dopo la separazione del 03/09/2026, quando Campus,
+// Stress Index e Longevity sono passati all'app delle aree riservate (repo InsanityLab-platforms) con i loro utenti.
+// Eredita le due asserzioni ancora valide di tests/longevity/ruoli.test.ts (emigrato) e
+// aggiunge la guardia sul ciclo di redirect, che è nata proprio da questa separazione.
+import { describe, it, expect } from 'vitest';
+import { readFileSync } from 'node:fs';
+import { join } from 'node:path';
+import { ROLES, isRole, landingFor, canAccessAdminPath } from '../src/lib/auth';
+
+describe('ROLES — restano solo i ruoli redazionali', () => {
+  it('i tre ruoli del sito, e nessuno di quelli emigrati', () => {
+    expect([...ROLES].sort()).toEqual(['admin', 'superuser', 'user']);
+    for (const emigrato of ['piattaforme', 'cliente', 'trainer']) expect(isRole(emigrato)).toBe(false);
+  });
+
+  it('isRole accetta esattamente i ruoli di ROLES', () => {
+    for (const r of ROLES) expect(isRole(r)).toBe(true);
+    for (const finto of ['campus', 'Admin', '', 'user ']) expect(isRole(finto)).toBe(false);
+  });
+
+  it('la tendina di admin/users.astro pesca da ROLES, non da una lista propria', () => {
+    const src = readFileSync(join(process.cwd(), 'src/pages/admin/users.astro'), 'utf8');
+    expect(src).toContain('ROLES');
+  });
+
+  it('le descrizioni dei ruoli in users/new.astro non nominano ruoli che non esistono più', () => {
+    const src = readFileSync(join(process.cwd(), 'src/pages/admin/users/new.astro'), 'utf8');
+    for (const emigrato of ['piattaforme', 'cliente', 'trainer']) expect(src).not.toContain(`${emigrato}:`);
+  });
+});
+
+describe('⚠️ il ciclo di redirect che la separazione ha reso possibile', () => {
+  it('un ruolo emigrato rimasto in `users` NON può accedere a /admin, ma è lì che atterrerebbe', () => {
+    // Questa coppia è il ciclo: landingFor lo manda su /admin, canAccessAdminPath glielo
+    // nega, il middleware lo rimanda su landingFor. È la ragione della guardia nel login.
+    expect(landingFor('piattaforme')).toBe('/admin');
+    expect(canAccessAdminPath('piattaforme', '/admin')).toBe(false);
+    expect(canAccessAdminPath('cliente', '/admin')).toBe(false);
+    expect(canAccessAdminPath('trainer', '/admin')).toBe(false);
+  });
+
+  it('il login del pannello rifiuta questi account invece di aprire una sessione', () => {
+    const src = readFileSync(join(process.cwd(), 'src/pages/admin/login.astro'), 'utf8');
+    expect(src).toContain('isRole');
+    expect(src).toContain('logout(getDb(), token)');
+    expect(src).toMatch(/apps\.insanitylab\.it/);
+  });
+});