Separazione: le aree riservate diventano un'app propria (apps/platforms)

Campus, Stress Index e Longevity escono dal sito e diventano
apps.insanitylab.it, con utenti, sessioni, login e database propri.
Deciso da Adriano il 03/09/2026: una repo sola, due applicazioni
autosufficienti, cosi' che ognuna resti estraibile.

Misura che ha guidato il taglio: le tre aree condividevano col sito
SOLO l'identita' - ~170 righe fra auth.ts, middleware.ts e safe-next.ts.
Layout, librerie e dati erano gia' disgiunti.

Lato piattaforme:
- ruoli piattaforme/cliente/trainer/admin, senza quelli redazionali
- canAccessPath con default CHIUSO (nel sito era aperto: li' le rotte non
  elencate erano di chiunque fosse loggato, qui ogni sezione e' di qualcuno)
- tutta l'app protetta, si elencano le eccezioni invece dei prefissi protetti
- /api risponde 401/403, non un redirect verso una pagina di login
- tre database distinti: utenti, dati clinici senza nomi, mappatura coi nomi

Lato sito:
- ROLES tornano i tre redazionali; via le regole e il login pubblico
- il login del pannello RESPINGE un account emigrato invece di aprirgli una
  sessione: senza, landingFor lo mandava su /admin, il middleware glielo
  negava, e si formava un ciclo di redirect che sembra un guasto del sito
- l'header non mostra piu' un menu delle piattaforme: un link che esce

Verificato: sito 20 file / 146 test, piattaforme 26 file / 197 test, entrambi
i build passano, e l'app girata davvero in locale - il ruolo piattaforme entra
in Campus e viene rimbalzato da Longevity, il cliente il contrario.

Non ancora in produzione: manca il record DNS di apps.insanitylab.it.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EndnceRA5WnA6rvA5iV9WL

apps/platforms/src/middleware.ts

@@ -0,0 +1,37 @@
+import { defineMiddleware } from 'astro:middleware';
+import { getDb } from './lib/db';
+import { getSessionUser, SESSION_COOKIE, canAccessPath, landingFor, isProtectedPath } from './lib/auth';
+
+/**
+ * Tutta l'applicazione è riservata: si entra dal /login di quest'app, con gli utenti di
+ * quest'app. ⚠️ Una sessione aperta sul sito (insanitylab.it) qui non vale — cookie diverso,
+ * dominio diverso, database diverso. È la separazione, non un difetto.
+ *
+ * ⚠️ Le rotte /api rispondono con uno stato, non con un redirect: mandare un 302 verso una
+ * pagina di login a chi ha chiesto del JSON produce un 200 con dentro dell'HTML, cioè un
+ * errore che il chiamante scopre provando a leggerlo.
+ */
+export const onRequest = defineMiddleware((context, next) => {
+  const { pathname } = context.url;
+  if (!isProtectedPath(pathname)) return next();
+
+  const json = (status: number, error: string) =>
+    new Response(JSON.stringify({ error }), { status, headers: { 'Content-Type': 'application/json' } });
+
+  const token = context.cookies.get(SESSION_COOKIE)?.value;
+  const user = token ? getSessionUser(getDb(), token) : null;
+  if (!user) {
+    if (pathname.startsWith('/api/')) return json(401, 'Non autorizzato');
+    return context.redirect(`/login?next=${encodeURIComponent(pathname)}`);
+  }
+
+  if (!canAccessPath(user.role, pathname)) {
+    if (pathname.startsWith('/api/')) return json(403, 'Permessi insufficienti');
+    // Loggato ma senza i permessi per QUESTA sezione: si torna a casa propria, non si
+    // mostra una porta chiusa a chi una casa ce l'ha.
+    return context.redirect(landingFor(user.role));
+  }
+
+  context.locals.user = user;
+  return next();
+});