Separazione: le aree riservate diventano un'app propria (apps/platforms)

Campus, Stress Index e Longevity escono dal sito e diventano
apps.insanitylab.it, con utenti, sessioni, login e database propri.
Deciso da Adriano il 03/09/2026: una repo sola, due applicazioni
autosufficienti, cosi' che ognuna resti estraibile.

Misura che ha guidato il taglio: le tre aree condividevano col sito
SOLO l'identita' - ~170 righe fra auth.ts, middleware.ts e safe-next.ts.
Layout, librerie e dati erano gia' disgiunti.

Lato piattaforme:
- ruoli piattaforme/cliente/trainer/admin, senza quelli redazionali
- canAccessPath con default CHIUSO (nel sito era aperto: li' le rotte non
  elencate erano di chiunque fosse loggato, qui ogni sezione e' di qualcuno)
- tutta l'app protetta, si elencano le eccezioni invece dei prefissi protetti
- /api risponde 401/403, non un redirect verso una pagina di login
- tre database distinti: utenti, dati clinici senza nomi, mappatura coi nomi

Lato sito:
- ROLES tornano i tre redazionali; via le regole e il login pubblico
- il login del pannello RESPINGE un account emigrato invece di aprirgli una
  sessione: senza, landingFor lo mandava su /admin, il middleware glielo
  negava, e si formava un ciclo di redirect che sembra un guasto del sito
- l'header non mostra piu' un menu delle piattaforme: un link che esce

Verificato: sito 20 file / 146 test, piattaforme 26 file / 197 test, entrambi
i build passano, e l'app girata davvero in locale - il ruolo piattaforme entra
in Campus e viene rimbalzato da Longevity, il cliente il contrario.

Non ancora in produzione: manca il record DNS di apps.insanitylab.it.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EndnceRA5WnA6rvA5iV9WL

apps/platforms/tests/auth.test.ts

@@ -0,0 +1,45 @@
+import { describe, it, expect, beforeEach } from 'vitest';
+import type Database from 'better-sqlite3';
+import { createDb } from '../src/lib/db';
+import { hashPassword, verifyPassword, createUser, login, getSessionUser, logout } from '../src/lib/auth';
+
+let db: Database.Database;
+beforeEach(() => { db = createDb(':memory:'); });
+
+describe('auth', () => {
+  it('hash e verifica password', () => {
+    const h = hashPassword('segreta123');
+    expect(h).not.toBe('segreta123');
+    expect(verifyPassword('segreta123', h)).toBe(true);
+    expect(verifyPassword('sbagliata', h)).toBe(false);
+  });
+
+  it('login corretto crea sessione recuperabile', () => {
+    createUser(db, 'adriano', 'segreta123');
+    const token = login(db, 'adriano', 'segreta123');
+    expect(token).toBeTruthy();
+    const user = getSessionUser(db, token!);
+    expect(user).toMatchObject({ username: 'adriano' });
+  });
+
+  it('login errato ritorna null', () => {
+    createUser(db, 'adriano', 'segreta123');
+    expect(login(db, 'adriano', 'sbagliata')).toBeNull();
+    expect(login(db, 'inesistente', 'x')).toBeNull();
+  });
+
+  it('sessione scaduta viene rifiutata ed eliminata', () => {
+    createUser(db, 'adriano', 'segreta123');
+    const token = login(db, 'adriano', 'segreta123')!;
+    db.prepare("UPDATE sessions SET expires_at = datetime('now', '-1 day')").run();
+    expect(getSessionUser(db, token)).toBeNull();
+    expect(db.prepare('SELECT COUNT(*) AS n FROM sessions').get()).toMatchObject({ n: 0 });
+  });
+
+  it('logout elimina la sessione', () => {
+    createUser(db, 'adriano', 'segreta123');
+    const token = login(db, 'adriano', 'segreta123')!;
+    logout(db, token);
+    expect(getSessionUser(db, token)).toBeNull();
+  });
+});