# InsanityLab — aree riservate (`piattaforme.tielogic.xyz`) Applicazione Astro autosufficiente con le tre aree riservate: **Biohacking Campus**, **Stress Index** e **Longevity**. Nasce il 03/09/2026 separando dal sito (`apps/sito`, `insanitylab.it`) tutto ciò che sta dietro un login. ## Cosa la rende separata | | Sito | Quest'app | |---|---|---| | Host | `insanitylab.it` | `piattaforme.tielogic.xyz` (in futuro anche `apps.insanitylab.it`) | | Utenti | 3 redazionali (`admin`, `superuser`, `user`) | uno per ogni cliente del centro (`piattaforme`, `cliente`, `trainer`, `admin`) | | Database | `insanitylab.db` (contenuti, articoli, utenti del sito) | `piattaforme.db` + `longevity.db` + `identity.db` | | Login | `/admin/login`, solo redazione | `/login`, ed è l'unica porta | Non c'è SSO e non c'è cookie condiviso: **una sessione del sito qui non vale**, ed è la separazione, non un difetto. Le due `lib/auth.ts` sono parenti ma non sono la stessa cosa — ~170 righe duplicate una volta sola, libere di divergere come già divergono i ruoli. ## Sviluppo ```bash npm ci npm run dev # http://localhost:4321 npm test # 32 file, 261 test (26/09/2026) npm run create-user -- # ruoli: piattaforme, cliente, trainer, admin ``` I dati stanno in `data/` (gitignorata): `piattaforme.db`, `longevity.db`, `identity.db`. ## Longevity: cosa c'è | Chi | Dove | Cosa fa | |---|---|---| | `trainer`, `admin` | `/longevity/gestionale` | elenco clienti, nuovo cliente (apre il fascicolo su identity e longevity), scheda cliente con referto, sessioni e **misure da verificare** (conferma/scarta), nuovo check-up con i 24 test fisici `f_`, **crea accesso** al referto (password mostrata una volta) | | `cliente` | `/longevity/io`, `/longevity/progressione`, `/longevity/questionario` | il proprio referto (radar, macro-score, Fitness Age), l'andamento nel tempo, il questionario | `/longevity` smista: staff al gestionale, cliente al referto. Ogni pagina ha un'uscita: il referto porta «Piattaforme» e, allo staff, «← Gestionale». Il calcolo di una sessione usa, per ogni test, **la misura valida più recente del cliente fino alla data della sessione** (`misureValideAlla` in `lib/longevity/motore/index.ts`): check-up e questionario sono sessioni separate e si combinano. Una misura fuori dal range di plausibilità non conta finché il trainer non la conferma; confermarla ricalcola quella sessione e le successive. `FINESTRA_GIORNI = null`: oggi una misura non scade — la durata la decide Nicola. Fuori per ora: import Wellness Tower e dinamometro (#3), percentili interni (#4). Il consenso ai dati sanitari è firmato su carta prima dell'accesso (decisione di Adriano, 26/09, #6). ## Rilascio ⚠️⚠️ **Il DNS viene prima del container.** `apps.insanitylab.it` deve già risolvere verso l'IP della VPS quando si alza lo stack: avviarlo prima significa una catena di sfide TLS fallite, e Let's Encrypt limita proprio quelle. La zona è su **Aruba**, serve un record **A** `apps` → l'IP della macchina. ```bash mkdir -p /opt/docker/insanitylab-platforms/data # i dati stanno FUORI dal clone git docker compose up -d --build node scripts/migra-utenti.mjs # prova a vuoto node scripts/migra-utenti.mjs --applica # porta gli utenti dal DB del sito ``` **Aggiornare una versione già in linea** (checkout `/opt/docker/insanitylab-apps`, su `main`): ```bash D=/opt/docker/insanitylab-platforms/data; B=/opt/docker/insanitylab-platforms/backup/$(date -u +%Y%m%dT%H%M%SZ) mkdir -p $B && for f in longevity identity piattaforme; do sqlite3 $D/$f.db ".backup '$B/$f.db'"; done git pull --ff-only origin main cd apps/platforms && docker compose up -d --build ``` ⚠️ **I dati veri sono in `/opt/docker/insanitylab-platforms/data`** (il volume del compose), non in `apps/platforms/data` del checkout: quella è una copia vecchia che il container non legge. ⚠️ **Il database di Longevity si apre alla prima richiesta autenticata**, non all'avvio: le migrazioni (`migra()` in `lib/longevity/db.ts`, colonne aggiunte con `ALTER TABLE`) e il seed del registro partono solo allora. Per farle subito, dopo il deploy: `docker exec -w /app insanitylab-platforms node --input-type=module -e 'const m = await import("/app/dist/server/chunks/.mjs"); m.()'` (nome del chunk e dell'export con `grep -l registro_test -r dist/server/chunks`). ## Trappole già pagate ⚠️ **Le versioni si fissano esatte.** `^7.0.5` sulla nuova app aveva risolto ad **astro 7.3.0**, che con `@astrojs/node 11.1.5` non si parla (`"./_internal/logger" is not exported`) e il build muore. Astro, l'adapter node e l'integrazione react sono pinnati alle stesse versioni che girano in produzione sul sito. ⚠️ **`security.allowedDomains` in `astro.config.mjs` non è decorativo.** Dietro Traefik il TLS termina al proxy: senza quell'elenco Astro ignora `X-Forwarded-Proto`/`Host` e il controllo CSRF respinge **ogni** POST con 403 — cioè il login smette di funzionare e l'errore sembra «credenziali sbagliate». ⚠️ **`name: insanitylab-platforms` nel compose.** Senza, il progetto si chiamerebbe `platforms` (dal nome della cartella) e un `down --remove-orphans` dato altrove potrebbe toccare container che non sono suoi. ⚠️ **Il default di `canAccessPath` è chiuso**, al contrario del sito da cui viene: là le rotte non elencate (blog, upload) erano di chiunque fosse loggato, qui ogni sezione è di qualcuno. Una rotta nuova senza regola risulta **vietata**, e lo si scopre provandola. ⚠️ **Le API rispondono con uno stato, non con un redirect** (401/403 su `/api/*`): mandare un 302 verso il login a chi ha chiesto del JSON produce un 200 con dentro dell'HTML. ⚠️ **Due test vietano parole, non codice.** `tests/longevity/anagrafica.test.ts` fallisce se un file `.ts`/`.astro` contiene insieme «Identity» e «Longevity» (anche in un commento): solo `lib/longevity/anagrafica.ts` e `db.ts` possono aprire i due database insieme. `tests/longevity/referto.test.ts` intercetta «select» come SQL, anche l'HTML `