feat: FASE 7 - Polish & Testing (security, i18n, test suite, docs)

Security hardening: CORS lockdown, rate limiting middleware con sliding
window e eviction IP stale, security headers (CSP, HSTS, X-Frame-Options),
session cookie hardening, filename sanitization upload.

i18n completion: internazionalizzati barcode.js e csv-export.js con bridge
window.BARCODE_I18N/CSV_I18N, aggiornati .po IT/EN con 27 nuove stringhe.

Tablet UX: touch target 44px per dispositivi coarse pointer.

Test suite: 101 test totali (76 server + 25 client), copertura completa
di tutti i router API, autenticazione, ruoli, CRUD, SPC, file upload,
security integration. Infrastruttura SQLite async in-memory con fixtures.

Fix critici: MissingGreenlet in recipe_service (selectinload eager),
route ordering tasks.py, auth_service bcrypt diretto, Measurement.id
Integer per SQLite.

Documentazione: API.md (riferimento completo 40+ endpoint),
DEPLOYMENT.md (guida produzione con Docker/Nginx/SSL),
USER_GUIDE.md (manuale utente per ruolo).

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

client/static/js/barcode.js

@@ -5,6 +5,8 @@
  */
 
 function barcodeScanner() {
+  const _t = (key) => (window.BARCODE_I18N && window.BARCODE_I18N[key]) || key;
+
   return {
     scanning: false,
     result: null,
@@ -19,7 +21,7 @@ function barcodeScanner() {
 
       // Check library availability
       if (!window.Html5Qrcode) {
-        this.error = 'Scanner library not loaded';
+        this.error = _t('scanner_lib_not_loaded');
         this.scanning = false;
         return;
       }
@@ -29,7 +31,7 @@ function barcodeScanner() {
         const devices = await Html5Qrcode.getCameras();
 
         if (!devices || devices.length === 0) {
-          this.error = 'Nessuna fotocamera disponibile';
+          this.error = _t('no_camera_available');
           this.scanning = false;
           return;
         }
@@ -72,7 +74,7 @@ function barcodeScanner() {
 
       } catch (err) {
         console.error('Scanner initialization error:', err);
-        this.error = 'Impossibile accedere alla fotocamera';
+        this.error = _t('camera_access_error');
         this.scanning = false;
       }
     },