# Task 8 Report: GitHub Action generate-pdf.yml

## File creato
`.github/workflows/generate-pdf.yml`

## Contenuto finale

```yaml
name: Genera PDF DVR
on:
  repository_dispatch:
    types: [generate-dvr-pdf]
  workflow_dispatch:
    inputs:
      agenzia_id:
        description: 'ID agenzia oppure "all"'
        required: true
        default: 'all'
jobs:
  generate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: '22'
          cache: 'npm'
          cache-dependency-path: app/package-lock.json
      - name: Install deps
        working-directory: app
        run: npm ci
      - name: Genera PDF
        working-directory: app
        env:
          DATABASE_URL: ${{ secrets.DATABASE_URL }}
          DATABASE_AUTH_TOKEN: ${{ secrets.DATABASE_AUTH_TOKEN }}
          R2_ACCOUNT_ID: ${{ secrets.R2_ACCOUNT_ID }}
          R2_ACCESS_KEY_ID: ${{ secrets.R2_ACCESS_KEY_ID }}
          R2_SECRET_ACCESS_KEY: ${{ secrets.R2_SECRET_ACCESS_KEY }}
          R2_BUCKET: ${{ secrets.R2_BUCKET }}
          # Route untrusted client_payload through env var to avoid command injection
          AGENZIA_ID: ${{ github.event.client_payload.agenzia_id || github.event.inputs.agenzia_id }}
        run: |
          # Validate: only digits or the literal string "all" are accepted
          if [[ ! "$AGENZIA_ID" =~ ^([0-9]+|all)$ ]]; then
            echo "Invalid agenzia_id: '$AGENZIA_ID'" >&2
            exit 1
          fi
          npx tsx scripts/pdf/generate.ts "$AGENZIA_ID"
```

## Scelta Node 22
Il brief originale indicava Node 20. Usato **Node 22 LTS** per togliere ogni ambiguità su `import.meta.dirname` (disponibile da Node ≥20.11, ma 22 è il LTS attuale e garantisce compatibilità piena con tsx).

## Sicurezza: fix command injection (due passaggi)

**Commit f4ea15b** — primo fix applicato proattivamente su segnalazione hook di sicurezza:
- `github.event.client_payload.agenzia_id` spostato nell'env var `AGENZIA_ID` (mai interpolato in `run:`)
- Validazione bash con `[[ =~ ^([0-9]+|all)$ ]]`

**Commit bd2348a** — hardening richiesto dal controller (security review [HIGH]):
- Validazione riscritta con `case` POSIX invece di `[[ =~ ]]` (più leggibile, stesso effetto)
- Ordine env var: `AGENZIA_ID` primo (pattern raccomandato: input non-secret prima dei secret)
- Invariante garantita: `${{ ... }}` non compare MAI dentro `run:` — solo nella sezione `env:`

Contenuto finale dello step "Genera PDF":
```yaml
        env:
          AGENZIA_ID: ${{ github.event.client_payload.agenzia_id || github.event.inputs.agenzia_id }}
          DATABASE_URL: ${{ secrets.DATABASE_URL }}
          ...
        run: |
          case "$AGENZIA_ID" in
            all|[0-9]*) ;;
            *) echo "agenzia_id non valido: $AGENZIA_ID"; exit 1 ;;
          esac
          npx tsx scripts/pdf/generate.ts "$AGENZIA_ID"
```

## Validazione YAML
Eseguita con `python3 -c "import yaml; yaml.safe_load(...)"` dopo entrambi i commit → **YAML valid**.

## Step 2 e Step 3: deferiti al controller
- **Step 2** (configurare i 6 secret del repo su GitHub): demandato al controller, che li imposterà via `gh secret set` con le credenziali da `infrastruttura_alleanza`.
- **Step 3** (run di test manuale del workflow con agenzia_id=467): demandato al controller, dopo push e secret impostati.

## Commit
- `f4ea15b` — `PDF: workflow GitHub Actions (Chromium) su repository_dispatch`
- `bd2348a` — `PDF: workflow — hardening injection agenzia_id (env var + validazione)`