Servid Inventory — Analisi Tecnica dei Flussi

inventory/page.tsx

8 field mismatch tra frontend e API dashboard: positionPercent, valuePercent, workingDaysRemaining, stockValueTrend, problematicItems → oggetti annidati (positionProgress.percentage, workingDays.remaining, stockTrend, topProblematicItems). Progress ring sempre a 0%, grafici vuoti.

Fix: Allineati tutti i field access al tipo DashboardStats restituito da dashboard-stats.ts.

inventory/corrections/page.tsx

Colonna 'Quantità Contata' leggeva item.countedQty inesistente nel modello DiscrepancyCorrection.

Fix: item.countedQty → item.actualQty.

api/inventory/my-progress/route.ts

valuePercent hardcodato a 0 — stub non implementato. Barra progresso operatori mobile sempre a 0%.

Fix: Implementato calcolo reale: sum(unitPrice×expectedQty) per totale e contati nel fiscal year corrente.

api/inventory/corrections/route.ts + summary/route.ts

Scope overwrite: buildRoleScope() costruisce where.inventoryItem per RBAC, poi warehouseId sovrascriveva la stessa chiave azzerando il filtro di ruolo. Un BRAND_ADMIN poteva vedere correzioni di altri brand.

Fix: Merge invece di overwrite: { ...scopeWhere.inventoryItem, warehouseId } con casting Prisma typed.

api/inventory/corrections/batch/route.ts

PATCH batch eseguiva updateMany({ where: { id: { in: ids } } }) senza verificare che le correzioni appartengano al warehouse dell'utente. IDOR: un operatore poteva modificare correzioni di altri warehouse.

Fix: Aggiunto count pre-update con scopeWhere. Se accessibleCount < ids.length → 403.

api/inventory/alerts/[id]/dismiss/route.ts

findUnique({ where: { id } }) senza join al warehouse. Qualsiasi utente autenticato poteva dismissare alert di altri warehouse.

Fix: Sostituito con findFirst includendo warehouse.workshopId/brandId + inline role check.

api/inventory/reports/[id]/route.ts + excel/route.ts

findUnique non verificava ownership. Un utente poteva leggere o esportare in Excel report di warehouse non accessibili.

Fix: findFirst con buildRoleScope baked nel where — se il record non è accessibile ritorna 404.

api/inventory/sessions/[id]/route.ts (GET, PUT, DELETE)

Tutte le operazioni su sessione per ID usavano findUnique senza verifica warehouse. Possibile accesso cross-tenant.

Fix: Aggiunto checkSessionAccess() helper con include warehouse, controllo workshopId/brandId prima di ogni operazione.

api/inventory/fiscal-years/[id]/route.ts + tranches/[id]/*.ts

Stessa vulnerabilità IDOR su fiscal years, tranches (GET, PUT, start, complete, generate, mandatory-items).

Fix: Aggiunto checkWarehouseAccess() helper in ogni file; tutti i findUnique convertiti in findFirst con scope annidato nel where.

api/inventory/dashboard/route.ts

generateAlerts() era chiamato con await bloccando la risposta dashboard di 200-500ms anche quando non necessario.

Fix: Fire-and-forget: generateAlerts(warehouseId).catch(err => ...) — la dashboard risponde immediatamente.

lib/inventory/alert-engine.ts

N+1 query: per ogni alert generato si eseguiva findFirst + create separati (fino a 30+ query sequenziali per warehouse attivi).

Fix: Batch fetch di tutti gli alert esistenti (last 24h) in una query, costruzione Set di firme (type|itemId), createMany per tutti gli alert nuovi.

lib/inventory/dashboard-stats.ts

Sequenziale: count totale poi count contati poi findMany di tutti gli item per sommare unitPrice×expectedQty in JS (O(n) in memoria).

Fix: Promise.all con 2 count + $queryRaw PostgreSQL: SUM(COALESCE(unit_price,0)*expected_qty) con CASE WHEN per contati — una sola query SQL invece di N.

lib/inventory/rotation-calculator.ts

O(n×m) inner loop: per ogni item di tutti i warehouse veniva chiamato checkCounts.find() — scansione lineare dell'array ad ogni iterazione.

Fix: Map pre-costruita: new Map(checkCounts.map(c => [c.inventoryItemId, c])) → lookup O(1) per ogni item.

prisma/schema.prisma — InventoryCheckItem

La query più frequente (discrepancy trend, alert engine, rotation calculator) filtra su inventoryItemId + checkedAt ma non esisteva un indice composito.

Fix: Aggiunto @@index([inventoryItemId, checkedAt]) sul modello InventoryCheckItem.