Add LibraryThing plugin support and improve CSV import/export

[fabiodalez-dev]

Summary

This PR adds comprehensive LibraryThing plugin support to the application, significantly enhancing CSV import/export capabilities with multi-format and multi-delimiter support, plus 25 new LibraryThing-specific book fields.

Key Changes

LibraryThing Plugin Infrastructure

• New Plugin Installer (LibraryThingInstaller.php): Handles installation/uninstallation of LibraryThing fields with database schema management

  • Adds 25 unique LibraryThing fields (reviews, ratings, reading dates, lending tracking, catalog IDs, etc.)
  • Includes proper indexes and constraints for performance and data integrity
  • Provides status checking and field management utilities

• New LibraryThing Controller: Manages plugin-specific functionality and API endpoints

CSV Import Enhancements

• Multi-delimiter Support: Now supports semicolon (;), comma (,), and tab (\t) delimiters with automatic detection

• Intelligent Header Mapping: New mapColumnHeaders() method that:

  • Supports multiple languages (Italian, English, French, German, Spanish)
  • Handles common column name variations (e.g., "ISBN", "isbn13", "isbn_13", "ISBN-13")
  • Maps to canonical field names for consistent processing

• LibraryThing Format Detection: Automatically detects and parses LibraryThing CSV exports

  • Merges Primary/Secondary Author fields
  • Parses Publication field for publisher and year extraction
  • Handles ISBN parsing from bracketed format
  • Maps Media types and Languages to application standards

CSV Export Enhancements

• Multiple Export Formats:

  • Standard format (existing fields)
  • LibraryThing format (compatible with LibraryThing import)

• Flexible Delimiter Options: Users can choose ;, ,, or \t as delimiter

• Smart Field Quoting: Only quotes fields containing the selected delimiter, newlines, or quotes

Book Management Updates

• Added LibraryThing field support to book creation and editing forms
• Implemented field visibility preferences (JSON-based) for frontend customization
• Extended store() and update() methods to handle 25 new LibraryThing fields
• Added plugin detection checks before exposing LibraryThing features

Implementation Details

• Database Schema: Uses proper column types (TEXT for reviews, TINYINT for ratings, DATE for tracking, etc.)
• Backward Compatibility: All changes are additive; existing functionality remains unchanged
• Performance: Added strategic indexes on frequently queried fields (rating, dates, IDs)
• Data Validation: Rating field includes CHECK constraint (1-5 or NULL)
• Internationalization: All new UI strings use __() translation function
• Error Handling: Comprehensive try-catch blocks with transaction rollback on failure

Testing Recommendations

• Test CSV import with various delimiters and header variations
• Verify LibraryThing format detection and parsing
• Test plugin installation/uninstallation with data preservation
• Validate CSV export in both standard and LibraryThing formats
• Check field visibility preferences are properly saved and retrieved

https://claude.ai/code/session_01XdiVE4JpU8DFXr3eeLwFuB

Summary by CodeRabbit

Release Notes

• New Features

  • Integrazione LibraryThing: importa ed esporta libri in formato TSV con mappatura completa dei metadati
  • Supporto per delimitatori multipli (virgola, punto e virgola, tabulazione) nell'importazione CSV
  • Interfaccia di gestione plugin con installazione/disinstallazione di LibraryThing
  • Dropdown dedicati per importazione/esportazione nel formato CSV e LibraryThing
  • Campi LibraryThing estesi nelle schede libro e nei moduli di inserimento

• Bug Fixes

  • Miglioramento nella gestione degli errori di importazione

• Chores

  • Aggiunto PHPStan per analisi statica del codice

[coderabbitai]

Actionable comments posted: 1

🤖 Fix all issues with AI agents

In `@app/Views/libri/partials/book_form.php`:
- Around line 3916-3996: Rimuovi tutti i console.log/console.error presenti
nell'implementazione di initBookTinyMCE e nelle callback/promise di tinymce.init
(inclusi i log dentro init_instance_callback, setup, then/catch e nel setTimeout
di controllo manuale), oppure sostituiscili con chiamate condizionali che usano
un flag globale controllabile (es. window.DEBUG_MODE) così che i messaggi
vengano stampati solo se il flag è true; assicurati di mantenere eventuali log
critici d'errore visibili solo quando DEBUG_MODE è attivo o di inviarli a un
logger centralizzato, e non modificare la logica di retry che usa
tinyMceInitAttempts e TINYMCE_MAX_RETRIES né il comportamento di tinymce.init.

🧹 Nitpick comments (1)

app/Views/libri/partials/book_form.php (1)

811-814: Escapare $groupName per consistenza e sicurezza.

Anche se $fieldGroups è definito staticamente nel codice PHP, è buona pratica escapare sempre l'output per prevenire XSS e mantenere consistenza con il resto del file.

♻️ Proposta di fix

 <?php foreach ($fieldGroups as $groupName => $fields): ?>
   <div class="border border-gray-200 rounded-lg p-3 bg-gray-50">
-    <h4 class="text-sm font-semibold text-gray-700 mb-2"><?= $groupName ?></h4>
+    <h4 class="text-sm font-semibold text-gray-700 mb-2"><?= HtmlHelper::e($groupName) ?></h4>

[sonarqubecloud]

Quality Gate failed

Failed conditions
21.0% Duplication on New Code (required ≤ 3%)
B Reliability Rating on New Code (required ≥ A)
C Security Rating on New Code (required ≥ A)

See analysis details on SonarQube Cloud

Catch issues before they fail your Quality Gate with our IDE extension SonarQube for IDE

[coderabbitai]

Actionable comments posted: 2

🤖 Fix all issues with AI agents

In `@installer/database/migrations/migrate_0.4.7.sql`:
- Around line 230-234: The migration uses JSON for the
libri.lt_fields_visibility column which breaks on MariaDB 10.0/10.1; update the
migration so it either raises the minimum MariaDB requirement to 10.2.7+ or
implements a version-aware fallback that creates the column as JSON when the
server version >= 10.2.7 and as LONGTEXT (or TEXT) otherwise. Modify the
dynamic-SQL block that builds `@sql` (the PREPARE/EXECUTE sequence around `@sql` and
stmt) to detect the server version (via VERSION() or @@version) and choose the
appropriate column type string for ALTER TABLE `libri` ADD COLUMN
`lt_fields_visibility` ... so the migration succeeds on older MariaDB servers.
Ensure the column comment and NULLability remain the same for both types.

In `@installer/database/migrations/README.md`:
- Around line 18-20: Il blocco di codice fenced che mostra `migrate_X.Y.Z.sql`
non specifica il linguaggio (usa solo ```), causando l'avviso MD040; modifica il
blocco per specificare la lingua (ad es. `text` o `plaintext`) subito dopo i
backtick in modo che la riga contenente `migrate_X.Y.Z.sql` sia racchiusa in
```text (o ```plaintext) ... ``` e risolva il warning di markdownlint.

[coderabbitai]

Actionable comments posted: 2

🤖 Fix all issues with AI agents

In `@public/.htaccess`:
- Line 32: The Content-Security-Policy header in the Header always set
Content-Security-Policy line currently includes 'unsafe-eval' in script-src;
remove 'unsafe-eval' from the script-src directive while leaving 'unsafe-inline'
intact (since the codebase relies on inline scripts) by updating that Header
line in public/.htaccess accordingly; keep the existing data:/blob:/about:
allowances in frame-src/child-src as-is and consider a future refactor to use
nonces or hashes for inline scripts to eliminate the need for 'unsafe-inline'.

In `@public/index.php`:
- Around line 346-351: Update the misleading comment and tighten the $csp
string: change the comment above the $csp declaration (currently "Tutti gli
asset (font inclusi) sono self-hosted: nessuna dipendenza esterna") to reflect
that external CDNs are used, and remove the insecure http:// entries from the
CSP (specifically drop http://fonts.googleapis.com and http://fonts.gstatic.com
from the "style-src" and "font-src" directives); leave or consolidate the
allowed HTTPS CDN hosts (e.g. https://cdnjs.cloudflare.com,
https://fonts.googleapis.com, https://fonts.gstatic.com) in the $csp string so
only secure (HTTPS) sources are permitted.

[coderabbitai]

Actionable comments posted: 3

🤖 Fix all issues with AI agents

In `@app/Controllers/LibraryThingImportController.php`:
- Around line 133-169: The upload currently accepts ['tsv','csv','txt'] but the
parsing always uses a tab delimiter (fgetcsv(..., "\t", ...)), so CSV/TXT files
will fail; either (A) restrict allowed extensions to only 'tsv' by updating the
extension check and error message where $extension is validated, or (B) detect
the delimiter after opening the file (read the first non-BOM line, inspect for
"\t" vs "," vs ";"), store that delimiter in a variable and pass it into the
subsequent fgetcsv calls and any chunk parsing logic (where fopen, $headers =
fgetcsv(..., "\t", ...), and isLibraryThingFormat($headers) are used) so parsing
matches the uploaded file. Ensure the chosen change updates the error response
text and any downstream parsing that relies on a hardcoded "\t".

In `@app/Views/frontend/book-detail.php`:
- Around line 1711-1744: The view currently treats a NULL lt_fields_visibility
as an empty array, hiding all LT fields; fix by falling back to the default
visibility set so fields with data are shown. Either (A) add
lt_fields_visibility JSON to LIBRARYTHING_FIELDS_DEFAULTS (the constant used
when creating new books) so new records default to all-visible, or (B) change
the view logic in book-detail.php where $ltVisibility is computed to detect
NULL/empty and instead populate $ltVisibility from
\App\Support\LibraryThingInstaller::getLibraryThingFields() (or a dedicated
visibility-default map) so the foreach over $ltVisibility will include all
fields by default; keep the existing privateFields checks and existing label
lookup via getLibraryThingFields().

In `@installer/database/migrations/migrate_0.4.7.sql`:
- Around line 234-241: La condizione che imposta `@is_old_mariadb` è troppo grezza
e marca come "vecchio" MySQL 5.x (incluso 5.7.8+) e non esclude MariaDB 10.2.7+;
aggiorna la logica che popolates `@is_old_mariadb` (usata per determinare
`@col_type` e la costruzione di `@sql` per la tabella `libri` / colonna
`lt_fields_visibility`) per considerare "vecchie" solo MySQL < 5.7.8 e MariaDB
10.0/10.1 e 10.2.0–10.2.6: modifica il controllo versione (la regex/condizione
su @@version) per riconoscere MySQL 5.7.0–5.7.7 come legacy e lasciar fuori
5.7.8+; analogamente estendi il pattern MariaDB per escludere 10.2.7+; dopo la
modifica `@col_type` dovrà rimanere 'LONGTEXT' solo per quelle versioni rilevate
come vecchie e 'JSON' altrimenti.

🧹 Nitpick comments (1)

app/Views/frontend/book-detail.php (1)

1753-1823: Riduci la duplicazione della logica di rendering dei campi LT.
Lo stesso blocco di formattazione è duplicato per entrambe le colonne; rischia divergenze future e rende la manutenzione più costosa. Consiglio di estrarre un renderer unico (closure o partial) e riutilizzarlo.

♻️ Proposta di refactor

@@
-                        <div class="details-column">
+                        <?php
+                        $renderLtValue = function(string $fieldName, array $field): string {
+                            if ($fieldName === 'rating') {
+                                $rating = max(0, min(5, (int)$field['value']));
+                                $stars = '';
+                                for ($i = 1; $i <= 5; $i++) {
+                                    $stars .= $i <= $rating
+                                        ? '<i class="fas fa-star text-warning"></i>'
+                                        : '<i class="far fa-star text-muted"></i>';
+                                }
+                                return $stars;
+                            }
+                            if (in_array($fieldName, ['date_started', 'date_read', 'lending_start', 'lending_end'], true)) {
+                                $timestamp = strtotime($field['value']);
+                                return ($timestamp && $timestamp > 0)
+                                    ? htmlspecialchars(date('d/m/Y', $timestamp), ENT_QUOTES, 'UTF-8')
+                                    : '-';
+                            }
+                            if ($fieldName === 'value') {
+                                return '€ ' . number_format((float)$field['value'], 2);
+                            }
+                            if (in_array($fieldName, ['review', 'comment'], true)) {
+                                return \App\Support\HtmlHelper::sanitizeHtml(nl2br($field['value'], false));
+                            }
+                            return htmlspecialchars((string)$field['value'], ENT_QUOTES, 'UTF-8');
+                        };
+                        ?>
+                        <div class="details-column">
                             <?php foreach ($column1 as $fieldName => $field): ?>
                             <div class="meta-item">
                                 <div class="meta-label"><?= htmlspecialchars($field['label']) ?></div>
                                 <div class="meta-value">
-                                    <?php if (in_array($fieldName, ['rating'])): ?>
-                                        <?php
-                                        $rating = (int)$field['value'];
-                                        for ($i = 1; $i <= 5; $i++):
-                                            if ($i <= $rating):
-                                                echo '<i class="fas fa-star text-warning"></i>';
-                                            else:
-                                                echo '<i class="far fa-star text-muted"></i>';
-                                            endif;
-                                        endfor;
-                                        ?>
-                                    <?php elseif (in_array($fieldName, ['date_started', 'date_read', 'lending_start', 'lending_end'])): ?>
-                                        <?php
-                                        $timestamp = strtotime($field['value']);
-                                        echo ($timestamp && $timestamp > 0)
-                                            ? htmlspecialchars(date('d/m/Y', $timestamp))
-                                            : '-';
-                                        ?>
-                                    <?php elseif (in_array($fieldName, ['value'])): ?>
-                                        € <?= number_format((float)$field['value'], 2) ?>
-                                    <?php elseif (in_array($fieldName, ['review', 'comment'])): ?>
-                                        <div class="prose prose-sm"><?= \App\Support\HtmlHelper::sanitizeHtml(nl2br($field['value'], false)) ?></div>
-                                    <?php else: ?>
-                                        <?= htmlspecialchars($field['value']) ?>
-                                    <?php endif; ?>
+                                    <?= $renderLtValue($fieldName, $field) ?>
                                 </div>
                             </div>
                             <?php endforeach; ?>
                         </div>
@@
                         <div class="details-column">
                             <?php foreach ($column2 as $fieldName => $field): ?>
                             <div class="meta-item">
                                 <div class="meta-label"><?= htmlspecialchars($field['label']) ?></div>
                                 <div class="meta-value">
-                                    <?php if (in_array($fieldName, ['rating'])): ?>
-                                        <?php
-                                        $rating = (int)$field['value'];
-                                        for ($i = 1; $i <= 5; $i++):
-                                            if ($i <= $rating):
-                                                echo '<i class="fas fa-star text-warning"></i>';
-                                            else:
-                                                echo '<i class="far fa-star text-muted"></i>';
-                                            endif;
-                                        endfor;
-                                        ?>
-                                    <?php elseif (in_array($fieldName, ['date_started', 'date_read', 'lending_start', 'lending_end'])): ?>
-                                        <?php
-                                        $timestamp = strtotime($field['value']);
-                                        echo ($timestamp && $timestamp > 0)
-                                            ? htmlspecialchars(date('d/m/Y', $timestamp))
-                                            : '-';
-                                        ?>
-                                    <?php elseif (in_array($fieldName, ['value'])): ?>
-                                        € <?= number_format((float)$field['value'], 2) ?>
-                                    <?php elseif (in_array($fieldName, ['review', 'comment'])): ?>
-                                        <div class="prose prose-sm"><?= \App\Support\HtmlHelper::sanitizeHtml(nl2br($field['value'], false)) ?></div>
-                                    <?php else: ?>
-                                        <?= htmlspecialchars($field['value']) ?>
-                                    <?php endif; ?>
+                                    <?= $renderLtValue($fieldName, $field) ?>
                                 </div>
                             </div>
                             <?php endforeach; ?>
                         </div>

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Estensioni accettate non allineate al parsing TSV.

Accetti .csv e .txt, ma leggi sempre con delimitatore \t, quindi un CSV “vero” fallirà con errore formato. O restringi alle sole TSV, oppure salva un delimitatore rilevato e riusalo nel chunk.

🔧 Fix minimale (restringere a .tsv)

-        if (!in_array($extension, ['tsv', 'csv', 'txt'], true)) {
+        if (!in_array($extension, ['tsv'], true)) {
             $response->getBody()->write(json_encode([
                 'success' => false,
-                'error' => __('Il file deve avere estensione .tsv, .csv o .txt')
+                'error' => __('Il file deve avere estensione .tsv')
             ], JSON_THROW_ON_ERROR));
             return $response->withHeader('Content-Type', 'application/json')->withStatus(400);
         }

🤖 Prompt for AI Agents

In `@app/Controllers/LibraryThingImportController.php` around lines 133 - 169, The
upload currently accepts ['tsv','csv','txt'] but the parsing always uses a tab
delimiter (fgetcsv(..., "\t", ...)), so CSV/TXT files will fail; either (A)
restrict allowed extensions to only 'tsv' by updating the extension check and
error message where $extension is validated, or (B) detect the delimiter after
opening the file (read the first non-BOM line, inspect for "\t" vs "," vs ";"),
store that delimiter in a variable and pass it into the subsequent fgetcsv calls
and any chunk parsing logic (where fopen, $headers = fgetcsv(..., "\t", ...),
and isLibraryThingFormat($headers) are used) so parsing matches the uploaded
file. Ensure the chosen change updates the error response text and any
downstream parsing that relies on a hardcoded "\t".

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

🧩 Analysis chain

🏁 Script executed:

cd installer/database/migrations && cat -n migrate_0.4.7.sql | sed -n '230,250p'

Repository: fabiodalez-dev/Pinakes

Length of output: 1201

---

🌐 Web query:

MySQL JSON data type support version history

💡 Result:

• Before MySQL 5.7.8: No native JSON data type (JSON typically stored as TEXT/VARCHAR).
• MySQL 5.7.8 (Aug 2015): Introduced the native JSON data type (stored in an internal binary format with automatic validation) and the initial set of server-side JSON functions. [1]
• MySQL 5.7.22 (Apr 19, 2018): Added JSON aggregation functions JSON_ARRAYAGG() and JSON_OBJECTAGG() (and other JSON-related additions such as JSON_PRETTY() mentioned in the same release notes). [2]
• MySQL 8.0.4 (Jan 23, 2018): Added JSON_TABLE() (SQL/JSON table function to map JSON to relational rows/columns). [3]
• MySQL 8.0 (general): Expanded JSON capabilities further; for example, MySQL 8.0 supports expressions as default values for JSON columns (which was not allowed previously). [4]

Sources:
[1] MySQL 5.7 Reference Manual – “As of MySQL 5.7.8, MySQL supports a native JSON data type” https://dev.mysql.com/doc/refman/5.7/en/json.html
[2] MySQL 5.7 Release Notes (5.7.22) – JSON_ARRAYAGG/JSON_OBJECTAGG (and other JSON additions) https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-22.html
[3] MySQL 8.0 Release Notes (8.0.4) – Added JSON_TABLE() https://dev.mysql.com/doc/relnotes/mysql/8.0/en/news-8-0-4.html
[4] MySQL 8.0 Reference Manual (“What Is New in MySQL 8.0”) – JSON_TABLE in 8.0.4; default expressions for JSON supported in 8.0 https://dev.mysql.com/doc/refman/8.0/en/mysql-nutshell.html

---

🌐 Web query:

MariaDB JSON type support version history

💡 Result:

MariaDB’s “JSON type” support is mostly compatibility syntax (not a separate binary JSON storage type like MySQL). Version history:

• Before 10.2.x: No JSON column type; JSON typically stored in TEXT/LONGTEXT and handled/validated manually.
• MariaDB 10.2.3: JSON functions were added (e.g., JSON_VALID(), JSON_EXTRACT(), etc.). [2]
• MariaDB 10.2.7: The JSON data type name was introduced, but it is an alias for LONGTEXT (with utf8mb4_bin collation), mainly for MySQL compatibility (replication/mysqldump interoperability). [1] [3]
• MariaDB 10.4.3: Tables created with the JSON alias automatically include a CHECK (JSON_VALID(...)) constraint to enforce valid JSON on insert/update. [4]

Key point: Even in current MariaDB, JSON is stored as text (LONGTEXT), not as a dedicated binary JSON type. [3]

Sources: MariaDB 10.2.7 release notes and MariaDB documentation pages on JSON / JSON_VALID. [1] [3] [4]

---

Affina il rilevamento della versione MySQL per evitare il downgrade non necessario a LONGTEXT.

La regex '^5\.' identifica come "vecchio" tutto MySQL 5.x, incluso 5.7.8+ che supporta nativamente JSON. Di conseguenza, versioni come 5.7.8, 5.7.9 e successive vengono forzate a LONGTEXT nonostante il JSON sia disponibile. Se il codice utilizzerà funzioni JSON in futuro, questa restrizione causerà errori. Distingi almeno MySQL 5.7.0–5.7.7 (senza JSON) da 5.7.8+ (con JSON), e aggiorna anche il rilevamento di MariaDB per escludere 10.2.0–10.2.6 dal downgrade.

Modifica proposta

--- a/installer/database/migrations/migrate_0.4.7.sql
+++ b/installer/database/migrations/migrate_0.4.7.sql
@@ -234,7 +234,9 @@
 -- Detect if we're on MariaDB 10.0/10.1 or MySQL < 5.7.8
-SET `@is_old_mariadb` = (@@version REGEXP '^(MariaDB )?10\\.(0|1)\\.' OR @@version REGEXP '^5\\.');
-SET `@col_type` = IF(`@is_old_mariadb`, 'LONGTEXT', 'JSON');
+-- Detect if we're on MariaDB < 10.2.7 or MySQL < 5.7.8
+SET `@is_old_mariadb` = (@@version REGEXP '^(MariaDB )?10\\.(0|1)\\.' OR @@version REGEXP '^(MariaDB )?10\\.2\\.[0-6]([^0-9]|$)');
+SET `@is_old_mysql` = (@@version NOT LIKE '%MariaDB%' AND (@@version REGEXP '^5\\.[0-6]\\.' OR @@version REGEXP '^5\\.7\\.[0-7]([^0-9]|$)'));
+SET `@col_type` = IF(`@is_old_mariadb` OR `@is_old_mysql`, 'LONGTEXT', 'JSON');

🤖 Prompt for AI Agents

In `@installer/database/migrations/migrate_0.4.7.sql` around lines 234 - 241, La
condizione che imposta `@is_old_mariadb` è troppo grezza e marca come "vecchio"
MySQL 5.x (incluso 5.7.8+) e non esclude MariaDB 10.2.7+; aggiorna la logica che
popolates `@is_old_mariadb` (usata per determinare `@col_type` e la costruzione di
`@sql` per la tabella `libri` / colonna `lt_fields_visibility`) per considerare
"vecchie" solo MySQL < 5.7.8 e MariaDB 10.0/10.1 e 10.2.0–10.2.6: modifica il
controllo versione (la regex/condizione su @@version) per riconoscere MySQL
5.7.0–5.7.7 come legacy e lasciar fuori 5.7.8+; analogamente estendi il pattern
MariaDB per escludere 10.2.7+; dopo la modifica `@col_type` dovrà rimanere
'LONGTEXT' solo per quelle versioni rilevate come vecchie e 'JSON' altrimenti.

[coderabbitai]

Actionable comments posted: 2

🤖 Fix all issues with AI agents

In `@app/Controllers/CsvImportController.php`:
- Around line 352-407: The mapping erroneously includes "sort character" under
the 'sottotitolo' variations in mapColumnHeaders, which causes LibraryThing's
sort-character values to be imported as subtitles; remove "sort character" from
the 'sottotitolo' array in the $columnMapping inside mapColumnHeaders and, if
you need to preserve that field, add a new canonical key like 'sort_character'
(or similar) to $columnMapping with variations ['sort
character','sort_char','sortchar','sort key'] so those inputs map to the correct
canonical field instead of 'sottotitolo'.

In `@app/Support/ScrapingService.php`:
- Around line 22-55: The parameter $context in scrapeBookData is unused—either
remove it or use it for a single log when all attempts fail; update the
scrapeBookData function to log one warning after the retry loop (referencing
$isbn, $maxAttempts and $context) when no result is returned from the
scrape.fetch.custom hook (or remove the $context parameter from the method
signature and all callers if you prefer); ensure the log call is placed once
after the for-loop failure path and uses your app logger (e.g., Log::warning or
\App\Logger) to include context, ISBN and that scrape.fetch.custom returned
empty/failed.

🧹 Nitpick comments (3)

app/Controllers/CoverController.php (1)

158-262: Riduci duplicazione tra download() e downloadFromUrl().

La validazione e la pipeline di salvataggio sono quasi identiche; estrarre un helper privato riduce il rischio di divergenze future.

app/Controllers/LibriController.php (2)

46-77: Evita drift tra defaults LT e definizioni dell’installer.

Consiglierei di derivare i defaults da LibraryThingInstaller::getLibraryThingFields() (es. helper che fa array_fill_keys(...)) così la lista resta sincronizzata quando i campi cambiano.

---

1893-2003: Valuta il riuso di ScrapingService in fetchCover() per coerenza.

Così riduci l’accoppiamento con ScrapeController e il plumbing PSR‑7; se ti serve distinguere invalid_isbn, puoi mappare i casi sul risultato del servizio.

[coderabbitai]

Actionable comments posted: 3

🤖 Fix all issues with AI agents

In `@app/Controllers/CsvImportController.php`:
- Around line 362-371: La chiave 'publication' presente in $columnMapping come
alias di 'editore' impedisce a parseLibraryThingFormat() di sovrascrivere
correttamente il campo (LibraryThing mette "Città, Editore, Anno" in
Publication); rimuovi 'publication' dall'array associato a 'editore' dentro la
variabile $columnMapping oppure, se preferisci mantenere l'alias, modifica
parseLibraryThingFormat() per forzare l'override di 'editore' quando viene
rilevato il formato LibraryThing (usa il nome della variabile $columnMapping e
la funzione parseLibraryThingFormat() per localizzare il cambiamento).

In `@app/Controllers/LibriController.php`:
- Around line 2841-2846: The export currently uses $libro['ean'] for the
"Barcode" column and drops $libro['barcode']; update the row formatter in
LibriController (the array building that includes $libro['lccn'],
$libro['data_acquisizione'], etc.) to use $libro['barcode'] when present and
fall back to $libro['ean'] (e.g. use the value of $libro['barcode'] ??
$libro['ean'] ?? '') so existing plugin-provided barcode data is preserved.

In `@app/Views/libri/partials/book_form.php`:
- Around line 612-614: The label's for attribute ("rating") doesn't match the
select's id ("book-rating"), breaking click/focus and assistive tech; update
either the label's for to "book-rating" or the select's id to "rating" so they
match (adjust the label element and/or the select element where the <label
for="rating"> and <select id="book-rating" name="rating" data-star-rating> are
defined), ensuring the visible text stays unchanged.

🧹 Nitpick comments (2)

app/Support/ScrapingService.php (1)

22-45: Parametro $context inutilizzato: usarlo nei log o rimuoverlo.
È passato dai caller ma qui non viene mai usato. Se è voluto per diagnosi, usalo almeno in un log su fallimento; altrimenti rimuovi il parametro per evitare warning/ambiguità.

♻️ Opzione: log contestuale solo su errore

         } catch (\Throwable $e) {
-            // Silent failure, will retry
+            error_log("[Scraping][$context] Tentativo {$attempt} fallito: " . $e->getMessage());
         }

app/Controllers/CoverController.php (1)

158-262: Duplicazione tra download() e downloadFromUrl(): valutare helper condiviso.
Le due routine replicano validazione, download e salvataggio. Per evitare divergenze, estrai una funzione privata che ritorna {filename, file_url} e riusa in entrambi i percorsi.

[coderabbitai]

Actionable comments posted: 16

Caution

Some comments are outside the diff and can’t be posted inline due to platform limitations.

⚠️ Outside diff range comments (5)

docs/stampa_etichette.MD (2)

170-170: ⚠️ Potential issue | 🟡 Minor

Refuso: “bibilioteche” → “biblioteche”.
Piccola correzione ortografica.

---

301-301: ⚠️ Potential issue | 🟡 Minor

Articolo errato: “Una etichetta” → “Un’etichetta”.
Migliora la scorrevolezza del testo.

docs/SEO_IMPLEMENTATION_TESTING.md (1)

123-128: ⚠️ Potential issue | 🟡 Minor

Rimuovere lo spazio dentro i delimitatori di enfasi.
Le righe con ** Pass Criteria:** generano MD037; eliminare lo spazio iniziale in tutte le occorrenze.

🛠️ Fix suggerito (applicare a tutte le occorrenze)

-** Pass Criteria:**
+**Pass Criteria:**

Also applies to: 141-145, 162-167, 176-183, 216-221, 235-240, 254-258, 295-300, 314-319, 329-334, 343-347, 357-361, 373-377, 384-389, 405-410, 427-431, 448-452, 463-467, 481-485, 493-498, 505-509, 526-530, 714-721

app/Controllers/PrestitiController.php (1)

353-410: ⚠️ Potential issue | 🟠 Major

Verificare l'esito di execute() prima di procedere con gli aggiornamenti.

Se l'INSERT fallisce, execute() ritorna false ma il codice prosegue comunque con l'aggiornamento della copia e il commit, lasciando lo stato del database incoerente (UPDATE orfana di INSERT).

Fix proposto

-            $stmt->execute();
-            $newLoanId = (int) $db->insert_id;
-            $stmt->close();
+            if (!$stmt->execute()) {
+                $err = $stmt->error;
+                $stmt->close();
+                throw new \RuntimeException('Errore inserimento prestito: ' . $err);
+            }
+            $newLoanId = (int) $db->insert_id;
+            $stmt->close();

app/Routes/web.php (1)

2468-2591: ⚠️ Potential issue | 🟠 Major

Aggiungere validazione dello schema e ricerca DNS sui redirect del proxy immagini.

Il codice consente redirect HTTP e non ri-valida la risoluzione DNS per l'host finale. Un server può reindirizzare verso http://example.com (bypassando il vincolo HTTPS) o verso un hostname che si risolve a indirizzi privati, consentendo SSRF. Occorre convalidare che il schema finale sia HTTPS, ricercare DNS sul final host, e limitare i protocolli CURL.

🛡️ Proposta di fix

         curl_setopt_array($ch, [
             CURLOPT_RETURNTRANSFER => true,
             CURLOPT_FOLLOWLOCATION => true,
             CURLOPT_MAXREDIRS => 3,
+            CURLOPT_PROTOCOLS => CURLPROTO_HTTPS,
+            CURLOPT_REDIR_PROTOCOLS => CURLPROTO_HTTPS,
             CURLOPT_TIMEOUT => 10,
             CURLOPT_CONNECTTIMEOUT => 5,
             CURLOPT_SSL_VERIFYPEER => true,
             CURLOPT_SSL_VERIFYHOST => 2,
             CURLOPT_USERAGENT => 'Mozilla/5.0 (compatible; BibliotecaBot/1.0) Safari/537.36',
             CURLOPT_HTTPHEADER => [
                 'Accept: image/avif,image/webp,image/apng,image/svg+xml,image/*,*/*;q=0.8'
             ],
         ]);

         $img = curl_exec($ch);
         $httpCode = (int) curl_getinfo($ch, CURLINFO_HTTP_CODE);
         $finalUrl = curl_getinfo($ch, CURLINFO_EFFECTIVE_URL);
         curl_close($ch);

         if ($img === false || $httpCode !== 200) {
             return $response->withStatus(404);
         }

         // Re-validate final URL after redirects to prevent SSRF via redirect
         if ($finalUrl && $finalUrl !== $url) {
             $finalParts = parse_url($finalUrl);
             $finalHost = strtolower($finalParts['host'] ?? '');
+            $finalScheme = strtolower($finalParts['scheme'] ?? '');
+
+            // Ensure final URL is still HTTPS
+            if ($finalScheme !== 'https') {
+                return $response->withStatus(403);
+            }

             // Check if redirect went to private network
             if (in_array($finalHost, $blockedHosts, true)) {
                 return $response->withStatus(403);
             }

             foreach ($privatePatterns as $pattern) {
                 if (preg_match($pattern, $finalHost)) {
                     return $response->withStatus(403);
                 }
             }
+
+            // Re-validate DNS for final host (public IPs only)
+            $finalIps = `@gethostbynamel`($finalHost) ?: [];
+            $finalAaaa = `@dns_get_record`($finalHost, DNS_AAAA) ?: [];
+            if (!$finalIps && !$finalAaaa) {
+                return $response->withStatus(403);
+            }
+            foreach ($finalIps as $ip) {
+                if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) === false) {
+                    return $response->withStatus(403);
+                }
+            }
+            foreach ($finalAaaa as $record) {
+                $ipv6 = $record['ipv6'] ?? null;
+                if ($ipv6 && filter_var($ipv6, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) === false) {
+                    return $response->withStatus(403);
+                }
+            }
         }

🤖 Fix all issues with AI agents

In `@app/Controllers/LibraryThingImportController.php`:
- Around line 909-977: La proprietà entry_date viene parsata in
parseLibraryThingRow() ma non salvata: nelle query UPDATE/INSERT LT aggiungi la
colonna entry_date nello statement SQL, inserisci il relativo valore in $params
(usando !empty($data['entry_date']) ? $data['entry_date'] : null) e aggiorna la
stringa $types corrispondente per includere il tipo corretto (es. 's' o altro
coerente con gli altri campi); ripeti questa stessa modifica sia nel blocco
UPDATE (dove è definito $stmt e $params) sia nel blocco INSERT corrispondente
per assicurare la persistenza di entry_date.

In `@app/Controllers/LibriApiController.php`:
- Around line 255-265: The code uses $_SERVER['HTTP_HOST'] directly to build
absolute URLs ($cover) which allows Host header poisoning; update the HTTP_HOST
fallback in LibriApiController to validate and sanitize the host before
concatenation: read and trim $_SERVER['HTTP_HOST'], verify it against the same
hostname/hostname:port regex used elsewhere in the codebase (use the existing
regex constant/pattern you already have), ensure it only contains a safe
hostname and optional numeric port, and only then build $cover from $protocol .
'://' . $host . $cover; if validation fails, fall back to leaving $cover
unchanged or use a safe default base URL and consider logging the invalid host.
Ensure you reference and reuse the existing validation routine/pattern rather
than inventing a new one.

In `@app/Middleware/RateLimitMiddleware.php`:
- Around line 34-44: The current RateLimitMiddleware block assumes fopen() and
json_encode() succeed; validate both results before using them: check that $body
= fopen('php://temp', 'r+') !== false and that $payload = json_encode([...]) !==
false (or use json_encode with JSON_THROW_ON_ERROR and catch), and if either
fails, log the error (use the middleware's logger) and build a safe fallback
response body (e.g. a simple hard-coded minimal JSON string or an empty temp
stream) so you never pass false into fwrite() or new \Slim\Psr7\Stream; then
continue to rewind($body) and return the 429 response with headers as before.
Ensure checks reference the variables $body, $payload (or the json result),
fwrite, rewind, and \Slim\Psr7\Stream in RateLimitMiddleware so failures are
handled deterministically.

In `@app/Views/libri/partials/book_form.php`:
- Around line 602-605: The hidden accordion content with id
"librarything-accordion-content" is still focusable via Tab because only CSS
max-height/opacity are changed; update the accordion toggle logic to make the
container non-interactive when closed by setting container.inert = true and
container.style.pointerEvents = 'none' (and keep aria-hidden="true"), and when
opening remove inert, restore pointerEvents, and set aria-hidden="false" and
move focus into a sensible first focusable element; apply the same change to the
other accordion container referenced in the same file (the second accordion
block around lines 931-960) so both toggle handlers add/remove inert +
pointer-events and manage aria-hidden and focus consistently.

In `@cron/automatic-notifications.php`:
- Around line 64-80: Move the offending use statements so they appear before any
executable statements: place "use Dotenv\Dotenv;" and "use
App\Support\NotificationService;" immediately after the file's opening (and
after any declare/namespace if present) and before require_once/other code
(e.g., before autoloader load and Dotenv instantiation) to avoid PHP parse
errors from having use declarations after executable code.

In `@cron/full-maintenance.php`:
- Around line 68-85: Move the two misplaced use statements so they appear
immediately after the file-level declare(strict_types=1); and before any
executable code (e.g. before require_once and the process lock logic);
specifically relocate use Dotenv\Dotenv and use App\Support\MaintenanceService
to that top section so PSR-12 is satisfied and no use occurs after executable
statements like require_once or the lock handling.

In `@data/dewey/dewey_completo_it.json`:
- Around line 7453-7480: Nel ramo con i codici 914.9, 914.96 e 914.960 ci sono
campi "name" vuoti: aggiorna i record con quei codici (914.9, 914.96, 914.960)
inserendo titoli descrittivi appropriati coerenti con 914.9604 ("GEOGRAFIA.
PENISOLA BALCANICA. Viaggi"), oppure, se preferibile, appiattisci la struttura
rimuovendo i nodi intermedi vuoti e collegando direttamente 914.9604 come figlio
di 914.9; assicurati che ogni oggetto abbia un campo "name" non vuoto e che la
gerarchia "children" rimanga consistente dopo la modifica.

In `@docs/frontend/prenotazioni.md`:
- Around line 16-46: The fenced ASCII diagram block lacks a language identifier;
update the opening fence from ``` to ```text to satisfy markdownlint and ensure
the diagram is treated as plain text (locate the ASCII diagram block beginning
with ``` and change it to ```text).

In `@docs/modifica_libro.MD`:
- Line 441: Fix the typo in the section heading "## Modifche Frequenti - Casi
Reali" by changing "Modifche" to "Modifiche" so the heading reads "## Modifiche
Frequenti - Casi Reali"; update the heading text in docs/modifica_libro.MD where
that exact heading string appears.
- Around line 644-646: The footer uses bold markers with extra spaces inside
(e.g., "** Documento aggiornato: 19 Ottobre 2025**") which breaks Markdown
rendering; update each footer line to remove spaces adjacent to asterisks so the
emphasis markers are directly adjacent to text (for example change "** Documento
aggiornato: 19 Ottobre 2025**" to "**Documento aggiornato: 19 Ottobre 2025**",
similarly adjust "** Versione: 3.0.0 - Guida Completa Estesa**" and "** Per
utenti finali della biblioteca**").

In `@docs/PLUGIN_EXAMPLES.md`:
- Line 7: Section headings use two spaces after the numbered period (e.g., "##
1.  **") which triggers markdownlint warnings; update each heading to have a
single space after the period (e.g., "## 1. **") by replacing the "## <n>.  **"
pattern with "## <n>. **" across all section headers (examples include the
heading text "Advanced Analytics Dashboard" and any other "## <number>.  **..."
headings) to remove the extra space and fix the "Spaces inside emphasis markers"
warnings.

In `@docs/scheda_libro.MD`:
- Line 388: Correggi il refuso nella frase "Le nuove etichette userannno il
formato configurato": sostituisci la stringa "userannno" con la corretta
"useranno" in modo che la riga legga "Le nuove etichette useranno il formato
configurato".
- Around line 497-498: The footer contains invalid Markdown emphasis due to
spaces inside the bold markers; update the two footer lines that currently read
"** Documento aggiornato: 19 Ottobre 2025**" and "** Versione: 1.0.0 - Guida
Scheda Libro**" to remove the leading space inside the ** markers (e.g., change
to "**Documento aggiornato: 19 Ottobre 2025**" and "**Versione: 1.0.0 - Guida
Scheda Libro**") so they render correctly.

In `@docs/stampa_etichette.MD`:
- Line 50: La frase che descrive il pulsante "Stampa Etichetta" contiene un
placeholder vuoto "(icona )"; sostituisci il placeholder con il nome o la
descrizione dell'icona effettiva usata nell'interfaccia (es. "(icona stampante)"
o "(icona label)") oppure rimuovi completamente "(icona )" se non c'è icona,
aggiornando la stringa che contiene "Clicca il bottone \"Stampa Etichetta\"" nel
documento.

In `@frontend/eslint.config.js`:
- Around line 51-58: Update the ignores array in the ESLint configuration:
replace the root-only pattern '*.min.js' with a recursive glob '**/*.min.js' so
that the ignores array (the ignores entry) excludes minified JS files in all
subdirectories rather than only the project root.

In `@frontend/package.json`:
- Around line 60-61: Il campo "type": "module" in package.json causa parse error
perché forza tutti i .js come ESM while webpack.config.js, postcss.config.js e
tailwind.config.js use CommonJS; either rimuovi "type": "module" from
package.json or rename those CommonJS config files to .cjs (webpack.config.cjs,
postcss.config.cjs, tailwind.config.cjs) so Node treats them as CommonJS, or
alternatively convert eslint.config.js, webpack.config.js, postcss.config.js and
tailwind.config.js to consistent ESM syntax (import/export) — pick one approach
and apply it consistently across eslint.config.js, webpack.config.js,
postcss.config.js and tailwind.config.js.

🧹 Nitpick comments (19)

app/Controllers/PasswordController.php (1)

62-66: LGTM! Gestione corretta dell'eccezione con suggerimento opzionale.

La gestione dell'eccezione è appropriata per la sicurezza. Considera di loggare l'eccezione per facilitare il debugging in produzione:

             try {
                 $baseUrl = $this->getValidatedBaseUrl();
             } catch (\RuntimeException $e) {
+                error_log('Password reset failed: ' . $e->getMessage());
                 return $response->withHeader('Location', RouteTranslator::route('forgot_password') . '?error=config')->withStatus(302);
             }

app/Support/IcsGenerator.php (1)

190-205: Codice morto: il case pendente non verrà mai raggiunto.

Il docblock a linea 190 è stato aggiornato rimuovendo pendente dalla lista degli stati validi, ma il match statement a linea 201 contiene ancora il case 'pendente'. Poiché getLoanTitle è un metodo privato chiamato solo da fetchEvents, e la query SQL a linea 109 non include più pendente, questo case è ora codice morto.

♻️ Rimozione del codice morto

     private function getLoanTitle(string $status, string $bookTitle): string
     {
         $prefix = match($status) {
             'in_corso' => '📖 ' . __('Prestito'),
             'da_ritirare' => '📦 ' . __('Da Ritirare'),
             'prenotato' => '📋 ' . __('Prestito Programmato'),
             'in_ritardo' => '⚠️ ' . __('Prestito Scaduto'),
-            'pendente' => '⏳ ' . __('Richiesta Pendente'),
             default => '📖 ' . __('Prestito')
         };
         return $prefix . ': ' . $bookTitle;
     }

app/Views/profile/reservations.php (1)

694-694: Inconsistenza nell'escaping del token CSRF.

Questa linea usa Csrf::ensureToken() senza htmlspecialchars(), mentre la linea 511 applica l'escaping. Per coerenza stilistica nel file, considera di uniformare l'approccio.

♻️ Suggerimento per uniformare l'escaping

-      <input type="hidden" name="csrf_token" value="<?php echo Csrf::ensureToken(); ?>">
+      <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(Csrf::ensureToken(), ENT_QUOTES, 'UTF-8'); ?>">

app/Views/prestiti/crea_prestito.php (2)

329-350: Considerare il ripristino dello stato del checkbox quando si torna alla data odierna.

Quando l'utente seleziona una data futura, il checkbox viene deselezionato e nascosto. Se poi torna alla data odierna, il container viene mostrato ma il checkbox rimane deselezionato. Questo potrebbe non essere l'esperienza utente attesa.

♻️ Proposta per ripristinare lo stato checked quando il container diventa visibile

       function updateConsegnaImmediataVisibility(dateStr) {
         if (!consegnaContainer || !consegnaCheckbox) return;

         const today = formatDate(new Date());
         const isImmediate = dateStr <= today;

         if (isImmediate) {
           // Show checkbox for immediate loans (today or past - though past shouldn't happen)
           consegnaContainer.classList.remove('hidden');
+          // Restore default checked state when showing
+          consegnaCheckbox.checked = true;
         } else {
           // Hide checkbox for future loans - they always go through da_ritirare flow
           consegnaContainer.classList.add('hidden');
           consegnaCheckbox.checked = false; // Uncheck when hidden
         }
       }

---

349-350: Verifica del timing di inizializzazione.

La funzione updateConsegnaImmediataVisibility viene chiamata alla riga 350 prima che flatpickr sia inizializzato (riga 386). Questo funziona perché usa direttamente dataPrestitoEl.value, ma se in futuro il valore iniziale dovesse provenire da flatpickr, potrebbe causare problemi.

Considerare di spostare l'inizializzazione dopo fpPrestito = flatpickr(...) per garantire coerenza:

       fpPrestito = flatpickr(dataPrestitoEl, fpConfig);
+
+      // Initialize visibility on page load (after flatpickr init)
+      updateConsegnaImmediataVisibility(dataPrestitoEl.value);

       // Initialize flatpickr for data_scadenza...

E rimuovere la chiamata anticipata alla riga 350.

docs/review.MD (3)

7-26: Considera di aggiungere il file corrente alla tabella.

La tabella elenca tutti i file della cartella docs/, ma manca review.MD stesso. Per completezza, potresti aggiungere una riga:

| `review.MD` | Guida alla revisione della documentazione del progetto. |

---

30-36: Considera di estendere i passaggi per includere la documentazione dei plugin.

Dato che la PR introduce il sistema LibraryThing con 25 campi aggiuntivi, nuovi endpoint API e formati di import/export, potrebbe essere utile aggiungere un passaggio specifico per la revisione della documentazione dei plugin. Ad esempio, dopo il punto 4, potresti aggiungere:

5. **Documenta le estensioni dei plugin**: se sono stati aggiunti o modificati plugin, assicurati di documentare i nuovi campi, gli endpoint API esposti, i formati di import/export supportati e le dipendenze.

E rinumerare i punti successivi di conseguenza.

---

40-45: Estendi la checklist con voci specifiche per plugin e import/export.

Considerando l'introduzione del plugin LibraryThing e delle funzionalità di import/export CSV estese, la checklist potrebbe beneficiare di voci aggiuntive come:

🔍 Voci suggerite per la checklist

- [ ] Documenta le procedure di installazione/disinstallazione dei nuovi plugin.
- [ ] Verifica che i nuovi campi del database siano descritti in `libri.MD`.
- [ ] Aggiorna `api.MD` con i nuovi endpoint esposti dai plugin.
- [ ] Documenta i formati di import/export supportati (CSV, TSV, LibraryThing).
- [ ] Verifica che le mappature multi-lingua dei campi siano documentate.

Questo renderebbe la checklist più completa e allineata con le funzionalità introdotte nella PR.

frontend/eslint.config.js (1)

10-27: Globals $ e jQuery ridondanti.

globals.jquery (linea 12) include già $ e jQuery. Le dichiarazioni manuali alle linee 19-20 sono superflue.

♻️ Rimozione della ridondanza

                 ...globals.commonjs,
                 // Webpack/Node globals
                 require: 'readonly',
                 module: 'readonly',
                 __dirname: 'readonly',
                 // Project globals
-                $: 'readonly',
-                jQuery: 'readonly',
                 DataTable: 'readonly',
                 flatpickr: 'readonly',
                 Swal: 'readonly',
                 Chart: 'readonly',
                 Sortable: 'readonly',
                 bootstrap: 'readonly',

app/Views/layout.php (1)

714-714: Considera di aggiungere il parametro di versione per il cache busting.

Lo script tinymce.min.js non ha il parametro di versione ?v=<?= $appVersion ?> a differenza degli altri asset nella pagina. Questo potrebbe causare problemi di cache dopo gli aggiornamenti.

♻️ Suggerimento per il cache busting

-  <script src="/assets/tinymce/tinymce.min.js" defer></script>
+  <script src="/assets/tinymce/tinymce.min.js?v=<?= $appVersion ?>" defer></script>

.gitignore (1)

162-169: Ok ignorare export CSV/TSV.
Se in futuro servissero fixture versionate altrove, valutare eccezioni mirate.

docs/utenti.md (1)

38-38: Spazio extra dopo il simbolo blockquote.

C'è uno spazio extra dopo > che potrebbe causare problemi di rendering in alcuni parser markdown.

📝 Correzione proposta

->  **Importante**: Se non ricevi l'email entro 5 minuti, controlla la cartella **Spam** o Posta Indesiderata.
+> **Importante**: Se non ricevi l'email entro 5 minuti, controlla la cartella **Spam** o Posta Indesiderata.

Lo stesso problema si presenta alla linea 98.

app/Controllers/CoverController.php (1)

166-262: Ridurre la duplicazione con un helper condiviso.

La logica di validazione/resize/salvataggio è praticamente identica a download(). Per evitare divergenze future, estrarre un metodo privato (es. saveCoverFromImageData) e riusarlo in entrambi i flussi.

♻️ Diff proposta (uso helper in downloadFromUrl)

-        if (strlen($imageData) > 5 * 1024 * 1024) {
-            throw new \RuntimeException(__('File troppo grande. Dimensione massima 5MB.'));
-        }
-        ...
-        return [
-            'filename' => $filename,
-            'file_url' => $fileUrl
-        ];
+        return $this->saveCoverFromImageData($imageData);

Esempio di helper da aggiungere (da richiamare anche in download()):

private function saveCoverFromImageData(string $imageData): array
{
    // contiene tutta la logica comune: size check, getimagesize,
    // resize, save, chmod, build file_url, return array
}

app/Controllers/LoanApprovalController.php (1)

171-233: Aggiungere filtro libro per la copia pre‑assegnata.

Per difesa da dati inconsistenti, conviene garantire che la copia appartenga allo stesso libro.

♻️ Diff proposta

-                $existingCopyStmt = $db->prepare("
-                    SELECT c.id FROM copie c
-                    WHERE c.id = ?
+                $existingCopyStmt = $db->prepare("
+                    SELECT c.id FROM copie c
+                    WHERE c.id = ? AND c.libro_id = ?
                     AND c.stato NOT IN ('perso', 'danneggiato', 'manutenzione')
                     AND NOT EXISTS (
                         SELECT 1 FROM prestiti p
                         WHERE p.copia_id = c.id
                         AND p.attivo = 1
                         AND p.id != ?
                         AND p.stato IN ('in_corso', 'prenotato', 'da_ritirare', 'in_ritardo')
                         AND p.data_prestito <= ?
                         AND p.data_scadenza >= ?
                     )
                 ");
-                $existingCopyStmt->bind_param('iiss', $existingCopiaId, $loanId, $dataScadenza, $dataPrestito);
+                $existingCopyStmt->bind_param('iiiss', $existingCopiaId, $libroId, $loanId, $dataScadenza, $dataPrestito);

app/Controllers/ReservationsAdminController.php (1)

164-168: Gestire l’esito di recalculateBookAvailability() per evitare fallimenti silenziosi.
Se fallisce, oggi non resta traccia; un log migliorerebbe l’affidabilità operativa.

💡 Proposta di aggiornamento

             if ($libroId > 0) {
                 $integrity = new \App\Support\DataIntegrity($db);
-                $integrity->recalculateBookAvailability($libroId);
+                if (!$integrity->recalculateBookAvailability($libroId)) {
+                    error_log("[ReservationsAdminController] recalculateBookAvailability failed for libro_id={$libroId}");
+                }
             }
@@
         if ($stmt->execute()) {
             $stmt->close();

             // Recalculate book availability after new reservation
             $integrity = new \App\Support\DataIntegrity($db);
-            $integrity->recalculateBookAvailability($libroId);
+            if (!$integrity->recalculateBookAvailability($libroId)) {
+                error_log("[ReservationsAdminController] recalculateBookAvailability failed for libro_id={$libroId}");
+            }

Also applies to: 295-298

docs/installation.MD (1)

270-270: Piccolo refuso: "ad usare" → "a usare".

La "d" eufonica si usa preferibilmente quando la vocale successiva è la stessa (es. "ad andare", "ed ecco"). In questo caso "a usare" è la forma corretta.

✏️ Fix proposto

-**Sei pronto!** Inizia subito ad usare Pinakes! 
+**Sei pronto!** Inizia subito a usare Pinakes! 

README.md (1)

84-98: Considera l'aggiunta del language identifier ai blocchi di flusso.

I blocchi che mostrano il flusso degli stati prestito potrebbero beneficiare di text o plaintext come identificatore per evitare warning di linting.

✏️ Fix proposto

 **Loan State Flow:**
-```
+```text
 Request → [pending] → Approval → [ready_for_pickup] → Confirm Pickup → [active]

 **For future-dated loans:**
-```
+```text
 [pending] → [reserved] → (date reached) → [ready_for_pickup] → Confirm → [active]

app/Views/libri/index.php (1)

403-428: Memory leak: listener duplicati su document.

La funzione setupDropdown aggiunge un nuovo document.addEventListener('click', ...) per ogni dropdown. Con 3 dropdown, vengono registrati 3 listener identici che chiudono lo stesso menu.

♻️ Proposta di refactor

-  const setupDropdown = (btnClass, menuClass) => {
-    const btn = document.querySelector(btnClass);
-    const menu = document.querySelector(menuClass);
-    if (btn && menu) {
-      allDropdownMenus.push(menu);
-      btn.addEventListener('click', (e) => {
-        e.stopPropagation();
-        // Close all other dropdowns
-        allDropdownMenus.forEach(m => {
-          if (m !== menu) m.classList.add('hidden');
-        });
-        menu.classList.toggle('hidden');
-      });
-      document.addEventListener('click', () => {
-        menu.classList.add('hidden');
-      });
-    }
-  };
-
-  setupDropdown('.export-btn', '.export-menu');
-  setupDropdown('.import-btn', '.import-menu');
-  setupDropdown('.export-btn-mobile', '.export-menu-mobile');
+  const setupDropdown = (btnClass, menuClass) => {
+    const btn = document.querySelector(btnClass);
+    const menu = document.querySelector(menuClass);
+    if (btn && menu) {
+      allDropdownMenus.push(menu);
+      btn.addEventListener('click', (e) => {
+        e.stopPropagation();
+        allDropdownMenus.forEach(m => {
+          if (m !== menu) m.classList.add('hidden');
+        });
+        menu.classList.toggle('hidden');
+      });
+    }
+  };
+
+  setupDropdown('.export-btn', '.export-menu');
+  setupDropdown('.import-btn', '.import-menu');
+  setupDropdown('.export-btn-mobile', '.export-menu-mobile');
+
+  // Single global listener for closing all dropdowns
+  document.addEventListener('click', () => {
+    allDropdownMenus.forEach(m => m.classList.add('hidden'));
+  });

app/Support/Updater.php (1)

1670-1725: Gestire anche escape con backslash nelle stringhe SQL.
Il parser considera solo '', ma in MySQL l’escape \' è comune: con ; nel contenuto potrebbe spezzare lo statement.

♻️ Suggerimento di robustezza

     for ($i = 0; $i < $length; $i++) {
         $char = $sql[$i];
 
+        // Handle backslash-escaped characters inside strings (MySQL default)
+        if ($inString && $char === '\\' && $i + 1 < $length) {
+            $current .= $char . $sql[$i + 1];
+            $i++;
+            continue;
+        }
+
         // Handle single quotes (SQL string delimiter)
         if ($char === "'") {

[coderabbitai]

⚠️ Potential issue | 🟠 Major

entry_date viene parsato ma non viene mai salvato.
parseLibraryThingRow() popola entry_date e l’export la usa, ma nei blocchi UPDATE/INSERT LT non viene persistita: il dato si perde all’import. Aggiungila a query, params e $types in entrambi i metodi.

🛠️ Aggiunta a UPDATE/INSERT (da completare aggiornando $types)

-                    peso = ?, dimensioni = ?, data_acquisizione = ?,
+                    peso = ?, dimensioni = ?, data_acquisizione = ?, entry_date = ?,
...
-                !empty($data['data_acquisizione']) ? $data['data_acquisizione'] : null,
+                !empty($data['data_acquisizione']) ? $data['data_acquisizione'] : null,
+                !empty($data['entry_date']) ? $data['entry_date'] : null,

-                    peso, dimensioni, data_acquisizione,
+                    peso, dimensioni, data_acquisizione, entry_date,
...
-                !empty($data['data_acquisizione']) ? $data['data_acquisizione'] : null,
+                !empty($data['data_acquisizione']) ? $data['data_acquisizione'] : null,
+                !empty($data['entry_date']) ? $data['entry_date'] : null,

Also applies to: 1039-1119

🤖 Prompt for AI Agents

In `@app/Controllers/LibraryThingImportController.php` around lines 909 - 977, La
proprietà entry_date viene parsata in parseLibraryThingRow() ma non salvata:
nelle query UPDATE/INSERT LT aggiungi la colonna entry_date nello statement SQL,
inserisci il relativo valore in $params (usando !empty($data['entry_date']) ?
$data['entry_date'] : null) e aggiorna la stringa $types corrispondente per
includere il tipo corretto (es. 's' o altro coerente con gli altri campi);
ripeti questa stessa modifica sia nel blocco UPDATE (dove è definito $stmt e
$params) sia nel blocco INSERT corrispondente per assicurare la persistenza di
entry_date.

[coderabbitai]

⚠️ Potential issue | 🟠 Major

Valida HTTP_HOST prima di costruire URL assoluti.

Senza validazione, un Host header manipolato può generare URL avvelenati in risposta. Allineiamo la regex già usata in altri servizi.

🔒 Diff proposta

-                    } elseif (isset($_SERVER['HTTP_HOST'])) {
-                        // Priority 2: Fallback to HTTP_HOST
-                        $protocol = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') ? 'https' : 'http';
-                        $host = $_SERVER['HTTP_HOST'];
-                        $cover = $protocol . '://' . $host . $cover;
-                    }
+                    } elseif (isset($_SERVER['HTTP_HOST'])) {
+                        // Priority 2: Fallback to HTTP_HOST (validated)
+                        $protocol = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') ? 'https' : 'http';
+                        $host = $_SERVER['HTTP_HOST'];
+                        if (preg_match('/^[a-zA-Z0-9]([a-zA-Z0-9\-]{0,61}[a-zA-Z0-9])?(\.[a-zA-Z0-9]([a-zA-Z0-9\-]{0,61}[a-zA-Z0-9])?)*(:[0-9]{1,5})?$/', $host)) {
+                            $cover = $protocol . '://' . $host . $cover;
+                        }
+                    }

🤖 Prompt for AI Agents

In `@app/Controllers/LibriApiController.php` around lines 255 - 265, The code uses
$_SERVER['HTTP_HOST'] directly to build absolute URLs ($cover) which allows Host
header poisoning; update the HTTP_HOST fallback in LibriApiController to
validate and sanitize the host before concatenation: read and trim
$_SERVER['HTTP_HOST'], verify it against the same hostname/hostname:port regex
used elsewhere in the codebase (use the existing regex constant/pattern you
already have), ensure it only contains a safe hostname and optional numeric
port, and only then build $cover from $protocol . '://' . $host . $cover; if
validation fails, fall back to leaving $cover unchanged or use a safe default
base URL and consider logging the invalid host. Ensure you reference and reuse
the existing validation routine/pattern rather than inventing a new one.

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Manca la gestione degli errori per fopen() e json_encode().

fopen('php://temp', 'r+') può restituire false in caso di fallimento, e json_encode() può restituire false se la codifica fallisce. Passare false a fwrite() o al costruttore di Stream causerebbe warning o eccezioni.

🛡️ Proposta di fix con gestione errori difensiva

-            $body = fopen('php://temp', 'r+');
-            fwrite($body, json_encode([
+            $body = fopen('php://temp', 'r+');
+            if ($body === false) {
+                throw new \RuntimeException('Failed to create temporary stream');
+            }
+            $json = json_encode([
                 'error' => __('Too many requests'),
                 'message' => __('Rate limit exceeded. Please try again later.')
-            ]));
+            ]);
+            fwrite($body, $json !== false ? $json : '{"error":"Too many requests"}');
             rewind($body);

🤖 Prompt for AI Agents

In `@app/Middleware/RateLimitMiddleware.php` around lines 34 - 44, The current
RateLimitMiddleware block assumes fopen() and json_encode() succeed; validate
both results before using them: check that $body = fopen('php://temp', 'r+') !==
false and that $payload = json_encode([...]) !== false (or use json_encode with
JSON_THROW_ON_ERROR and catch), and if either fails, log the error (use the
middleware's logger) and build a safe fallback response body (e.g. a simple
hard-coded minimal JSON string or an empty temp stream) so you never pass false
into fwrite() or new \Slim\Psr7\Stream; then continue to rewind($body) and
return the 429 response with headers as before. Ensure checks reference the
variables $body, $payload (or the json result), fwrite, rewind, and
\Slim\Psr7\Stream in RateLimitMiddleware so failures are handled
deterministically.

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Accordion: evitare focus su campi nascosti.
Con max-height: 0 gli input restano raggiungibili via Tab. Conviene rendere il contenuto non interattivo quando è chiuso (es. inert + pointer-events: none) e ripristinare in apertura.

🔧 Possibile fix (focus management)

 function toggleLibraryThingAccordion() {
     const content = document.getElementById('librarything-accordion-content');
     const icon = document.getElementById('librarything-accordion-icon');
     const button = content.previousElementSibling;
     const isExpanded = button.getAttribute('aria-expanded') === 'true';

     if (isExpanded) {
+        content.setAttribute('inert', '');
+        content.style.pointerEvents = 'none';
         // Collapse
         content.style.maxHeight = '0';
         content.style.opacity = '0';
         content.style.padding = '0';
         content.setAttribute('aria-hidden', 'true');
         button.setAttribute('aria-expanded', 'false');
         icon.style.transform = 'rotate(0deg)';
     } else {
+        content.removeAttribute('inert');
+        content.style.pointerEvents = '';
         // Expand
         content.style.maxHeight = content.scrollHeight + 'px';
         content.style.opacity = '1';
         content.style.padding = '';
         content.setAttribute('aria-hidden', 'false');
         button.setAttribute('aria-expanded', 'true');
         icon.style.transform = 'rotate(180deg)';

Also applies to: 931-960

🤖 Prompt for AI Agents

In `@app/Views/libri/partials/book_form.php` around lines 602 - 605, The hidden
accordion content with id "librarything-accordion-content" is still focusable
via Tab because only CSS max-height/opacity are changed; update the accordion
toggle logic to make the container non-interactive when closed by setting
container.inert = true and container.style.pointerEvents = 'none' (and keep
aria-hidden="true"), and when opening remove inert, restore pointerEvents, and
set aria-hidden="false" and move focus into a sensible first focusable element;
apply the same change to the other accordion container referenced in the same
file (the second accordion block around lines 931-960) so both toggle handlers
add/remove inert + pointer-events and manage aria-hidden and focus consistently.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical

Le use dopo codice eseguibile causano errore di parsing.
In PHP i use devono stare subito dopo declare/namespace e prima di qualunque istruzione. Qui sono dopo lock/require, quindi lo script non parte.

🔧 Proposta di fix

 declare(strict_types=1);

+use Dotenv\Dotenv;
+use App\Support\NotificationService;
+
 // ============================================================
 // PROCESS LOCK - Prevent concurrent cron executions
 // ============================================================
@@
 // Include autoloader
 require_once __DIR__ . '/../vendor/autoload.php';

-// Load environment variables from .env file
-use Dotenv\Dotenv;
+// Load environment variables from .env file
 $dotenv = Dotenv::createImmutable(__DIR__ . '/../');
@@
-// Include settings
-$settings = require __DIR__ . '/../config/settings.php';
-
-use App\Support\NotificationService;
+// Include settings
+$settings = require __DIR__ . '/../config/settings.php';

🤖 Prompt for AI Agents

In `@cron/automatic-notifications.php` around lines 64 - 80, Move the offending
use statements so they appear before any executable statements: place "use
Dotenv\Dotenv;" and "use App\Support\NotificationService;" immediately after the
file's opening (and after any declare/namespace if present) and before
require_once/other code (e.g., before autoloader load and Dotenv instantiation)
to avoid PHP parse errors from having use declarations after executable code.

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Errore di battitura.

"userannno" contiene tre 'n' invece di due.

📝 Correzione proposta

-Le nuove etichette userannno il formato configurato
+Le nuove etichette useranno il formato configurato

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	Le nuove etichette userannno il formato configurato
	Le nuove etichette useranno il formato configurato

🧰 Tools

🪛 markdownlint-cli2 (0.20.0)

[warning] 388-388: Spaces inside emphasis markers

(MD037, no-space-in-emphasis)

🤖 Prompt for AI Agents

In `@docs/scheda_libro.MD` at line 388, Correggi il refuso nella frase "Le nuove
etichette userannno il formato configurato": sostituisci la stringa "userannno"
con la corretta "useranno" in modo che la riga legga "Le nuove etichette
useranno il formato configurato".

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Formattazione markdown non valida nel footer.

Gli spazi all'interno dei marcatori di enfasi causano problemi di rendering.

📝 Correzione proposta

-** Documento aggiornato: 19 Ottobre 2025**
-** Versione: 1.0.0 - Guida Scheda Libro**
-** Per utenti finali della biblioteca**
+**Documento aggiornato: 19 Ottobre 2025**
+**Versione: 1.0.0 - Guida Scheda Libro**
+**Per utenti finali della biblioteca**

🧰 Tools

🪛 LanguageTool

[uncategorized] ~497-~497: L’asterisco si usa per un’omissione nel numero di tre consecutivi: "".
Context: ...Documento aggiornato: 19 Ottobre 2025 ** Versione: 1.0.0 - Guida Scheda Libro* ...

(GR_09_001)

---

[uncategorized] ~498-~498: L’asterisco si usa per un’omissione nel numero di tre consecutivi: "".
Context: ... Versione: 1.0.0 - Guida Scheda Libro ** Per utenti finali della biblioteca*

(GR_09_001)

🤖 Prompt for AI Agents

In `@docs/scheda_libro.MD` around lines 497 - 498, The footer contains invalid
Markdown emphasis due to spaces inside the bold markers; update the two footer
lines that currently read "** Documento aggiornato: 19 Ottobre 2025**" and "**
Versione: 1.0.0 - Guida Scheda Libro**" to remove the leading space inside the
** markers (e.g., change to "**Documento aggiornato: 19 Ottobre 2025**" and
"**Versione: 1.0.0 - Guida Scheda Libro**") so they render correctly.

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Correggere il riferimento all’icona mancante.
La dicitura “(icona )” risulta vuota e può confondere. Indica l’icona specifica o rimuovi il placeholder.

🧰 Tools

🪛 LanguageTool

[uncategorized] ~50-~50: L’asterisco si usa per un’omissione nel numero di tre consecutivi: "***".
Context: ...re l'Etichetta 1. Clicca il bottone "Stampa Etichetta" (icona ) 2. **Atten...

(GR_09_001)

🤖 Prompt for AI Agents

In `@docs/stampa_etichette.MD` at line 50, La frase che descrive il pulsante
"Stampa Etichetta" contiene un placeholder vuoto "(icona )"; sostituisci il
placeholder con il nome o la descrizione dell'icona effettiva usata
nell'interfaccia (es. "(icona stampante)" o "(icona label)") oppure rimuovi
completamente "(icona )" se non c'è icona, aggiornando la stringa che contiene
"Clicca il bottone \"Stampa Etichetta\"" nel documento.

[coderabbitai]

⚠️ Potential issue | 🟡 Minor

Pattern ignore incompleto per file minificati.

Il pattern *.min.js corrisponde solo ai file nella directory root. Per ignorare i file .min.js in tutte le sottodirectory, usare **/*.min.js.

🐛 Fix per il pattern glob

     {
         ignores: [
             'node_modules/**',
             'dist/**',
             'build/**',
-            '*.min.js',
+            '**/*.min.js',
         ]
     }

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

	{
	ignores: [
	'node_modules/**',
	'dist/**',
	'build/**',
	'*.min.js',
	]
	}
	{
	ignores: [
	'node_modules/**',
	'dist/**',
	'build/**',
	'**/*.min.js',
	]
	}

🤖 Prompt for AI Agents

In `@frontend/eslint.config.js` around lines 51 - 58, Update the ignores array in
the ESLint configuration: replace the root-only pattern '*.min.js' with a
recursive glob '**/*.min.js' so that the ignores array (the ignores entry)
excludes minified JS files in all subdirectories rather than only the project
root.

[coderabbitai]

⚠️ Potential issue | 🔴 Critical

🧩 Analysis chain

🏁 Script executed:

# First, explore the frontend directory structure to understand the setup
cd frontend && find . -maxdepth 2 -type f \( -name "*.json" -o -name "*config*" \) | head -20

Repository: fabiodalez-dev/Pinakes

Length of output: 180

---

🏁 Script executed:

# Check the package.json to see the context around line 60-61
cat -n frontend/package.json | sed -n '55,65p'

Repository: fabiodalez-dev/Pinakes

Length of output: 289

---

🏁 Script executed:

# Look for eslint.config.js and check if it uses ES modules
fd -type f -name "eslint.config.js" frontend/ && cat frontend/eslint.config.js | head -30

Repository: fabiodalez-dev/Pinakes

Length of output: 236

---

🏁 Script executed:

# Check for webpack config files
fd -type f -name "*webpack*" frontend/ --exec cat -n {} \; | head -50

Repository: fabiodalez-dev/Pinakes

Length of output: 236

---

🏁 Script executed:

# Check for babel config files
fd -type f \( -name ".babelrc*" -o -name "babel.config.*" \) frontend/ --exec cat {} \;

Repository: fabiodalez-dev/Pinakes

Length of output: 236

---

🏁 Script executed:

# Check eslint.config.js
cat -n frontend/eslint.config.js | head -40

Repository: fabiodalez-dev/Pinakes

Length of output: 1605

---

🏁 Script executed:

# Check webpack.config.js
cat -n frontend/webpack.config.js | head -60

Repository: fabiodalez-dev/Pinakes

Length of output: 1652

---

🏁 Script executed:

# Check if babel config exists
find frontend -maxdepth 1 -name ".babelrc*" -o -name "babel.config.*"

Repository: fabiodalez-dev/Pinakes

Length of output: 48

---

🏁 Script executed:

# Check for any require() calls in webpack.config.js that might be problematic
grep -n "require\|module.exports\|import\|export" frontend/webpack.config.js | head -20

Repository: fabiodalez-dev/Pinakes

Length of output: 203

---

🏁 Script executed:

# Check postcss and tailwind configs
grep -n "require\|module.exports\|import\|export" frontend/postcss.config.js frontend/tailwind.config.js

Repository: fabiodalez-dev/Pinakes

Length of output: 447

---

Rimuovere "type": "module" da package.json oppure rinominare i file di configurazione a .cjs

Sebbene "type": "module" sia necessario per eslint.config.js, questo setting causa un'incompatibilità critica con gli altri file di configurazione. Quando "type": "module" è impostato, tutti i file .js sono trattati come ES modules. Tuttavia:

• webpack.config.js usa CommonJS (require/module.exports)
• postcss.config.js usa CommonJS (module.exports)
• tailwind.config.js usa CommonJS (require/module.exports)

Node.js cercherà di parsare questi file come ES modules, causando errori di sintassi. La soluzione è:

1. Rinominare questi file a .cjs (webpack.config.cjs, postcss.config.cjs, tailwind.config.cjs) per preservare il comportamento CommonJS, oppure
2. Convertire tutti i file di configurazione a sintassi ES modules

🤖 Prompt for AI Agents

In `@frontend/package.json` around lines 60 - 61, Il campo "type": "module" in
package.json causa parse error perché forza tutti i .js come ESM while
webpack.config.js, postcss.config.js e tailwind.config.js use CommonJS; either
rimuovi "type": "module" from package.json or rename those CommonJS config files
to .cjs (webpack.config.cjs, postcss.config.cjs, tailwind.config.cjs) so Node
treats them as CommonJS, or alternatively convert eslint.config.js,
webpack.config.js, postcss.config.js and tailwind.config.js to consistent ESM
syntax (import/export) — pick one approach and apply it consistently across
eslint.config.js, webpack.config.js, postcss.config.js and tailwind.config.js.