fixed bootstrap

public/api/_bootstrap.php

@@ -1,3 +1,17 @@
+Perfetto, ora ho la conferma totale e la soluzione è chiara. Tutto punta a Sanctum:
+
+SANCTUM OK — la libreria c'è.
+Il login (AuthController.php:51) crea il token con $user->createToken($request->device_name)->plainTextToken — è Sanctum puro. Ecco perché il token ha il formato 4|....
+app/User.php usa Laravel\Sanctum\HasApiTokens — il modello utente è predisposto per Sanctum.
+
+Quindi il login genera token Sanctum, ma il _bootstrap.php (ereditato dal multiscuola) li valida col vecchio TokenGuard che cerca api_token. Disallineamento totale. Sistemiamo il bootstrap perché usi Sanctum.
+
+Il _bootstrap.php corretto
+
+Sostituisco il blocco AUTH. Copia-incolla questo intero comando in SSH per riscrivere il file con la validazione Sanctum giusta:
+
+bash
+cat > public/api/_bootstrap.php << 'EOF'
     <?php
 
     declare(strict_types=1);
@@ -14,17 +28,32 @@ require_once dirname(__DIR__) . '/class/db-functions.php';
     $db = DBHandlerSelect::getInstance()->getConnection();
 
     // ==============================
-// AUTH VANGUARD  (radice progetto: extra/auth.php)
+    // BOOTSTRAP LARAVEL (per Sanctum + Eloquent)
     // ==============================
-require_once dirname(__DIR__, 2) . '/extra/auth.php';
+    require_once dirname(__DIR__, 2) . '/vendor/autoload.php';
+    $app = require_once dirname(__DIR__, 2) . '/bootstrap/app.php';
+    $app->make(\Illuminate\Contracts\Http\Kernel::class)
+        ->bootstrap();
 
     // ==============================
-// AUTH API (TOKEN)
+    // AUTH SANCTUM (TOKEN Bearer)
     // ==============================
-$user = Auth::guard('api')->user();
+    $authHeader = $_SERVER['HTTP_AUTHORIZATION']
+        ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION']
+        ?? '';
+
+    if (!preg_match('/Bearer\s+(.*)$/i', $authHeader, $m)) {
+        http_response_code(401);
+        echo json_encode(['error' => 'Unauthorized', 'reason' => 'no bearer']);
+        exit;
+    }
+
+    $bearer = trim($m[1]);
+    $accessToken = \Laravel\Sanctum\PersonalAccessToken::findToken($bearer);
+    $user = $accessToken?->tokenable;
 
     if (!$user) {
         http_response_code(401);
-    echo json_encode(['error' => 'Unauthorized']);
+        echo json_encode(['error' => 'Unauthorized', 'reason' => 'invalid token']);
         exit;
     }