Applicazioni web su misura

Il permesso vive nel database

In una piattaforma multi-tenant la domanda vera non è come si disegna la lista clienti, ma cosa succede il giorno in cui una query dimentica il filtro sull’azienda. Se il controllo è solo nel codice, quel giorno un cliente vede i dati di un altro e nessuno se ne accorge.

Per questo l’isolamento lo metto in PostgreSQL con le Row-Level Security policy, e l’applicazione si collega con un ruolo che non ha BYPASSRLS. Il codice può sbagliare: il database no. Il permesso diventa un dato leggibile e revocabile, non un ramo di codice sparso in trenta file.

Render sul server, stato dove serve

Next.js in App Router: le pagine arrivano già disegnate — conta per la SEO, perché i crawler non eseguono JavaScript, e conta per la percezione di velocità. Il client si prende solo le parti che devono davvero reagire.

Le preferenze che cambiano il primo pixel (menu aperto o chiuso, tema, lingua) stanno in cookie letti dal server mentre disegna, non nel localStorage: altrimenti la prima pittura è sempre quella sbagliata e la pagina salta a ogni caricamento.

Multilingua senza rifare il sito

Struttura i18n con next-intl: URL puliti per ogni lingua, hreflang reciproci, contenuti tradotti per davvero e non stringhe rimaste in italiano sotto una bandiera diversa. Quando una traduzione manca, decidiamo esplicitamente se mostrare il fallback o nascondere la pagina.