Fix url

keycloak/README.md

@@ -1,8 +1,16 @@
-# keycloak/realm-export.json
+# keycloak/realm-export.template.json
 
 Realm `scouthub` con feature Organizations abilitata, importato automaticamente
 all'avvio di Keycloak (`--import-realm` nel `docker-compose.yml` alla radice).
 
+Il file è un **template**: i placeholder `__HOME_FE_URL__`/`__ATTIVITA_FE_URL__`/
+`__MAGAZZINO_FE_URL__`/`__EVENTI_FE_URL__` (redirect URI, web origins, post-logout
+redirect del client `scouthub-frontend`) vengono sostituiti a runtime dal servizio
+one-shot `keycloak-realm-render` con i valori delle variabili `*_FE_PUBLIC_URL` in
+`.env` (localhost in locale, dominio dietro Caddy in produzione), e il risultato
+(`realm-export.json`) viene scritto in un volume Docker montato da `keycloak` come
+cartella di import — non esiste più un `realm-export.json` statico committato.
+
 Basato su `keycloak/realm.json` (bozza di riferimento), con l'aggiunta del
 ruolo `admin` richiesto da `POST /gruppi` e `GET /gruppi` in
 `scouthub-home-be`: creazione/elenco diretti restano riservati ad `admin`,
@@ -23,7 +31,8 @@ Contiene già:
   il suo `clientId`/`secret` devono corrispondere a
   `KEYCLOAK_ORG_SERVICE_CLIENT_ID`/`_SECRET` in `scouthub-home-be/.env.example`)
 - il client pubblico `scouthub-frontend` (login utente, condiviso da tutti i
-  frontend Angular del progetto, redirect su `http://localhost:7000-7003/*`)
+  frontend Angular del progetto, redirect sugli URL pubblici configurati in
+  `.env`/`*_FE_PUBLIC_URL`, `http://localhost:7000-7003/*` di default in locale)
 
 Passi manuali ancora da fare dopo l'import (non automatizzabili in un realm
 export senza conoscere gli id generati a runtime):