Fix url

scouthub-home-fe/README.md

@@ -87,7 +87,7 @@ espongono:
 - `keycloakBaseUrl` — URL base dell'istanza Keycloak (default `http://localhost:8081`,
   coerente con `KEYCLOAK_PORT` in `.env` alla root del repo)
 - `keycloakRealm` — realm Keycloak (`scouthub`)
-- `keycloakClientId` — client pubblico già definito in `keycloak/realm-export.json`
+- `keycloakClientId` — client pubblico già definito in `keycloak/realm-export.template.json`
   (`scouthub-frontend`)
 - `orgServiceApiBaseUrl` — URL base di `scouthub-home-be` (default `http://localhost:8082`)
 
@@ -97,14 +97,16 @@ espongono:
    ```bash
    docker compose up -d keycloak-db keycloak
    ```
-   Il realm `scouthub` viene importato automaticamente da `keycloak/realm-export.json`
-   al primo avvio (`--import-realm`).
-2. Il client pubblico `scouthub-frontend` ha `redirectUris`/`webOrigins` che includono
-   `http://localhost:4200` (usato da `scouthub-attivita-fe`), `http://localhost:4201`
-   (porta di default di questo progetto, vedi sotto) e le porte di
-   `scouthub-magazzino-fe`/`scouthub-eventi-fe` — il client è ora condiviso da tutti
-   e quattro i frontend. Se si cambia porta, aggiornare `keycloak/realm-export.json`
-   di conseguenza e reimportare il realm (o aggiornarlo da console admin Keycloak).
+   Il realm `scouthub` viene importato automaticamente al primo avvio (`--import-realm`)
+   a partire dal template `keycloak/realm-export.template.json`, renderizzato con gli URL
+   pubblici correnti (`*_FE_PUBLIC_URL` in `.env`) dal servizio one-shot
+   `keycloak-realm-render` (vedi `keycloak/README.md`).
+2. Il client pubblico `scouthub-frontend` ha `redirectUris`/`webOrigins` generati dagli
+   URL pubblici configurati in `.env` per tutti e quattro i frontend — il client è
+   condiviso. Se si cambia porta/dominio, basta aggiornare `.env` e rifare
+   `docker compose up`; per un cambiamento su un realm già importato in precedenza va
+   comunque aggiornato anche da console admin Keycloak (l'import non sovrascrive un
+   realm esistente).
 3. `provideKeycloakAngular()` (`src/app/core/auth/keycloak.provider.ts`) inizializza
    il client con `onLoad: 'check-sso'`: all'avvio l'app verifica in un iframe nascosto
    se esiste già una sessione Keycloak, senza forzare un redirect immediato per le