feat(auth): gate OTP email sul portale cliente (v2.3 Phases 23-25)

Il portale /client/<slug> era protetto dal solo token in URL: chiunque
ricevesse o intercettasse il link entrava, per sempre, senza identificarsi.
Ora l'admin registra le email autorizzate per cliente e il cliente si
identifica con un codice usa-e-getta prima di vedere qualsiasi dato.

- Resend 6.18.1 + src/lib/mailer.ts (Result tipizzato, mai catch silenzioso)
- migration 0015 (gia applicata a prod): client_emails, otp_codes,
  clients.sessions_valid_from. Additiva pura, conteggi verificati pre/post
- admin: sezione "Accessi al portale" in /admin/clients/[id] con whitelist
  e revoca sessioni in blocco
- gate: codice 6 cifre CSPRNG, hash SHA-256 (mai il codice in chiaro),
  TTL 15 min, max 5 tentativi, rate limit su entrambi gli endpoint,
  risposta identica per email in whitelist e non (no enumeration)
- sessione: cookie HMAC per-cliente, 90 giorni, httpOnly/secure/lax

Il gate sta in cima alla page, NON nel layout: nell'App Router il segmento
page viene renderizzato in parallelo al layout, quindi gattare nel layout
nascondeva la dashboard a schermo ma lasciava fasi, task e pagamenti nel
payload RSC dell'HTML (46907 byte -> 17594 dopo il fix). Verificato.

Verifica: build OK, 9/9 test E2E in locale contro il DB di produzione.

NON DEPLOYARE prima di: RESEND_API_KEY+RESEND_FROM su Coolify e whitelist
popolata per i 3 clienti reali (oggi vuota) - altrimenti il gate li chiude
fuori dal loro portale. Checklist in .planning/STATE.md.

SEND-01/02 (invio preventivo via email) rinviati a v2.4 su richiesta.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/app/client/[token]/page.tsx

@@ -7,7 +7,9 @@ import {
   type ClientView,
   type ClientProjectSummary,
 } from "@/lib/client-view";
+import { getClientGate } from "@/lib/client-gate";
 import { ClientDashboard } from "@/components/client-dashboard";
+import { OtpGate } from "@/components/client/OtpGate";
 import { Tabs, TabsContent, TabsList, TabsTrigger } from "@/components/ui/tabs";
 import type { Comment } from "@/db/schema";
 
@@ -99,6 +101,14 @@ export default async function ClientPage({
 }) {
   const { token } = await params;
 
+  // ⚠️ Il gate va PRIMA di ogni query sui dati del progetto: se si interroga il
+  // DB e poi si decide di mostrare il form, i dati sono già nel payload RSC
+  // dell'HTML anche se non compaiono a schermo. Vedi src/lib/client-gate.ts.
+  const { client: identity, session } = await getClientGate(token);
+  if (identity && !session) {
+    return <OtpGate token={token} brandName={identity.brand_name} />;
+  }
+
   const clientData = await getCachedClientData(token);
   if (!clientData) notFound();