[INTEG] Token exchange + SSO federato + Audit trail chiamate esterne

ServicesController:
- POST /api/services/token: lg231 invia API key → riceve JWT 15min
- POST /api/services/sso: SSO federato con identità utente + responsabilità
  → crea/trova utente NIS2 + emette JWT 2h con ruolo e responsibilities
- Audit trail: ogni chiamata esterna autenticata loggata (api.external_call)
- SSO login loggato come auth.sso_login severity=warning con responsabilità

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

public/index.php

@@ -298,6 +298,8 @@ $actionMap = [
 
     // ── ServicesController (API pubblica) ──────────
     'services' => [
+        'POST:token'                 => 'token',
+        'POST:sso'                   => 'sso',
         'GET:status'                 => 'status',
         'GET:complianceSummary'      => 'complianceSummary',
         'GET:risksFeed'              => 'risksFeed',