[BACKEND] Completa backend: validate-invite, lookup-piva, ruoli, SIM-06

AuthController:
- register() accetta `role` diretto (compliance_manager, org_admin, auditor, board_member, consultant)
- Aggiunto validateInvite() → POST /api/auth/validate-invite (no auth)

OnboardingController:
- Aggiunto lookupPiva() → POST /api/onboarding/lookup-piva (no auth, rate limit 10/min)
  usato da register.html per P.IVA lookup pre-login

Router (index.php):
- Aggiunto POST:validateInvite e POST:lookupPiva

api.js:
- register() invia sia `role` che `user_type` per retrocompatibilità

simulate-nis2.php:
- SIM-06: B2B provisioning via X-Provision-Secret → org + JWT + API Key
- Filtro NIS2_SIM=SIM06 via goto per skip SIM-01→05 indipendenti
- readEnvValue() helper per leggere PROVISION_SECRET da .env

register.html:
- lookupPiva usa /onboarding/lookup-piva (endpoint pubblico)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

public/index.php

@@ -149,6 +149,7 @@ $actionMap = [
         'GET:me'               => 'me',
         'PUT:profile'          => 'updateProfile',
         'POST:changePassword'  => 'changePassword',
+        'POST:validateInvite'  => 'validateInvite',  // valida invite_token (no auth)
     ],
 
     // ── OrganizationController ──────────────────────
@@ -280,6 +281,7 @@ $actionMap = [
     'onboarding' => [
         'POST:uploadVisura'  => 'uploadVisura',
         'POST:fetchCompany'  => 'fetchCompany',
+        'POST:lookupPiva'    => 'lookupPiva',    // lookup P.IVA pubblico (no auth, da register)
         'POST:complete'      => 'complete',
     ],