DevEnv nis2-agileandClaude Opus 4.8
a223923fd6
ask() chiamava requireAuth() ma non requireOrgAccess(), quindi getCurrentOrgId() restava null → org_data_ok sempre falso → ARIA rispondeva "non ho accesso ai dati" anche con membership valida. Ora l'org si risolve da X-Organization-Id → param org_id → currentOrgId → org primaria dell'utente; lo spoofing resta neutralizzato dal controllo membership esistente. Verificato: ARIA ora cita i numeri reali (rischi/incidenti/asset...) via /api/ai/ask. Bug pre-esistente (Fase B 24/6), emerso nel test di rilascio V3. Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>