Fix url

scouthub-magazzino-fe/README.md

@@ -104,7 +104,7 @@ automaticamente da `ng serve`/`ng build --configuration development`) espongono:
 - `keycloakBaseUrl` — URL base dell'istanza Keycloak (default `http://localhost:8081`, coerente
   con `KEYCLOAK_PORT` in `.env` alla root del repo)
 - `keycloakRealm` — realm Keycloak (`scouthub`)
-- `keycloakClientId` — client pubblico condiviso già definito in `keycloak/realm-export.json`
+- `keycloakClientId` — client pubblico condiviso già definito in `keycloak/realm-export.template.json`
   (`scouthub-frontend`)
 - `magazzinoApiBaseUrl` — URL base di `scouthub-magazzino-be` (default `http://localhost:8083`)
 
@@ -114,12 +114,14 @@ automaticamente da `ng serve`/`ng build --configuration development`) espongono:
    ```bash
    docker compose up -d keycloak-db keycloak
    ```
-   Il realm `scouthub` viene importato automaticamente da `keycloak/realm-export.json` al primo
-   avvio (`--import-realm`).
-2. Il client pubblico `scouthub-frontend` ha `redirectUris`/`webOrigins` che includono anche
-   `http://localhost:4203` (porta di default di questo progetto, vedi sotto) — se si cambia porta,
-   aggiornare `keycloak/realm-export.json` di conseguenza e reimportare il realm (o aggiornarlo
-   da console admin Keycloak).
+   Il realm `scouthub` viene importato automaticamente al primo avvio (`--import-realm`) a
+   partire dal template `keycloak/realm-export.template.json`, renderizzato con gli URL
+   pubblici correnti (`*_FE_PUBLIC_URL` in `.env`) dal servizio one-shot
+   `keycloak-realm-render` (vedi `keycloak/README.md`).
+2. Il client pubblico `scouthub-frontend` ha `redirectUris`/`webOrigins` generati dagli URL
+   pubblici configurati in `.env` — se si cambia porta/dominio, basta aggiornare `.env` e
+   rifare `docker compose up`; per un realm già importato in precedenza va comunque
+   aggiornato anche da console admin Keycloak (l'import non sovrascrive un realm esistente).
 3. `provideKeycloakAngular()` (`src/app/core/auth/keycloak.provider.ts`) inizializza il client con
    `onLoad: 'check-sso'`: all'avvio l'app verifica in un iframe nascosto se esiste già una sessione
    Keycloak, senza forzare un redirect immediato per le pagine pubbliche.