fix: correzioni critiche e checklist test manuali

CORREZIONI:
- Badge confrontato ESATTAMENTE come stringa (rimosso .lstrip("0"))
- Success modal si chiude quando arriva nuovo badge (fix dipendenze useCallback)
- Polling ogni 30s per invalidare sessione se server riparte
- Area carosello allargata per testi lunghi (es. russo)

DOCUMENTAZIONE:
- API_SPECIFICATION.md aggiornata: badge come stringa esatta
- Creata TEST_CHECKLIST.md con 22 test manuali
- Aggiornati piani backend e frontend

Badge sono STRINGHE, non numeri:
- "0008988288" != "8988288" (zeri iniziali significativi)

ai-prompts/01-backend-plan.md

@@ -70,7 +70,7 @@ backend-mock/
 - [x] `POST /login-validate` - verifica solo password validatore
 - [x] `GET /anagrafica/{badge_code}` - ricerca utente
     - [x] Pulizia caratteri sentinel dal badge
-    - [x] Confronto con e senza zeri iniziali
+    - [x] **Confronto ESATTO come stringa** (zeri iniziali significativi)
     - [x] Warning automatico se non ammesso
 - [x] `POST /entry-request` - registrazione ingresso
     - [x] Verifica password validatore
@@ -173,3 +173,17 @@ curl -X POST http://localhost:8000/entry-request \
 ## ✅ BACKEND COMPLETATO
 
 Tutti i task sono stati implementati e testati.
+
+### 📄 Documentazione API
+Per le specifiche complete da implementare nel backend reale, vedere:
+**`backend-mock/API_SPECIFICATION.md`**
+
+Questo documento contiene:
+- Descrizione completa di tutti gli endpoint
+- Schema request/response JSON
+- Codici di errore e gestione
+- Meccanismo invalidazione sessioni (server_start_time)
+- Considerazioni di sicurezza
+- Struttura database suggerita
+- Casi di test minimi
+