Fix PCI Stripe e anteprima regia; checkout sempre hosted.

Blocca l'invio di numeri carta dall'API server, usa Checkout anche per i cambi piano e nasconde correttamente il placeholder video in regia. Co-authored-by: Cursor <cursoragent@cursor.com>
2026-05-29 08:00:28 +02:00
parent f4b7be0f80
commit 148402a97c
12 changed files with 294 additions and 50 deletions
--- a/backend/app/services/billing/stripe/change_plan.rb
+++ b/backend/app/services/billing/stripe/change_plan.rb
@@ -1,5 +1,8 @@
 module Billing
  module Stripe
+    # Solo per sincronizzazione interna/test mockati.
+    # I cambi piano utente devono passare da CheckoutSession (Stripe Checkout hosted).
+    # Non creare mai PaymentMethod con card[number] sul server (violazione PCI).
    class ChangePlan
      VALID_PLANS = CheckoutSession::VALID_PLANS.freeze