refactor(template): rename Setup-TemplateVM.ps1 -> Setup-WinBuild2025.ps1

- git mv Setup-TemplateVM.ps1 Setup-WinBuild2025.ps1
- git mv Prepare-TemplateSetup.ps1 -> Prepare-WinBuild2025.ps1 (name already in place)
- Updated all references across the workspace:
    template/Prepare-WinBuild2025.ps1 (script copy, assertions, comments)
    template/Setup-WinBuild2025.ps1 (self-references in docblock and final message)
    README.md (directory tree)
    TODO.md (all inline links and task descriptions)
    docs/WINDOWS-TEMPLATE-SETUP.md (table, step descriptions, phase header, troubleshooting)
    docs/LINUX-TEMPLATE-SETUP.md (Windows equivalent reference)

TODO.md

@@ -8,7 +8,7 @@
 >
 > **Doc di setup operativi**:
 > - [docs/HOST-SETUP.md](docs/HOST-SETUP.md) — bootstrap macchina host (Setup-Host.ps1)
-> - [docs/WINDOWS-TEMPLATE-SETUP.md](docs/WINDOWS-TEMPLATE-SETUP.md) — provisioning template Windows (Prepare + Setup-TemplateVM)
+> - [docs/WINDOWS-TEMPLATE-SETUP.md](docs/WINDOWS-TEMPLATE-SETUP.md) — provisioning template Windows (Prepare + Setup-WinBuild2025)
 > - [docs/LINUX-TEMPLATE-SETUP.md](docs/LINUX-TEMPLATE-SETUP.md) — bozza/TODO template Linux (non implementato)
 >
 > - **P0** — sicurezza o affidabilità: affrontare prima di estendere il sistema
@@ -84,17 +84,17 @@
   - [x] Dall'host, esegui:
         ```powershell
         cd n:\Code\Workspace\Local-CI-CD-System\template
-        .\Prepare-TemplateSetup.ps1 -VMIPAddress 192.168.79.128 -SkipWindowsUpdate
+        .\Prepare-WinBuild2025.ps1 -VMIPAddress 192.168.79.128 -SkipWindowsUpdate
         ```
         Installa: WinRM config, utente `ci_build`, .NET SDK 10.0, VS Build Tools 2026, Python 3.13.3.
         Lo script esegue validazione automatica ad ogni passaggio (`Assert-Step`):
-        - Pre-flight: IP ottetti 0-255, TCP/5985 raggiungibile, Setup-TemplateVM.ps1 presente
+        - Pre-flight: IP ottetti 0-255, TCP/5985 raggiungibile, Setup-WinBuild2025.ps1 presente
         - Host WinRM: AllowUnencrypted, TrustedHosts
         - Guest prep: `C:\CI` esiste, file copiato, size match
         - Post-setup remoto (9 check): WinRM, user+admin, UAC, firewall, .NET, Python, MSBuild, CI dirs
         Se qualsiasi check fallisce → script termina con errore → **non prendere lo snapshot**.
   - [x] Setup completato con successo (VS Build Tools 2026 exit code 0).
-  - [x] `Setup-TemplateVM.ps1` ora esegue validazione `Assert-Step` dopo ogni step interno
+  - [x] `Setup-WinBuild2025.ps1` ora esegue validazione `Assert-Step` dopo ogni step interno
         (WinRM, Firewall, User, UAC, Dirs, Defender, .NET, Python, VS Build Tools, Toolchain,
         Cleanup, Final pre-snapshot gate) — throws se qualsiasi check fallisce (2026-05-09)
 
@@ -103,7 +103,7 @@
   - [x] Spegni la VM: Start → Shut down
   - [x] Prendi snapshot: VM → Snapshot → Take Snapshot
         **Nome esatto: `BaseClean`**
-        **Prerequisito: `Prepare-TemplateSetup.ps1` deve essere uscito con exit 0** — tutti
+        **Prerequisito: `Prepare-WinBuild2025.ps1` deve essere uscito con exit 0** — tutti
         gli `Assert-Step` passati, incluso il Final pre-snapshot gate nel guest.
   - [x] Lascia la VM spenta — non modificarla mai più dopo questo snapshot
 
@@ -150,7 +150,7 @@
 ## 1. Sicurezza & hardening
 
 ### 1.1 [P0] Migrare WinRM da HTTP/Basic a HTTPS/5986
-File: [template/Setup-TemplateVM.ps1:179-198](template/Setup-TemplateVM.ps1), [scripts/Invoke-RemoteBuild.ps1:82-91](scripts/Invoke-RemoteBuild.ps1).
+File: [template/Setup-WinBuild2025.ps1:179-198](template/Setup-WinBuild2025.ps1), [scripts/Invoke-RemoteBuild.ps1:82-91](scripts/Invoke-RemoteBuild.ps1).
 
 **Motivazione**: la combo `AllowUnencrypted=true` + `Auth/Basic=true` invia credenziali del
 `ci_build` (admin) in chiaro su VMnet8. Anche in lab isolato, l'host può essere compromesso
@@ -160,7 +160,7 @@ manca solo l'esecuzione.
 **Azioni**:
 - [ ] Generare cert self-signed nel template *prima* dello snapshot.
 - [ ] Sostituire `New-PSSession -ComputerName $ip` con `-UseSSL -Port 5986` in `Invoke-RemoteBuild.ps1` e `Get-BuildArtifacts.ps1`.
-- [ ] Rimuovere `AllowUnencrypted=true` dal `Setup-TemplateVM.ps1`.
+- [ ] Rimuovere `AllowUnencrypted=true` dal `Setup-WinBuild2025.ps1`.
 - [ ] Tenere `-SkipCACheck` lato host: per cert lab self-signed è accettabile, ma documentare la motivazione inline.
 - [ ] Regole firewall — limitare WinRM alla subnet build VM (`192.168.79.0/24` — VMnet8 NAT).
 
@@ -173,7 +173,7 @@ Set-Item WSMan:\localhost\Client\TrustedHosts -Value '192.168.79.*' -Force -Conc
 ```
 
 ### 1.3 [P0] Pinning hash SHA256 degli installer
-File: [template/Setup-TemplateVM.ps1:332-399](template/Setup-TemplateVM.ps1), [template/Setup-TemplateVM.ps1:401-502](template/Setup-TemplateVM.ps1).
+File: [template/Setup-WinBuild2025.ps1:332-399](template/Setup-WinBuild2025.ps1), [template/Setup-WinBuild2025.ps1:401-502](template/Setup-WinBuild2025.ps1).
 
 **Motivazione**: Python, `dotnet-install.ps1`, `vs_buildtools.exe` vengono scaricati senza
 verifica integrità. Un MITM nella rete dell'host (anche temporaneo) può iniettare binari
@@ -206,7 +206,7 @@ Quando arriva il momento di implementare il clone in-VM (vedi §3.3 / sezione "I
 - [ ] Aggiungere un grep automatico nei log job: se il PAT compare grezzo, fallire la build.
 
 ### 1.6 [P2] Defender + Firewall + UAC tutti disattivati nel template — documentare il modello di minaccia
-File: [template/Setup-TemplateVM.ps1:200-329](template/Setup-TemplateVM.ps1).
+File: [template/Setup-WinBuild2025.ps1:200-329](template/Setup-WinBuild2025.ps1).
 
 Attualmente: `Set-NetFirewallProfile ... -Enabled False`, `EnableLUA=0`, `DisableAntiSpyware=1`,
 `DisableRealtimeMonitoring=1`, `LocalAccountTokenFilterPolicy=1`.
@@ -481,7 +481,7 @@ e centralizza retry/log.
 File: [gitea/workflows/lint.yml](gitea/workflows/lint.yml) (già esiste).
 
 Aggiungere regole specifiche progetto (`PSScriptAnalyzerSettings.psd1` in root):
-- `PSAvoidUsingPlainTextForPassword` — rilevante per `Setup-TemplateVM.ps1:55`.
+- `PSAvoidUsingPlainTextForPassword` — rilevante per `Setup-WinBuild2025.ps1:55`.
 - `PSAvoidUsingInvokeExpression`.
 - `PSUseShouldProcessForStateChangingFunctions`.
 - Regole custom: vietare hardcoded `F:\CI\` fuori da config (forzare param/env).
@@ -566,7 +566,7 @@ VM avviata  →  WinRM: git clone --recurse-submodules https://<token>@gitea/...
 **Punti chiave:**
 - Il PAT **non deve essere nello snapshot** — viene iniettato a runtime come env var via WinRM
   (`git clone https://Simone:<pat>@gitea.emulab.it/<repo>.git`) e non viene mai persistito
-- Git deve essere installato nel template (`Setup-TemplateVM.ps1`) — ora è assente per design
+- Git deve essere installato nel template (`Setup-WinBuild2025.ps1`) — ora è assente per design
 - L'implementazione deve essere **non-breaking**: nuovo switch opt-in `-UseGitClone` in `Invoke-CIJob.ps1`
 - Si perde il parallelismo parziale (clone host avviene mentre VM boota), ma si elimina
   tutto l'overhead di zip/transfer (rilevante su repo grandi o con molti submoduli)
@@ -574,7 +574,7 @@ VM avviata  →  WinRM: git clone --recurse-submodules https://<token>@gitea/...
 
 ### Task
 
-- [ ] **Setup-TemplateVM.ps1 — installare Git for Windows**
+- [ ] **Setup-WinBuild2025.ps1 — installare Git for Windows**
   - [ ] Scaricare e installare Git for Windows (installer silenzioso da git-scm.com)
         ```powershell
         $gitUrl = 'https://github.com/git-for-windows/git/releases/download/v2.47.1.windows.1/Git-2.47.1-64-bit.exe'
@@ -582,9 +582,9 @@ VM avviata  →  WinRM: git clone --recurse-submodules https://<token>@gitea/...
         ```
   - [ ] Aggiungere `C:\Program Files\Git\cmd` al PATH di sistema nella VM
   - [ ] Verificare: `git --version` ritorna exit 0 nella VM
-  - [ ] Rimuovere il commento "Git is NOT installed" dal docblock di Setup-TemplateVM.ps1
+  - [ ] Rimuovere il commento "Git is NOT installed" dal docblock di Setup-WinBuild2025.ps1
 
-- [ ] **Setup-TemplateVM.ps1 — altri tool utili**
+- [ ] **Setup-WinBuild2025.ps1 — altri tool utili**
   - [ ] **7-Zip**: installer silenzioso — molto più veloce di `Compress-Archive`/`Expand-Archive`
         per archivi grandi (es. npm/NuGet cache warm). Necessario anche per §3.2.
   - [ ] **curl.exe**: già presente in Windows 11/Server 2025 (v7.x) — verificare disponibilità