fix(admin,ai): redirect admin.html + modèles fallback + picker provider/modèle par requête

Trois bugs corrigés + une amélioration demandée :

1. **fix(admin): /admin.html redirigeait toujours vers /**
   - admin.js _gateAdmin() lisait /api/auth/status qui ne contient PAS le rôle user
   - Remplacé par /api/auth/me (retourne username, role, vaults)
   - Le code distingue maintenant le cas 'auth désactivé' (admin anonyme) du
     cas 'auth requise non admin' (affiche écran forbidden)

2. **fix(ai): les modèles Nvidia/Xiaomi ne se chargeaient pas dans les dropdowns**
   - Xiaomi : l'endpoint public /v1/models est instable, échec réseau fréquent
   - Toutes les erreurs réseau/d'API renvoyaient models=[] → dropdown vide
   - Ajout d'un fallback curé : _FALLBACK_MODELS dict avec 4-8 modèles populaires
     par provider, TOUJOURS retourné si la clé manque OU si l'API distante échoue
   - Le frontend voit désormais 'fallback' vs 'live' comme hint pour l'utilisateur
   - Gemini parsing : strip du préfixe 'models/' retourné par l'API Gemini
   - 7 nouveaux tests pytest pour _FALLBACK_MODELS + endpoint /api/config/ai-models

3. **feat(ai): picker provider/model dans la toolbar AI + BooksLM**
   - Plusieurs providers peuvent maintenant être activés simultanément
   - Sélection provider+model par section (Forge, BooksLM, etc.) via dropdown
   - État persisté en localStorage (le choix suit l'utilisateur entre sections)
   - Chaque appel AI passe maintenant {provider, model} au backend
   - ai.js : aiAction() lit le picker et l'injecte dans le body
   - bookslm.js : envoie provider+model à /api/ai/bookslm/chat
   - ai_routes.py + bookslm_routes.py : AIRequest et BooksLMChatRequest
     acceptent provider+model, avec save/restore du modèle original
     pour ne pas affecter les autres requêtes concurrentes
   - 7 nouvelles clés i18n (ai.provider, ai.model, ai.model_loading, etc.)
   - 1 nouveau test bookslm vérifie que le schema accepte provider+model
   - validate-imports.mjs : fix faux positif sur 'export { X as Y }'

Vérifié :
- pytest : 502 passed, 5 skipped (494 baseline + 7 AI models + 1 BooksLM)
- frontend unit : 7 passed
- validate-imports : 30 modules / 204 exports / 0 erreur
- pane-manager JSDOM : 9/9
- ruff check backend/ : All checks passed

frontend/js/admin.js

@@ -364,30 +364,51 @@ function _wireAuditFilters() {
 
 /**
  * Verify the current session and admin role.
+ * Uses /api/auth/me (which returns the current user) and falls back to
+ * the cached user in sessionStorage if the request fails.
  * Redirects to / if not authenticated or not admin.
  * Returns the user object on success, null otherwise.
  */
 async function _gateAdmin() {
   const container = document.getElementById("admin-main");
   const forbidden = document.getElementById("admin-forbidden");
+  // First check whether auth is even enabled (public endpoint).
+  let authEnabled = false;
   try {
-    const res = await fetch("/api/auth/status", { credentials: "include" });
-    if (!res.ok) throw new Error("HTTP " + res.status);
-    const status = await res.json();
-    if (!status.auth_enabled) {
-      // Auth disabled — server is wide open, treat current visitor as allowed.
-      return { username: "anonymous", role: "admin" };
+    const statusRes = await fetch("/api/auth/status", { credentials: "include" });
+    if (statusRes.ok) {
+      const status = await statusRes.json();
+      authEnabled = !!status.auth_enabled;
     }
-    if (!status.authenticated) {
+  } catch { /* network error — fall through */ }
+
+  if (!authEnabled) {
+    // Server is wide open, treat current visitor as allowed.
+    return { username: "anonymous", role: "admin" };
+  }
+
+  // Auth is enabled — try to load the current user.
+  try {
+    const meRes = await fetch("/api/auth/me", {
+      credentials: "include",
+      headers: getAuthHeaders(),
+    });
+    if (meRes.status === 401 || meRes.status === 403) {
       window.location.href = "/";
       return null;
     }
-    if (status.user?.role !== "admin") {
+    if (!meRes.ok) throw new Error("HTTP " + meRes.status);
+    const user = await meRes.json();
+    // Cache for later fallback
+    try {
+      sessionStorage.setItem("obsigate_user", JSON.stringify(user));
+    } catch { /* */ }
+    if (user.role !== "admin") {
       if (container) container.style.display = "none";
       if (forbidden) forbidden.style.display = "";
       return null;
     }
-    return status.user;
+    return user;
   } catch (err) {
     // Network error — try to use cached sessionStorage user as fallback
     try {