fix: un dossier perso n'est plus visible par les autres comptes #194

L'admin (vaults: ["*"]) voyait le home de chaque utilisateur dans sa
barre latérale : "*" ouvrait tous les vaults, home-* compris.

- backend/auth/middleware.py : check_vault_access exige un octroi
  explicite pour tout vault home-* (nouveau is_home_vault()).
- Filtres « * » en dur remplacés par check_vault_access : dashboard,
  conflits, liens retour, favoris, abonnements push.
- /api/search : search_vaults(is_allowed=…) filtre les bruts avant
  pagination (total et page restent justes).
- backend/user_home.py : _grant n'écarte plus les comptes « * » —
  l'admin reçoit son propre home-admin (auto-réparé au démarrage).
- Tests : test_user_home.py +2, assertion API inversée dans
  test_auth_api.py (admin ne voit plus home-alice).

backend/routers/files_read.py

@@ -166,12 +166,11 @@ async def api_file_backlinks(
     if not vault_data:
         raise HTTPException(status_code=404, detail=f"Vault '{vault_name}' not found")
 
-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])
     backlinks = get_backlinks(vault_name, path)
 
-    # Filter by user-accessible vaults
-    if "*" not in user_vaults:
-        backlinks = [b for b in backlinks if b["vault"] in user_vaults]
+    # Filter by user-accessible vaults (#194 : check_vault_access, "*" sans
+    # les dossiers persos).
+    backlinks = [b for b in backlinks if check_vault_access(b["vault"], current_user)]
 
     return {
         "vault": vault_name,