fix: un dossier perso n'est plus visible par les autres comptes #194

L'admin (vaults: ["*"]) voyait le home de chaque utilisateur dans sa
barre latérale : "*" ouvrait tous les vaults, home-* compris.

- backend/auth/middleware.py : check_vault_access exige un octroi
  explicite pour tout vault home-* (nouveau is_home_vault()).
- Filtres « * » en dur remplacés par check_vault_access : dashboard,
  conflits, liens retour, favoris, abonnements push.
- /api/search : search_vaults(is_allowed=…) filtre les bruts avant
  pagination (total et page restent justes).
- backend/user_home.py : _grant n'écarte plus les comptes « * » —
  l'admin reçoit son propre home-admin (auto-réparé au démarrage).
- Tests : test_user_home.py +2, assertion API inversée dans
  test_auth_api.py (admin ne voit plus home-alice).

backend/user_home.py

@@ -112,14 +112,18 @@ async def release_user_home(username: str) -> None:
 
 
 def _grant(username: str, vault_name: str) -> None:
-    """Ajoute le vault à ``user.vaults`` si l'utilisateur n'a pas déjà ``*``."""
+    """Ajoute le vault à ``user.vaults`` s'il n'y est pas déjà (#194).
+
+    L'octroi est explicite même pour un admin (``vaults: ["*"]``) : ``*`` ne
+    couvre jamais un dossier perso (voir ``check_vault_access``).
+    """
     from backend.auth.user_store import get_user, update_user
 
     user = get_user(username)
     if not user:
         return  # créé hors API (bootstrap avant users.json) → réparé au boot suivant
     vaults = user.get("vaults") or []
-    if "*" in vaults or vault_name in vaults:
+    if vault_name in vaults:
         return
     update_user(username, {"vaults": [*vaults, vault_name]})