securite: #87 T6-T8 fin dette — deps qualifiées, semgrep, Secure auto, CORS

tests/test_ci_workflow.py

@@ -61,6 +61,17 @@ class TestRunnerProofScripts:
         )
 
 
+class TestSemgrepStep:
+    def test_semgrep_local_rules_enforced(self):
+        """#87 T7 : semgrep bloquant sur règles locales (aucun registre)."""
+        text = CI_YML.read_text(encoding="utf-8")
+        assert "semgrep --config semgrep-rules/ backend/" in text, (
+            "#87 T7 : étape semgrep locale attendue dans le job security"
+        )
+        rules = REPO_ROOT / "semgrep-rules" / "obsigate-python.yaml"
+        assert rules.exists(), "ruleset semgrep manquant"
+
+
 class TestFrontendStepsHaveTheirDeps:
     @staticmethod
     def _root_step_files() -> list[str]: