fix: injecte le nonce CSP dans les pages /docs et /redoc générées par FastAPI (BUG-106)

backend/main.py

@@ -167,7 +167,7 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
     """Add security headers to all HTTP responses."""
 
     async def dispatch(self, request, call_next):
-        from backend.csp import new_nonce
+        from backend.csp import inject_csp_nonce, new_nonce
 
         # Nonce CSP frais par réponse (#87 T5b) : injecté dans script-src et
         # dans le balisage HTML par les routes (backend.csp.inject_csp_nonce).
@@ -200,6 +200,30 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
                 "form-action 'self'; "
                 "frame-ancestors 'self';"
             )
+            # BUG-106 : /docs et /redoc sont générés par FastAPI, hors de nos
+            # routes qui appellent inject_csp_nonce — leur balisage inline
+            # restait sans nonce et était bloqué par script-src (page blanche).
+            # On injecte ici avec le même helper, seul le HTML est retouché.
+            if request.url.path.startswith(("/docs", "/redoc")) and "text/html" in (
+                response.headers.get("Content-Type") or ""
+            ):
+                import gzip
+
+                # La compression (GZipMiddleware) est plus proche de la route :
+                # le corps arrive déjà gunzippé, on recomprime à l'identique.
+                raw = b"".join([chunk async for chunk in response.body_iterator])
+                is_gz = "gzip" in (response.headers.get("Content-Encoding") or "")
+                if is_gz:
+                    raw = gzip.decompress(raw)
+                patched = inject_csp_nonce(raw.decode("utf-8", "replace"), nonce).encode("utf-8")
+                if is_gz:
+                    patched = gzip.compress(patched)
+                response.headers["Content-Length"] = str(len(patched))
+
+                async def _docs_body():
+                    yield patched
+
+                response.body_iterator = _docs_body()
         # Static assets are NOT content-hashed, so they must revalidate:
         # ``immutable``/long max-age made Cloudflare and mobile browsers serve
         # a stale build for a year (the service worker cache compounded it).