feat: intégration TikTak #197-200 + scoped tokens, webhooks filtrés, listes mtime/size ; fix e2e-server BUG-112

backend/tools/registry.py

@@ -216,6 +216,14 @@ def call_tool(
             _audit(ctx, spec, arguments, ok=False, error=e.code)
             raise
 
+    # #199 : les tokens à portée limitée sont confinés à la surface fichiers,
+    # y compris pour les outils sans vault (git, web, notify…).
+    try:
+        ctx.require_tool_allowed(name)
+    except ToolPermissionError as e:
+        _audit(ctx, spec, arguments, ok=False, error=e.code)
+        raise
+
     if spec.risk == ToolRisk.DANGEROUS and vault and vault != "all":
         try:
             ctx.require_destructive_allowed(vault)