fix(0.32.2): résolution par requête des URL dracodev, base agent dérivée et CSP du panneau

La dérivation 0.32.1 ne couvrait que les URL sœurs depuis
AGENT_EVENEMENTS_URL, jamais agent_url : sur la dev, le panneau
visait le défaut prod (agent injoignable, prod non installée),
console morte. Désormais, pour tout rendu à une requête (barre,
iframe du panneau, CSP frame-src) : explicite > hôte public au
motif fermé dracodev > dérivation élargie (événements ou base du
service) > défaut officiel. Contextes sans requête inchangés
sinon ; aucun SSO ajouté.

app/config.py

@@ -102,6 +102,13 @@ Environment variables:
                                  https://agent.dracodev.net — the dev
                                  environment declares its ``-dev`` name
                                  here (e.g. https://agent-dev.dracodev.net).
+                                 Sans variable explicite, la base est
+                                 aussi dérivée de l'hôte de
+                                 AGENT_EVENEMENTS_URL quand il suit le
+                                 motif ``agent<SUFFIXE>.dracodev.net``
+                                 (0.32.2 : sinon le panneau pointait le
+                                 défaut prod alors que le journal était
+                                 en dev — console morte sur la dev).
     AGENT_EVENEMENTS_URL         Journal endpoint of the agent
                                  service (Lot 2, contract ACC-0.2)
                                  receiving this app's signed events.
@@ -110,7 +117,9 @@ Environment variables:
                                  Son hôte sert aussi de source à la
                                  dérivation d'environnement des URL
                                  sœurs ci-dessous (voir
-                                 ``_url_soeur_draco``).
+                                 ``_url_soeur_draco``), au même titre
+                                 que la base du service (AGENT_URL) —
+                                 dérivation élargie en 0.32.2.
     KANBANTE_PUBLIC_URL          This app's own public base URL
                                  (barre commune self-link, SSO
                                  ``return_to``). Default (official)
@@ -123,20 +132,33 @@ Environment variables:
                                  https://tiktak.dracodev.net.
                                  ObsiGate's bar link reuses DRACO_SSO_URL
                                  (the SSO emitter IS ObsiGate).
-                                 Résolution d'une URL sœur, dans
-                                 l'ordre : 1) la variable explicite
+                                 Résolution d'une URL rendue à une
+                                 requête (barre, panneau, CSP), dans
+                                 l'ordre (voir ``resoudre_urls_draco``,
+                                 0.32.2) : 1) la variable explicite
                                  ci-dessus (prioritaire, contrat
-                                 inchangé) ; 2) dérivation depuis
-                                 l'hôte de l'agent connu par
-                                 AGENT_EVENEMENTS_URL — si cet hôte
-                                 est ``agent<SUFFIXE>.dracodev.net``
-                                 (p. ex. ``agent-dev``), l'URL sœur
-                                 devient ``https://<slug><SUFFIXE>.
+                                 inchangé) ; 2) l'hôte public de la
+                                 requête, motif fermé
+                                 ``(og|flowdeck|tiktak|kanbante|agent)
+                                 <SUFFIXE>.dracodev.net`` (suffixe vide
+                                 en prod, ``-dev`` en dev) appliqué à
+                                 toutes les sœurs et à l'agent — jamais
+                                 de suffixe inventé depuis un hôte
+                                 arbitraire ; 3) dérivation depuis les
+                                 adresses de l'agent connues en
+                                 configuration (AGENT_EVENEMENTS_URL
+                                 ou AGENT_URL) — si cet hôte est
+                                 ``agent<SUFFIXE>.dracodev.net``,
+                                 l'URL sœur devient
+                                 ``https://<slug><SUFFIXE>.
                                  dracodev.net`` (slugs : og, flowdeck,
-                                 tiktak, kanbante) ; hôte hors motif
-                                 (autre domaine, LAN, IP) = aucune
-                                 dérivation, jamais de lien deviné ;
-                                 3) le défaut officiel (prod).
+                                 tiktak, kanbante, agent) ; hôte hors
+                                 motif (autre domaine, LAN, IP) =
+                                 aucune dérivation, jamais de lien
+                                 deviné ; 4) le défaut officiel (prod).
+                                 Les contextes sans requête gardent la
+                                 résolution par configuration (étapes
+                                 1, 3 et 4), inchangée sinon.
                                  No public dracodev name is hard-coded
                                  outside these defaults: dev/prod differ
                                  only by environment, never by code.
@@ -155,7 +177,7 @@ from urllib.parse import urlparse
 
 BASE_DIR = Path(__file__).resolve().parent.parent
 
-APP_VERSION = "0.32.1"
+APP_VERSION = "0.32.2"
 
 
 def _env_bool(name: str, default: bool) -> bool:
@@ -191,28 +213,72 @@ def _env_wip_limits(name: str) -> dict[str, int]:
     return limits
 
 
-# ── Dérivation d'environnement des URL sœurs dracodev (0.32.1) ──
-# Sur la dev, seul AGENT_EVENEMENTS_URL est posé (hôte
+# ── Résolution d'environnement des URL publiques dracodev ──
+# 0.32.1 : sur la dev, seul AGENT_EVENEMENTS_URL est posé (hôte
 # agent-dev.dracodev.net) : les URL sœurs retombaient donc sur leurs
-# défauts prod dans la barre commune. La résolution ci-dessous
-# évite de devoir déclarer quatre variables de plus.
+# défauts prod dans la barre commune. La dérivation depuis l'hôte de
+# l'agent évite de devoir déclarer quatre variables de plus.
+# 0.32.2 — couche fautive corrigée : cette dérivation ne couvrait
+# que les URL sœurs, jamais ``agent_url`` lui-même — le panneau
+# recevait donc le défaut prod (agent injoignable, la prod n'étant
+# pas installée) et la console était une page morte sur la dev.
+# Et aucune résolution ne tenait compte de la requête : un hôte
+# public en ``-dev`` sans aucune variable retombait sur la prod.
+# Désormais, pour tout ce qui est rendu à une requête (liens de la
+# barre / DRACO_URLS, source de l'iframe du panneau, origine agent
+# de la CSP) : 1) variable explicite ; 2) hôte public de la
+# requête (motif fermé ci-dessous) ; 3) dérivation par les adresses
+# de l'agent connues en configuration — URL d'événements OU base
+# du service (élargie en 0.32.2) ; 4) défaut officiel.
 _MOTIF_HOTE_AGENT = re.compile(r"agent([a-z0-9-]*)\.dracodev\.net")
+_MOTIF_HOTE_PUBLIC = re.compile(
+    r"(?:og|flowdeck|tiktak|kanbante|agent)([a-z0-9-]*)\.dracodev\.net"
+)
 
 
-def _suffixe_environnement_agent(agent_evenements_url: str) -> str | None:
-    """Suffixe d'environnement lu sur l'hôte de l'agent.
+def _suffixe_depuis_hote(hote: str, motif: re.Pattern) -> str | None:
+    """Suffixe d'environnement porté par un hôte nu, ou ``None``.
 
     Retourne le suffixe (``""`` pour le nom officiel, ``"-dev"``
-    pour la dev) si l'hôte de ``agent_evenements_url`` est de la
-    forme ``agent<SUFFIXE>.dracodev.net`` ; ``None`` hors motif
-    (autre domaine, LAN, IP…) — dans ce cas, aucune dérivation.
+    pour la dev) si l'hôte suit le motif fermé ; ``None`` hors
+    motif (autre domaine, LAN, IP…) — aucune dérivation alors,
+    jamais de suffixe inventé depuis un hôte arbitraire.
+    """
+    correspondance = motif.fullmatch(hote.strip().lower())
+    return correspondance.group(1) if correspondance else None
+
+
+def _suffixe_environnement_agent(url_agent: str) -> str | None:
+    """Suffixe lu sur l'hôte d'une adresse connue de l'agent.
+
+    Vaut pour l'URL d'événements comme pour la base du service :
+    si son hôte est ``agent<SUFFIXE>.dracodev.net``, le suffixe
+    est retourné ; ``None`` hors motif.
     """
     try:
-        hote = urlparse(agent_evenements_url).hostname or ""
+        hote = urlparse(url_agent).hostname or ""
     except ValueError:
         return None
-    motif = _MOTIF_HOTE_AGENT.fullmatch(hote)
-    return motif.group(1) if motif else None
+    return _suffixe_depuis_hote(hote, _MOTIF_HOTE_AGENT)
+
+
+def suffixe_environnement_requete(hote_requete: str | None) -> str | None:
+    """Suffixe lu sur l'hôte public de la requête entrante.
+
+    Motif fermé ``^(og|flowdeck|tiktak|kanbante|agent)<SUFFIXE>
+    \\.dracodev\\.net$`` (suffixe optionnel : vide en prod,
+    ``-dev`` en dev) ; un port éventuel est toléré et retiré.
+    Hors motif (LAN, IP, autre domaine) : ``None`` — l'appelant
+    retombe alors sur la configuration, jamais sur un suffixe
+    deviné.
+    """
+    if not hote_requete:
+        return None
+    hote = hote_requete.strip().lower()
+    if hote.startswith("["):  # littéral IPv6 : jamais dans le motif
+        return None
+    hote = hote.split(":", 1)[0]
+    return _suffixe_depuis_hote(hote, _MOTIF_HOTE_PUBLIC)
 
 
 def _url_soeur_draco(
@@ -233,6 +299,58 @@ def _url_soeur_draco(
     return defaut
 
 
+@dataclass(frozen=True)
+class UrlsDraco:
+    """URL publiques dracodev résolues pour un rendu ou un contexte."""
+
+    sso_url: str  # ObsiGate (lien de barre ; explicite = DRACO_SSO_URL)
+    flowdeck_url: str
+    tiktak_url: str
+    public_url: str  # Kanbante elle-même (KANBANTE_PUBLIC_URL)
+    agent_url: str  # base du service d'agents (panneau + CSP)
+
+
+def resoudre_urls_draco(
+    hote_requete: str | None = None, base: "Settings | None" = None
+) -> UrlsDraco:
+    """Résout les URL publiques pour un rendu à une requête.
+
+    Ordre, par URL : 1) la variable explicite de l'installation —
+    prioritaire, inchangée (``DRACO_SSO_URL`` pour ObsiGate,
+    ``KANBANTE_PUBLIC_URL`` pour Kanbante elle-même, ``AGENT_URL``
+    pour l'agent) ; 2) l'hôte public de la requête, s'il suit le
+    motif fermé dracodev : son suffixe d'environnement (``-dev``,
+    vide en prod) s'applique à toutes les sœurs et à l'agent ;
+    3) à défaut, la valeur de configuration ``base`` (défaut :
+    ``_env_settings()``), qui porte déjà la dérivation par les
+    adresses de l'agent connues (événements ou base du service)
+    puis le défaut officiel — c'est aussi la résolution des
+    contextes sans requête, inchangée.
+    """
+    if base is None:
+        base = _env_settings()
+    suffixe_hote = suffixe_environnement_requete(hote_requete)
+
+    def resoudre(nom_env: str, slug: str, valeur_base: str) -> str:
+        if os.getenv(nom_env):
+            return valeur_base  # explicite : déjà résolue dans base
+        if suffixe_hote is not None:
+            return f"https://{slug}{suffixe_hote}.dracodev.net"
+        return valeur_base
+
+    return UrlsDraco(
+        sso_url=resoudre("DRACO_SSO_URL", "og", base.sso_url),
+        flowdeck_url=resoudre(
+            "DRACO_FLOWDECK_URL", "flowdeck", base.flowdeck_url
+        ),
+        tiktak_url=resoudre("DRACO_TIKTAK_URL", "tiktak", base.tiktak_url),
+        public_url=resoudre(
+            "KANBANTE_PUBLIC_URL", "kanbante", base.public_url
+        ),
+        agent_url=resoudre("AGENT_URL", "agent", base.agent_url),
+    )
+
+
 @dataclass(frozen=True)
 class Settings:
     gitea_url: str = "https://git.dracodev.net"
@@ -293,17 +411,29 @@ def get_settings() -> Settings:
 
 def _env_settings() -> Settings:
     """Build settings from the current environment only."""
-    agent_url = os.getenv(
-        "AGENT_URL", "https://agent.dracodev.net"
+    agent_url_explicite = os.getenv("AGENT_URL")
+    agent_url = (
+        agent_url_explicite or "https://agent.dracodev.net"
     ).rstrip("/")
     agent_evenements_url = (
         os.getenv("AGENT_EVENEMENTS_URL")
         or f"{agent_url}/api/v1/evenements"
     ).rstrip("/")
-    # Origine de l'agent telle que l'app la connaît déjà : c'est
-    # elle qui porte le suffixe d'environnement (-dev…) repris
-    # par les URL sœurs dépourvues de variable explicite.
+    # Origines de l'agent telles que l'app les connaît déjà : elles
+    # portent le suffixe d'environnement (-dev…) repris par les URL
+    # sœurs dépourvues de variable explicite. Dérivation élargie
+    # (0.32.2) : l'URL d'événements d'abord, puis la base du service
+    # elle-même — selon ce que l'installation déclare.
     suffixe_agent = _suffixe_environnement_agent(agent_evenements_url)
+    if suffixe_agent is None:
+        suffixe_agent = _suffixe_environnement_agent(agent_url)
+    # Base du service dérivée à son tour (0.32.2) : sans AGENT_URL
+    # explicite, si l'adresse connue de l'agent est en ``-dev``, le
+    # panneau et la console doivent viser cette même origine —
+    # auparavant agent_url restait au défaut prod, d'où la console
+    # morte sur la dev alors que le journal était bien en dev.
+    if not agent_url_explicite and suffixe_agent is not None:
+        agent_url = f"https://agent{suffixe_agent}.dracodev.net"
     return Settings(
         gitea_url=os.getenv("GITEA_URL", "https://git.dracodev.net").rstrip("/"),
         gitea_token=os.getenv("GITEA_TOKEN", ""),