fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

- 46 appels non-GET équipés de `X-CSRF-Token` (expression cookie en ligne,
  portée indifférente) : agent_panel (9), settings (12), local_workspace (15),
  gitea_workspace (4), workspace (2), workspaces (5), library (2), welcome (2 en v7.3.5)
- 5 derniers préfixes sortis d'`EXCLUDED_PATHS` : /api/workspace (+/api/workspaces),
  /api/local-workspace, /api/settings, /api/gitea, /api/agent
- il ne reste exempté que : Bearer (/api/webhook, /api/v1, /api/v2, /scim/v2),
  callbacks /auth/*, pages publiques (/s/, /f/), /api/csrf-token et /api/frontend-error
- vérif : `node --check` des <script> des 39 templates → 0 échec (avant et après)
- tests : `anon_csrf()` sur les 5 tests d'anonymat devenus CSRF-first
- suite **1026/1026** · `ruff check app tests` OK

app/middleware/csrf.py

@@ -18,21 +18,20 @@ class CSRFMiddleware(BaseHTTPMiddleware):
     SAFE_METHODS = {"GET", "HEAD", "OPTIONS"}
     # NOTE: ``/scim/v2`` is Bearer-token only (no cookie auth), so CSRF does not
     # apply — IdP SCIM clients (Okta, Entra) cannot send an X-CSRF-Token.
-    # A19 : le CSRF ne s'exempte plus que pour ce qui ne dépend PAS d'un cookie de
-    # session (Bearer, webhooks entrants, callbacks OAuth/SSO, pages publiques,
-    # probe d'infra, remontée d'erreur client).
-    # Retirés après scan du front (tous les appels non-GET envoient déjà
-    # `X-CSRF-Token`) : /db/, /workspace, /workspace/automations,
-    # /board/api/favorites, /api/pages, /api/recents, /api/notifications,
-    # /api/comments, /api/automations, /api/github, /api/admin, /api/onboarding.
-    # Reste A19 (front à équiper d'abord) : /api/workspace (couvre aussi
-    # /api/workspaces), /api/local-workspace, /api/settings, /api/gitea, /api/agent.
+    # A19 — LISTE FINALE : plus aucun préfixe cookie-auth n'est exempté.
+    # Tous les appels non-GET du front envoient désormais `X-CSRF-Token`
+    # (46 sites équipés en v7.3.6 : agent_panel, settings, local_workspace,
+    # library, gitea_workspace, workspace, workspaces, welcome).
+    # Ne restent que du machine-to-machine / hors session :
+    #   - Bearer      : /api/webhook, /api/v1, /api/v2, /scim/v2
+    #   - callbacks    : /auth/* (login, register, SSO, 2FA, WebAuthn)
+    #   - publics      : /s/ (sites), /f/ (forms)
+    #   - infra/diag   : /api/csrf-token (le jeton lui-même), /api/frontend-error
     EXCLUDED_PATHS = {
         "/api/webhook", "/api/v1", "/api/v2", "/scim/v2",
         "/auth/callback", "/auth/register", "/auth/local-login", "/auth/local-verify",
         "/auth/2fa", "/auth/saml", "/auth/oidc", "/auth/webauthn",
-        "/s/", "/f/", "/api/frontend-error", "/api/csrf-token",
-        "/api/workspace", "/api/local-workspace", "/api/settings", "/api/gitea", "/api/agent",
+        "/s/", "/f/", "/api/csrf-token", "/api/frontend-error",
     }
 
     async def dispatch(self, request: Request, call_next):