fix: A27 phase 2b — +3 801 L extraits (recette config JSON) (v7.23.0)

4 blocs interpolés extraits avec la recette de la 2a (config JSON inline +
JS statique, substitutions sur le CORPS du bloc) :
- local_workspace.html → local_workspace.js (2 031 L, lw-config :
  current_folder_id, workspace_id)
- settings.html → settings.js (1 093 L, st-config : avatar, user
  full_name/login/email, is_admin (bool), auth_method — 2 routes rendent ce
  template, expressions « or "" » préservées pour les valeurs Undefined)
- _page_editor_realtime.html → page_editor_realtime.js (531 L, rt-config :
  SELF id/login/full_name/color)
- board.html → board.js (146 L, bd-config : owner/repo/initial_view)

BONUS sécurité : les valeurs passent par |tojson (échappement JSON explicite)
au lieu d'être interpolées dans des strings JS. Tags : config JSON (nonce
conservé) + <script src> ?v={{ asset_version }} ; loaders JSON.parse en tête
(try/catch → {}). Correctif sur le loader (accolade try en trop, caught par
node --check avant tout commit).

Cumul A27 : 10 560 L extraites (13 904 → 3 344 restantes, -76 %).
Reste structurel : base 1 338 ({% block %}/{% for %}) + database_table 1 323
(if/else) + 279 warnings eslint (12 fichiers, 0 erreur).

suite **1089/1089** · ruff OK · node --check ×4 vert · docs à jour

CHANGELOG.md

@@ -1,5 +1,35 @@
 # Changelog - FlowDeck
 
+## v7.23.0 (2026-10-01) — Audit : A27 phase 2b (+3 801 L)
+
+### Changed
+
+- **A27 (phase 2b)** — 4 blocs interpolés extraits avec la recette config
+  JSON (identique à la 2a) :
+  · `local_workspace.html` → `local_workspace.js` (2 031 L, `lw-config` :
+    current_folder_id, workspace_id)
+  · `settings.html` → `settings.js` (1 093 L, `st-config` : avatar_url,
+    avatar_color, user full_name/login/email, is_admin, auth_method —
+    **2 routes rendent ce template**, les expressions `or ""` sont préservées
+    pour les valeurs Undefined, `is_admin` reste un booléen)
+  · `_page_editor_realtime.html` → `page_editor_realtime.js` (531 L,
+    `rt-config` : SELF id/login/full_name/color)
+  · `board.html` → `board.js` (146 L, `bd-config` : owner/repo/initial_view)
+- BONUS sécurité : les valeurs passent par `|tojson` (échappement JSON
+  explicite) au lieu d'être interpolées dans des strings JS
+- Tags : config JSON inline (nonce conservé) + `<script src>` avec
+  `?v={{ asset_version }}` ; loaders `XX = JSON.parse(#xx-config)` en tête
+  des fichiers extraits (try/catch → `{}`)
+
+### Notes
+
+- **Cumul A27 : 10 560 L extraites** (13 904 → **3 344 restantes**, -76 %)
+- `node --check` vert sur les 4 fichiers ; eslint : **0 erreur, 279 warnings**
+  (12 fichiers, baseline mise à jour)
+- Reste structurel : `base` 1 338 (`{% block %}`/`{% for %}` — reste inline
+  par nature) + `database_table` 1 323 (`if/else` sur collection_data)
+- Suite complète : **1089/1089**
+
 ## v7.22.0 (2026-10-01) — Audit : A27 phase 2a (l'éditeur, 2 516 L)
 
 ### Changed