fix: BUG TOPBAR — boutons du header servis échappés sur toutes les pages (v7.42.0)

Cause racine : {% set right_actions = '…' ~ fd_icon(…) ~ '…' %} —
fd_icon est une macro → Markup, et Markup.__radd__/__add__ ÉCHAPPE ses
arguments str → tous les segments littéraux sortent entité-és ("/<),
et le |safe de _header:141 est no-op sur un Markup déjà échappé.
Régression probable depuis A10 (activation d'autoescape).

Fix (5 templates, forme idiomatique) : conversion en block-set
{% set right_actions %}…{{ fd_icon(…) }}…{% endset %} — source brute,
interpolation Markup brute : gitea_workspace, page_editor,
page_editor_collection, workspace, workspaces. (Piège script : regex
greedy multi-lignes avalait le set suivant → matcher sur UNE ligne.)

Tests :
- NOUVEAU tests/test_topbar_right_actions.py (permanent) : /workspaces
  doit servir class="topbar-btn" parsé et ZÉRIE entité "
- gate éditeur CSP : assertion .star-btn RÉTABLIE (les boutons rendent)
- debug temporaires (DBGCLS/DBGVAL) retirés

suite **1094/1094** (+1 nouveau test) · ruff OK · E2E **7/7** (5
csp_preview + 2 smoke) · docs à jour (CHANGELOG détail, ROADMAP bug →
CORRIGÉ)

e2e/csp_preview.spec.js

@@ -134,10 +134,9 @@ test('A20-ph3 : éditeur de page (right_actions) sous build CSP', async ({ page
     });
     expect(editor.delegates).toBe('ok');
     expect(editor.ed).toBe('ok');
-    // (le rendu des boutons right_actions est cassé côté SERVEUR —
-    //  entities " sur TOUTES les pages, régression pré-existante
-    //  documentée au ROADMAP — donc on n'asserte pas leur présence ;
-    //  le filet 0-erreur = les expressions évaluées sont parsables.)
+    // les boutons du topbar sont réellement servis (bug A10 « ~ + Markup »
+    // corrigé : block-set) ET leurs expressions passent le filet CSP
+    await expect(page.locator('.star-btn').first()).toBeAttached();
   } finally {
     await page.evaluate(async (id) => {
       const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';