fix: A10 — autoescape Jinja2 activé partout via un Environment partagé

- `app/templating.py` : `ENV = Environment(loader=FileSystemLoader("app/templates"), autoescape=select_autoescape(["html"]))`
- les 29 instantiations `Environment(loader=FileSystemLoader("app/templates"))` (9 routers) remplacées par `env = ENV` — plus aucune interpolation `{{ … }}` servie crue, les `|safe` redeviennent efficaces
- re-tri des `|safe` : `card_detail.html` corps d'issue et commentaires échappés (XSS stocké), placeholder de description sorti du ternaire, `sidebar_config` passé en dict + `|tojson` (échappement `</script>` en contexte script)
- `|safe` conservé sur `right_actions` (HTML fabriqué dans les templates, fiable)
- `ruff check app tests` OK · suite **1016/1016 verts**

app/templates/base.html

@@ -1370,7 +1370,7 @@
       loadSidebarConfig() {
         var self = this;
         try {
-          var raw = {{ sidebar_config|default('{}')|safe }};
+          var raw = {{ sidebar_config|default({})|tojson }};
           if (raw && raw.config) {
             self.sidebarConfig = raw.config;
           } else if (typeof raw === 'object') {

app/templates/card_detail.html

@@ -45,7 +45,7 @@
   <div style="margin-bottom:16px; padding:12px; background:var(--bg-secondary); border-radius:6px; min-height:60px;"
        contenteditable="true"
        @blur="updateField('body', $event.target.innerHTML)">
-    {{ issue.body|safe if issue.body else '<span style="color:var(--text-dim);">Add description...</span>' }}
+    {% if issue.body %}{{ issue.body }}{% else %}<span style="color:var(--text-dim);">Add description...</span>{% endif %}
   </div>
 
   <!-- Checklists -->
@@ -82,7 +82,7 @@
           <span class="text-dim" style="font-weight:400;">· {{ comment.created_at[:10] }}</span>
         </div>
         <div style="font-size:13px; color:var(--text-primary); line-height:1.5;">
-          {{ comment.body|safe }}
+          {{ comment.body }}
         </div>
       </div>
     </div>