feat: A20 phase 3 LOT 1 — shell + library migres, harnais csp_preview vert (v7.38.0)

Ajout :
- e2e/csp_preview.spec.js — apercu CSP strict SANS deployer : le build
  officiel @alpinejs/csp (e2e/fixtures/alpine.csp.js, 0 eval) est servi a
  la place de alpine.min.js par interception Playwright ; toute expression
  que le parseur maison ne digere pas = pageerror (filet). Premiere
  surface VERTE : library (composant lie, icones SVG via Alpine.effect,
  recherche ouverte + focalisee, 0 erreur).

Changed :
- 16 composants x-data="fn()" enregistres via Alpine.data (registre =
  seule resolution du build CSP, probe « Undefined variable » ;
  scripts classiques executes pendant le parsing => alpine:init toujours
  joint) : appState, libraryPage, workspacesPage, editorState, board x4,
  settings/import/table_view/team_load/trash/workspace/welcome/accounts/
  card_detail.
- base.html (shell) migre : x-effect document.* -> syncSidebarClass(),
  $nextTick(arrow) -> initSidebarSort(), window.FlowDeck.* ->
  fdCreatePage/fdCreateFolder/fdGwRefresh, Object.keys/Math.min/
  window.innerWidth dans x-for et :style -> sidebarSections()/
  sectionMenuPos() — tout = simple appel de methode.
- x-html restants du shell -> x-init + Alpine.effect : icone agent,
  carte projet, library x3 ; recherche library -> toggleSearch()
  (Alpine.nextTick) ; openMoveSelected() pour Object.keys en expression.
- eslint : 70 warnings -> 0/0 (globals getCsrf depuis A38 ph1,
  /* exported openCardDetail */ + /* global owner, repo */, 3 ;; residuels).

suite **1093/1093** · ruff OK · eslint 0/0 · E2E 3/3 (csp_preview + smoke x2)
· docs a jour (ROADMAP ph3 LOT 1, CHANGELOG, WORKLOAD, VERSION)

e2e/csp_preview.spec.js

@@ -0,0 +1,90 @@
+const { test, expect } = require('@playwright/test');
+
+/**
+ * Aperçu CSP strict (A20 phase 3) : charge la page avec le build CSP
+ * d'Alpine (fichier officiel `@alpinejs/csp`, 0 eval) servi à la place de
+ * alpine.min.js via interception — SANS déployer. Toute expression que le
+ * parseur maison ne digère pas = pageerror « CSP Parser Error » (filet) ;
+ * les x-html restants = directive interdite du build (console error).
+ * Quand toutes les surfaces passent ici → bascule réelle + retrait
+ * d'unsafe-eval (ROADMAP A20 phase 3).
+ */
+const FD_BASE = process.env.FD_BASE_URL || 'http://localhost:8080';
+const USER = process.env.FD_USER || '[email protected]';
+const PASS = process.env.FD_PASS || 'e2e-secret-123';
+
+test.use({ serviceWorkers: 'block' });
+
+const errors = [];
+test.beforeEach(async ({ page }) => {
+  errors.length = 0;
+  await page.route('**/static/js/alpine.min.js', (route) =>
+    route.fulfill({
+      path: require('path').join(__dirname, 'fixtures', 'alpine.csp.js'),
+      contentType: 'application/javascript',
+    })
+  );
+  page.on('console', (m) => {
+    if (m.type() !== 'error') return;
+    if (/Failed to load resource/.test(m.text())) return;
+    errors.push(m.text());
+  });
+  page.on('pageerror', (e) => errors.push('pageerror: ' + e.message));
+});
+test.afterEach(() => expect(errors).toEqual([]));
+
+async function login(page) {
+  await page.goto(`${FD_BASE}/auth/login?provider=local`, { waitUntil: 'domcontentloaded' });
+  await page.fill('#email', USER);
+  await page.fill('#password', PASS);
+  await page.click('.btn-primary');
+  const ok = await page
+    .waitForURL('**/workspaces', { timeout: 10000 })
+    .then(() => true)
+    .catch(() => false);
+  if (!ok) {
+    const resp = await page.request.post(`${FD_BASE}/auth/register`, {
+      data: { email: USER, password: PASS, name: 'E2E' },
+    });
+    if (resp.status() === 409) throw new Error('compte e2e existant — FD_USER/FD_PASS incorrects');
+    if (!resp.ok()) throw new Error(`register ${resp.status()}: ${await resp.text()}`);
+    await page.goto(`${FD_BASE}/workspaces`, { waitUntil: 'domcontentloaded' });
+    await page.waitForURL('**/workspaces', { timeout: 15000 });
+  }
+}
+
+test('A20-ph3 : library sous build Alpine CSP', async ({ page }) => {
+  await login(page);
+  await page.goto(`${FD_BASE}/library`, { waitUntil: 'domcontentloaded' });
+  await page.waitForTimeout(600);
+
+  // le composant est lié par le registre Alpine.data (scope CSP)
+  const bound = await page.evaluate(() => {
+    const el = document.querySelector('[x-data]');
+    if (!el || !window.Alpine) return 'absent';
+    try {
+      const d = window.Alpine.$data(el);
+      return d && typeof d === 'object' ? 'ok' : 'vide';
+    } catch (e) {
+      return 'throw:' + e.message;
+    }
+  });
+  expect(bound).toBe('ok');
+
+  // icône du empty-state : x-html remplacé par x-init + Alpine.effect
+  await expect(page.locator('#lib-empty .empty-icon')).toBeVisible({ timeout: 8000 });
+  const svg = await page.evaluate(
+    () => document.querySelector('#lib-empty .empty-icon').innerHTML
+  );
+  expect(svg).toContain('<svg');
+
+  // bouton recherche : @click.stop → toggleSearch() (méthode réelle,
+  // Alpine.nextTick pour le focus) — l'expression inline arrow n'existe plus
+  await page.click('.lib-icon-btn[title="Search"]');
+  await expect(page.locator('#lib-search-input')).toBeVisible();
+  await page.waitForTimeout(300);
+  const focused = await page.evaluate(
+    () => document.activeElement && document.activeElement.id === 'lib-search-input'
+  );
+  expect(focused).toBe(true);
+});