feat: A20 — htmx allowEval off + plan Alpine CSP phase 3 scopé par probes (v7.37.0)

Changed :
- htmx `allowEval: false` dans le meta htmx-config (base.html) : plus
  d'évaluation JS côté htmx (hx-on/hx-vars/hx-vals = 0 usage grep → zéro
  régression possible) ; unsafe-eval reste UNIQUEMENT pour Alpine standard.
- Gate E20 renforcée : le smoke vérifie que `Alpine.$data()` lie un vrai
  composant [x-data] de la page (lien composant = cœur de toute bascule CSP).
- sw.js : cache bump flowdeck-v7 (purge + re-precache après Inter).

Probes (non conservés, retirés après mesure) — A20 phase 3 scopée :
- Build `@alpinejs/csp` téléchargé et TESTÉ : 72 Ko, 0 eval/new Function,
  parseur d'expressions maison, tourne sous CSP strict (meta sans
  unsafe-eval) — le lint sélectif fonctionne.
- Mais bloqué sur FlowDeck :
  (a) 13 expressions non parsables par la grammaire restreinte
      (arrows ×2, typeof ×1, new Date ×4, optional-chaining ×6 ;
       base, library, local_workspace, settings, gitea_workspace) —
      le gate E2E a attrapé la première : `CSP Parser Error: Unexpected
      token: PUNCTUATION ")"` ;
  (b) 24 `x-html` réactifs (icônes SVG + markdown agent + preview) =
      INTERDITS par le build CSP (innerHTML) → architecture d'icônes à
      reposer ;
  (c) scope des expressions CSP = données du composant uniquement
      (probe : `Undefined variable: fmtDate` / `document`) → chaque site
      devient une méthode Alpine.data enregistrée.
- Conséquence : build CSP reverté (alpine.min.js ×3 templates + sw),
  unsafe-eval maintenu, fichier alpine.csp.min.js retiré (re-téléchargeable),
  assert test CSP de nouveau `in`. Plan de migration composant par composant
  (library → settings → local_workspace → gitea → base) + gate E2E par
  surface documenté dans ROADMAP (A20 phase 3).

suite **1093/1093** · ruff OK · E2E **2/2** (dont assertion Alpine.$data)
· docs à jour (ROADMAP A20 phase 3, CHANGELOG, WORKLOAD, VERSION)

app/main.py

@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):
 
 app = FastAPI(
     title="FlowDeck",
-    version="7.36.0",
+    version="7.37.0",
     docs_url="/docs",
     redoc_url="/redoc",
     lifespan=lifespan,

app/middleware/security.py

@@ -71,14 +71,16 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
     # requête — un XSS injecté dans une page ne tourne plus). Les 74 handlers
     # inline `onclick=` restent couverts par `script-src-attr`, explicitement
     # détaché de script-src (sinon le nonce les désactiverait aussi).
-    # `unsafe-eval` reste : Alpine (x-data en string) et htmx (hx-vars) en ont
-    # besoin → à retirer avec le build CSP d'Alpine (voir reste d'A20).
+    # `unsafe-eval` : Alpine STANDARD (x-data) en a besoin. htmx n'y touche
+    # plus (`allowEval: false` dans le meta htmx-config — 0 hx-on/hx-vars).
+    # Retrait = A20 phase 3 : build `@alpinejs/csp` (testé : 0 eval, OK sur
+    # probe) mais bloqué par 13 expressions non parsables (arrows/typeof/new/
+    # ?.) + 24 `x-html` réactifs (icônes SVG) → refonte des composants en
+    # Alpine.data — voir ROADMAP.
     CSP_VALUE = (
         "default-src 'self'; "
         # A20 phase 2 : chart.js/leaflet vendorisés dans /static/js/vendor
         # (test_csp_no_cdn_and_vendor), plus aucun hôte CDN tiers.
-        # `unsafe-eval` reste : Alpine (x-data) + htmx (hx-on/hx-vars) en
-        # ont besoin → retrait avec le build CSP d'Alpine (reste d'A20).
         "script-src 'self' 'unsafe-eval' 'nonce-{nonce}'; "
         "script-src-attr 'unsafe-inline'; "
         # ponytail: aucun @font-face Google (grep négatif) → les deux

app/templates/base.html

@@ -115,7 +115,7 @@
   </style>
   {# A20 : htmx copie les <script nonce="{{ csp_nonce() }}"> des réponses boostées — il remet leur nonce
      depuis cette config (le nonce de la réponse courante, pas celui du fetch). #}
-  <meta name="htmx-config" content='{"inlineScriptNonce": "{{ csp_nonce() }}"}'>
+  <meta name="htmx-config" content='{"inlineScriptNonce": "{{ csp_nonce() }}", "allowEval": false}'>
   <script nonce="{{ csp_nonce() }}">
     // A38 : helper CSRF unique — défini le plus tôt possible (head) pour
     // tous les scripts inline/externes de la page (welcome.html, isolé de