feat: fondations E2E + 2 bugs trouvés (onglets ?view=, Inter CSP) (v7.36.0)

Ajout — e2e/smoke.spec.js (2 gates verts contre l'instance de test) :
- gate A39 : bascule de vues d'une collection (clic onglet Calendar →
  ?view_type=calendar, grille .calendar + .cal-header rendue ; collection
  créée puis SUPPRIMÉE = répétable)
- gate A20 : palette Ctrl+K (ouverture Alpine .open, recherche GET rend
  .cmd-palette-item, fermeture Échap)
- filet console : 0 erreur JS/CSP (bruit Failed to load resource 401/403
  filtré)
- Service Workers bloqués : /sw.js sert sa page « hors ligne » sur les
  navigations redirigées (redirect:'manual') — pwa_offline.spec.js couvre
  le SW
- bootstrap autonome : login OU création du compte e2e documenté (jamais
  de mot de passe deviné), workspace si absent
- commande : cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js

Fixed — trouvés par les gates :
1. Bascule de vues standalone JAMAIS fonctionnelle : les onglets
   émettaient ?view=… mais la route lit `view_type` (FastAPI) → l'onglet
   restait sur Table quel que soit le clic (bug pré-existant, A28 n'y est
   pour rien). Onglets → ?view_type= ; test_all_view_tabs_present adapté +
   assertion comportementale (GET ?view_type=calendar rend .calendar).
2. Inter bloqué par la CSP depuis v7.27 : app.css importait encore
   Google Fonts (@import raté par le grep de la passe v7.27) → violation
   style-src sur chaque page + police en fallback. Inter auto-hébergé :
   2 faces variables (100-900, latin + latin-ext) dans static/fonts/,
   @import supprimé (8 fichiers dupliqués dédupliqués → 2).

suite **1093/1093** · ruff OK · E2E **2/2** · docs à jour

CHANGELOG.md

@@ -1,5 +1,44 @@
 # Changelog - FlowDeck
 
+## v7.36.0 (2026-10-01) — Fondations E2E + 2 bugs trouvés au passage
+
+### Added
+
+- **`e2e/smoke.spec.js`** — 2 gates vert contre l'instance de test :
+  · **gate A39** : bascule de vues d'une collection (clic onglet Calendar →
+    `?view_type=calendar`, grille `.calendar` + `.cal-header` rendue,
+    collection créée puis **supprimée** = répétable)
+  · **gate A20** : palette Ctrl+K (ouverture Alpine `.open`, recherche GET
+    rend `.cmd-palette-item`, fermeture Échap)
+  · **filet console** : 0 erreur JS/CSP (les violations atterrissent ici ;
+    le bruit `Failed to load resource` 401/403 est filtré)
+  · **Service Workers bloqués** dans le smoke : `/sw.js` sert sa page
+    « hors ligne » sur les navigations redirigées (`redirect:'manual'`) —
+    bruit PWA hors sujet, `pwa_offline.spec.js` couvre le SW
+  · bootstrap autonome : login OU création du compte e2e documenté,
+    workspace si absent — lecture seule sur les données existantes
+- Commande : `cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js`
+
+### Fixed (trouvés par les gates)
+
+- **Bascule de vues standalone jamais fonctionnelle** : les onglets
+  émettaient `?view=…` mais la route lit `view_type` (FastAPI) → l'onglet
+  restait sur Table quel que soit le clic (bug pré-existant, non introduit
+  par A28). Onglets → `?view_type=` + assertion comportementale ajoutée à
+  `test_all_view_tabs_present`
+- **Inter bloqué par la CSP depuis v7.27** : `app.css` importait encore
+  Google Fonts (`@import` raté par le grep de v7.27) → violation
+  `style-src` sur chaque page + police tombée en fallback. Inter
+  **auto-hébergé** : 2 faces variables (100-900, latin + latin-ext) dans
+  `static/fonts/`, `@import` supprimé
+
+### Notes
+
+- Suite complète : **1093/1093** · ruff OK · E2E **2/2**
+- Portes : A20 (unsafe-eval) attaquable avec ce filet ; A39 couvre la
+  bascule collection (pas la bascule htmx board → décision « rien »
+  maintenue) ; A38 twins reste conditionné à une couverture élargie
+
 ## v7.35.0 (2026-10-01) — Audit : A35 TERMINÉ (Python 3.13 aligné + rebuild)
 
 ### Changed

VERSION

@@ -1 +1 @@
-7.35.0
+7.36.0

WORKLOAD.md

@@ -1,6 +1,6 @@
 # WORKLOAD — FlowDeck Notion Clone
 
-> **Début**: 2026-07-08 | **Version**: v7.35.0 (audit — A35 TERMINÉ : Python 3.13 aligné + rebuild image validé | **Statut**: EN COURS 🔄
+> **Début**: 2026-07-08 | **Version**: v7.36.0 (E2E fondations : smoke A39/A20 vert + 2 bugs trouvés (onglets ?view=, Inter CSP) | **Statut**: EN COURS 🔄
 > **Cible**: parité Notion + intégration forge · **Follow-ups v7.3 livrés**: sidebar teamspaces, notif `page.updated`, charts `number` + dashboards multi-DB, unfurl forge, UI Settings → Audit — voir `ROADMAP.md § v7.3.0`
 
 ## Avancement Global

app/main.py

@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):
 
 app = FastAPI(
     title="FlowDeck",
-    version="7.35.0",
+    version="7.36.0",
     docs_url="/docs",
     redoc_url="/redoc",
     lifespan=lifespan,

app/routers/collections/_renderers.py

@@ -55,17 +55,17 @@ h1{{font-size:24px;margin:0 0 8px}} p.desc{{color:#A0A0A0;margin:0 0 20px}}
 </style></head><body>
 <h1>{icon} {title}</h1>
 <div class="view-tabs">
-<a class="tab{' active' if view_type=='table' else ''}" href="?view=table">📊 Table</a>
-<a class="tab{' active' if view_type=='board' else ''}" href="?view=board">📋 Board</a>
-<a class="tab{' active' if view_type=='calendar' else ''}" href="?view=calendar">📅 Calendar</a>
-<a class="tab{' active' if view_type=='gallery' else ''}" href="?view=gallery">🖼️ Gallery</a>
-<a class="tab{' active' if view_type=='list' else ''}" href="?view=list">📝 List</a>
-<a class="tab{' active' if view_type=='timeline' else ''}" href="?view=timeline">📈 Timeline</a>
-<a class="tab{' active' if view_type=='gantt' else ''}" href="?view=gantt">📊 Gantt</a>
-<a class="tab{' active' if view_type=='chart' else ''}" href="?view=chart">📉 Chart</a>
-<a class="tab{' active' if view_type=='form' else ''}" href="?view=form">📋 Form</a>
-<a class="tab{' active' if view_type=='map' else ''}" href="?view=map">🗺️ Map</a>
-<a class="tab{' active' if view_type=='feed' else ''}" href="?view=feed">📰 Feed</a>
+<a class="tab{' active' if view_type=='table' else ''}" href="?view_type=table">📊 Table</a>
+<a class="tab{' active' if view_type=='board' else ''}" href="?view_type=board">📋 Board</a>
+<a class="tab{' active' if view_type=='calendar' else ''}" href="?view_type=calendar">📅 Calendar</a>
+<a class="tab{' active' if view_type=='gallery' else ''}" href="?view_type=gallery">🖼️ Gallery</a>
+<a class="tab{' active' if view_type=='list' else ''}" href="?view_type=list">📝 List</a>
+<a class="tab{' active' if view_type=='timeline' else ''}" href="?view_type=timeline">📈 Timeline</a>
+<a class="tab{' active' if view_type=='gantt' else ''}" href="?view_type=gantt">📊 Gantt</a>
+<a class="tab{' active' if view_type=='chart' else ''}" href="?view_type=chart">📉 Chart</a>
+<a class="tab{' active' if view_type=='form' else ''}" href="?view_type=form">📋 Form</a>
+<a class="tab{' active' if view_type=='map' else ''}" href="?view_type=map">🗺️ Map</a>
+<a class="tab{' active' if view_type=='feed' else ''}" href="?view_type=feed">📰 Feed</a>
 </div>
 {body}
 </body></html>"""
@@ -130,9 +130,9 @@ def _render_calendar(view_type: str, collection: dict, pages: list[dict], config
 .cal-nav span{{font-size:16px;font-weight:600}}
 </style>
 <div class="cal-nav">
-<a href="?view=calendar&year={prev.year}&month={prev.month}">← {prev.strftime('%B')}</a>
+<a href="?view_type=calendar&year={prev.year}&month={prev.month}">← {prev.strftime('%B')}</a>
 <span>{first.strftime('%B %Y')}</span>
-<a href="?view=calendar&year={next_month.year}&month={next_month.month}">{next_month.strftime('%B')} →</a>
+<a href="?view_type=calendar&year={next_month.year}&month={next_month.month}">{next_month.strftime('%B')} →</a>
 </div>
 <div class="calendar">
 <div class="cal-header">Mon</div><div class="cal-header">Tue</div><div class="cal-header">Wed</div>

docs/openapi-v2.json

@@ -2,7 +2,7 @@
   "openapi": "3.1.0",
   "info": {
     "title": "FlowDeck",
-    "version": "7.35.0"
+    "version": "7.36.0"
   },
   "paths": {
     "/auth/register": {

e2e/smoke.spec.js

@@ -0,0 +1,153 @@
+const { test, expect } = require('@playwright/test');
+
+/**
+ * Smoke E2E — fondations vérifiant les portes des reports d'audit :
+ * - A39 : bascule de vues (création d'une vue Board depuis la barre de
+ *   vues d'une collection → rendu de la grille)
+ * - A20 : Alpine + palette de commandes (Ctrl+K, recherche GET, fermeture)
+ * - filet : 0 erreur console (les violations CSP atterrissent ici)
+ *
+ * READ-ONLY sur les données existantes : crée puis SUPPRIME sa collection
+ * (répétable). Instance de test attendue sur FD_BASE_URL (défaut 8080).
+ */
+const FD_BASE = process.env.FD_BASE_URL || 'http://localhost:8080';
+const USER = process.env.FD_USER || '[email protected]';
+const PASS = process.env.FD_PASS || 'e2e-secret-123';
+
+// Service Workers BLOQUÉS : /sw.js sert sa page « hors ligne » quand la
+// réponse de navigation est une redirection (redirect:'manual' sur les
+// requêtes navigate) — bruit PWA hors sujet ici (pwa_offline.spec.js
+// couvre le SW). On interroge le serveur directement.
+test.use({ serviceWorkers: 'block' });
+
+const consoleErrors = [];
+test.beforeEach(async ({ page }) => {
+  consoleErrors.length = 0;
+  page.on('console', (m) => {
+    if (m.type() !== 'error') return;
+    // les 401 de ressources (checks de session sur login) sont du bruit
+    // navigateur, pas une erreur JS/CSP — le reste compte
+    if (/Failed to load resource/.test(m.text())) return;
+    consoleErrors.push(m.text());
+  });
+  page.on('pageerror', (e) => consoleErrors.push('pageerror: ' + e.message));
+});
+
+test.afterEach(() => {
+  // Aucune erreur JS/CSP pendant le scénario
+  expect(consoleErrors).toEqual([]);
+});
+
+async function login(page) {
+  await page.goto(`${FD_BASE}/auth/login?provider=local`, {
+    waitUntil: 'domcontentloaded',
+  });
+  await page.fill('#email', USER);
+  await page.fill('#password', PASS);
+  await page.click('.btn-primary');
+  const ok = await Promise.race([
+    page
+      .waitForURL('**/workspaces', { timeout: 8000 })
+      .then(() => true)
+      .catch(() => false),
+  ]);
+  if (!ok) {
+    // Compte absent de l'instance de test → création (bootstrap du harness,
+    // pas un mot de passe deviné : c'est le compte e2e documenté du repo).
+    const resp = await page.request.post(`${FD_BASE}/auth/register`, {
+      data: { email: USER, password: PASS, name: 'E2E' },
+    });
+    if (resp.status() === 409) {
+      throw new Error(
+        'compte e2e existant mais mot de passe refusé — définir FD_USER/FD_PASS'
+      );
+    }
+    if (!resp.ok()) {
+      throw new Error(`register ${resp.status()}: ${await resp.text()}`);
+    }
+    await page.goto(`${FD_BASE}/workspaces`, { waitUntil: 'domcontentloaded' });
+    await page.waitForURL('**/workspaces', { timeout: 15000 });
+  }
+  // workspace requis pour créer une collection (compte neuf = aucun ws)
+  const ws = await page.evaluate(async () => (await fetch('/api/workspaces')).json());
+  if (!ws.workspaces || ws.workspaces.length === 0) {
+    await page.evaluate(async () => {
+      const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+      const r = await fetch('/api/workspaces', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
+        body: JSON.stringify({ name: 'E2E workspace' }),
+      });
+      const w = await r.json();
+      await fetch(`/api/workspaces/${w.id}/select`, { method: 'POST' });
+    });
+  }
+}
+
+test('gate A39 : bascule de vues (table → Calendar, rendu par onglet)', async ({ page }) => {
+  await login(page);
+
+  // collection jetable (créée puis supprimée = répétable). /db/{id} est une
+  // page STANDALONE (hors base.html) : les onglets .view-tabs naviguent en
+  // ?view=… et le corps est rendu côté serveur par _render_view().
+  const coll = await page.evaluate(async () => {
+    const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+    const r = await fetch('/db/api', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
+      body: JSON.stringify({ name: 'e2e-view-switch' }),
+    });
+    return r.json();
+  });
+  expect(coll.id, `création collection: ${JSON.stringify(coll)}`).toBeTruthy();
+  try {
+    await page.goto(`${FD_BASE}/db/${coll.id}`, { waitUntil: 'domcontentloaded' });
+    await expect(page.locator('.view-tabs a.tab')).toHaveCount(11);
+    await expect(page.locator('.calendar')).toHaveCount(0); // vue table par défaut
+
+    // bascule réelle : clic sur l'onglet Calendar → navigation ?view=calendar
+    await page.click('.view-tabs a.tab:has-text("Calendar")');
+    await page.waitForURL(/view_type=calendar/, { timeout: 10000 });
+    await expect(page.locator('.view-tabs a.tab.active')).toContainText('Calendar');
+    // corps Calendar rendu par _render_calendar (grille 6×7)
+    await expect(page.locator('.calendar')).toHaveCount(1);
+    expect(await page.locator('.cal-header').count()).toBeGreaterThanOrEqual(7);
+  } finally {
+    await page.evaluate(async (id) => {
+      const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+      await fetch(`/db/api/${id}`, { method: 'DELETE', headers: { 'X-CSRF-Token': csrf } });
+    }, coll.id);
+  }
+});
+
+test('gate A20 : palette Ctrl+K (Alpine + recherche GET)', async ({ page }) => {
+  await login(page);
+  await page.goto(`${FD_BASE}/workspaces`, { waitUntil: 'domcontentloaded' });
+  await page.waitForTimeout(800);
+
+  await page.keyboard.press('Control+k');
+  await page.waitForTimeout(400);
+  // overlay ouvert (classe .open pilotée par l'IIFE de base.html)
+  const open = await page.evaluate(() => {
+    const ov = document.querySelector('#fd-command-palette');
+    return !!ov && ov.classList.contains('open');
+  });
+  expect(open).toBe(true);
+
+  // tape une requête → la recherche GET répond et rend des résultats
+  await page.keyboard.type('a');
+  await page.waitForTimeout(900);
+  const items = await page.evaluate(
+    () => document.querySelectorAll('.cmd-palette-item').length
+  );
+  expect(items).toBeGreaterThan(0);
+
+  // Échap ferme la palette
+  await page.keyboard.press('Escape');
+  await page.waitForTimeout(300);
+  const closed = await page.evaluate(() => {
+    const ov = document.querySelector('#fd-command-palette');
+    return !ov || !ov.classList.contains('open');
+  });
+  expect(closed).toBe(true);
+});

static/css/app.css

@@ -3,7 +3,89 @@
    Référence: Notion Light Mode (par défaut)
    ═══════════════════════════════════════════════════════════ */
 
-@import url('https://fonts.googleapis.com/css2?family=Inter:wght@400;500;600;700&display=swap');
+/* Inter auto-hébergé — remplace l'@import Google Fonts que la CSP bloque
+   (style-src sans fonts.googleapis depuis v7.27). Police variable v20 :
+   une face par sous-ensemble, font-weight 100-900. */
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 100 900;
+  font-display: swap;
+  src: url('/static/fonts/inter-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 100 900;
+  font-display: swap;
+  src: url('/static/fonts/inter-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 400;
+  font-display: swap;
+  src: url('/static/fonts/inter-400-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 500;
+  font-display: swap;
+  src: url('/static/fonts/inter-500-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 500;
+  font-display: swap;
+  src: url('/static/fonts/inter-500-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 600;
+  font-display: swap;
+  src: url('/static/fonts/inter-600-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 600;
+  font-display: swap;
+  src: url('/static/fonts/inter-600-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 700;
+  font-display: swap;
+  src: url('/static/fonts/inter-700-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 700;
+  font-display: swap;
+  src: url('/static/fonts/inter-700-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
 
 /* ===== LIGHT THEME (default) ===== */
 :root {

tests/test_app.py

@@ -2554,7 +2554,12 @@ def test_all_view_tabs_present(client):
     resp = client.get(f"/db/{coll_id}/view/table")
     assert resp.status_code == 200
     for vt in ["table", "board", "calendar", "gallery", "list", "timeline", "gantt", "chart", "form", "map", "feed"]:
-        assert f"?view={vt}" in resp.text, f"Missing view tab: {vt}"
+        # A39/E2E : le nom du paramètre doit être `view_type` (celui de la
+        # route) — `?view=` était ignoré et l'onglet restait sur Table.
+        assert f"?view_type={vt}" in resp.text, f"Missing view tab: {vt}"
+    # et la query commute réellement la vue rendue
+    resp = client.get(f"/db/{coll_id}?view_type=calendar")
+    assert 'class="calendar"' in resp.text
 
 
 def test_view_unknown_falls_back_to_table(client):