fix: A20 (partiel) — CSP nonce par requête, unsafe-inline sort de script-src (v7.7.0)

- ContentSecurityPolicyMiddleware : nonce aléatoire par requête dans la
  ContextVar `CSP_NONCE` (posée avant `call_next` → visible des templates),
  `script-src 'self' 'unsafe-eval' 'nonce-…'` — plus aucun script inline
  sans nonce ne tourne (fin des XSS injectés en JS)
- 38 tags `<script>` des templates : `nonce="{{ csp_nonce() }}"` (passage
  scripté, vérifié : 0 restant) ; `LOCAL_LOGIN_HTML` (constante de module) :
  helper `_with_nonce()` au rendu ; collections.py : 3 scripts Python
  (chart/form/map) noncés
- `<meta name="htmx-config" content='{"inlineScriptNonce": …}'>` dans base.html
  : htmx ré-injecte les <script> des réponses boostées avec le bon nonce
- `script-src-attr 'unsafe-inline'` : les 74 handlers `onclick=` inline
  restent couverts (le nonce les aurait désactivés aussi)
- chart.js (cdn.jsdelivr.net) et leaflet (unpkg) ajoutés à script-src/style-src
  : vues chart/map déjà BLOQUÉES par la CSP depuis toujours
  (commentaire ponytail: upgrade = vendoriser puis retirer les hôtes)
- reste d'A20 : unsafe-eval (Alpine x-data → @alpinejs/csp), externalisation
  JS (A27), resserrer img-src/connect-src

test : test_csp_nonce_per_request (page base.html + page hors template,
nonce unique par requête)

suite **1037/1037** · `ruff check app tests` OK · docs à jour

tests/test_audit_p0_fixes.py

@@ -215,6 +215,61 @@ def test_columns_helper_validates_table_name():
     conn.close()
 
 
+def _assert_nonce(csp: str, html: str) -> str:
+    """Header CSP : script-src sans unsafe-inline + TOUS les scripts inline noncés."""
+    import re as _re
+
+    m = _re.search(r"script-src ([^;]*);", csp)
+    assert m, csp
+    script_src = m.group(1)
+    nm = _re.search(r"'nonce-([^']+)'", script_src)
+    assert nm, script_src
+    nonce = nm.group(1)
+    assert "'unsafe-inline'" not in script_src, script_src
+    assert "'unsafe-eval'" in script_src  # Alpine/htmx — reste d'A20
+    assert "script-src-attr 'unsafe-inline'" in csp
+    tags = [
+        mm.group(0)
+        for mm in _re.finditer(r"<script[^>]*>", html)
+        if "src=" not in mm.group(0)
+    ]
+    assert tags, "aucun script inline"
+    missing = [t for t in tags if f'nonce="{nonce}"' not in t]
+    assert missing == [], missing[:3]
+    return nonce
+
+
+def test_csp_nonce_per_request(client):
+    """A20 : nonce par requête — page base.html (avec meta htmx-config) et page
+    hors template (LOCAL_LOGIN_HTML, constante de module → nonce au rendu)."""
+    # 1) une page qui étend base.html (la meta htmx-config y est)
+    base = None
+    for url in ("/", "/dashboard", "/board", "/notes", "/settings", "/workspaces"):
+        cand = client.get(url)
+        if cand.status_code == 200 and "htmx-config" in cand.text:
+            base = cand
+            break
+    assert base is not None, "aucune page base.html atteignable"
+    nonce = _assert_nonce(base.headers.get("content-security-policy", ""), base.text)
+    assert f'"inlineScriptNonce": "{nonce}"' in base.text
+    # deux requêtes = deux nonces différents
+    other = client.get("/dashboard")
+    if other.status_code == 200 and "htmx-config" in other.text:
+        other_nonce = _re_search_nonce(other.headers.get("content-security-policy", ""))
+        assert other_nonce != nonce
+
+    # 2) la page de login hors template (script injecté par _with_nonce)
+    r = client.get("/auth/login?provider=local")
+    assert r.status_code == 200, r.status_code
+    _assert_nonce(r.headers.get("content-security-policy", ""), r.text)
+
+
+def _re_search_nonce(csp: str) -> str:
+    import re as _re
+
+    return _re.search(r"'nonce-([^']+)'", _re.search(r"script-src ([^;]*);", csp).group(1)).group(1)
+
+
 def test_no_duplicate_routes():
     """A24 : deux routes même méthode+chemin → l'une écrase silencieusement l'autre."""
     from app.main import app