feat: A20 TERMINÉ — Alpine en build CSP, unsafe-eval retiré de la CSP (v7.43.0)

La bascule A20 phase 3 :
- static/js/alpine.csp.min.js (build officiel @alpinejs/csp, 0
  eval/new Function, parseur maison) servi partout : base.html,
  import.html, welcome.html + entree sw.js (cache bump v8).
- CSP : script-src 'self' 'nonce-…' — unsafe-eval SUPPRIMÉ (ne servait
  plus qu'Alpine standard). htmx allowEval:false deja pose (v7.37).
- Assertion test inversée : assert "'unsafe-eval'" not in script_src.
- Scan statique final sur TOUS les templates : 0 expression incompatible
  (4 residus = faux positifs dans des chaines de texte).

Pré-requis réunis par les lots 1-3 : 12 surfaces migrées + gateées
(csp_preview), registres Alpine.data, x-html → x-init+Alpine.effect,
délégués window.E, partage d'état lexical, bug topbar corrigé.

Verifs : suite **1094/1094** · ruff OK · eslint 0/0 · **E2E 7/7 sous
CSP reel** (script-src sans unsafe-eval verifie sur l'instance).

Hors gate (scan propre, gitea down) : board/table_view/teamload/
card_detail → à vérifier au premier usage avec gitea remonté (noté
ROADMAP/CHANGELOG).

app/main.py

@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):
 
 app = FastAPI(
     title="FlowDeck",
-    version="7.42.0",
+    version="7.43.0",
     docs_url="/docs",
     redoc_url="/redoc",
     lifespan=lifespan,

app/middleware/security.py

@@ -71,17 +71,15 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
     # requête — un XSS injecté dans une page ne tourne plus). Les 74 handlers
     # inline `onclick=` restent couverts par `script-src-attr`, explicitement
     # détaché de script-src (sinon le nonce les désactiverait aussi).
-    # `unsafe-eval` : Alpine STANDARD (x-data) en a besoin. htmx n'y touche
-    # plus (`allowEval: false` dans le meta htmx-config — 0 hx-on/hx-vars).
-    # Retrait = A20 phase 3 : build `@alpinejs/csp` (testé : 0 eval, OK sur
-    # probe) mais bloqué par 13 expressions non parsables (arrows/typeof/new/
-    # ?.) + 24 `x-html` réactifs (icônes SVG) → refonte des composants en
-    # Alpine.data — voir ROADMAP.
+    # A20 TERMINÉ : `unsafe-eval` retiré — Alpine tourne en build CSP
+    # (static/js/alpine.csp.min.js, 0 eval) ; htmx allowEval=false.
+    # 15 surfaces en csp_preview vert + scan statique 0 (board/gitea/cards
+    # = props propres, gitea down empêche un gate dédié).
     CSP_VALUE = (
         "default-src 'self'; "
         # A20 phase 2 : chart.js/leaflet vendorisés dans /static/js/vendor
         # (test_csp_no_cdn_and_vendor), plus aucun hôte CDN tiers.
-        "script-src 'self' 'unsafe-eval' 'nonce-{nonce}'; "
+        "script-src 'self' 'nonce-{nonce}'; "
         "script-src-attr 'unsafe-inline'; "
         # ponytail: aucun @font-face Google (grep négatif) → les deux
         # hôtes fonts étaient morts, supprimés.

app/templates/base.html

@@ -126,7 +126,7 @@
     };
   </script>
   <script src="/static/js/htmx.min.js" data-cfasync="false"></script>
-  <script src="/static/js/alpine.min.js" defer data-cfasync="false"></script>
+  <script src="/static/js/alpine.csp.min.js" defer data-cfasync="false"></script>
   <script src="/static/js/sortable.min.js" defer data-cfasync="false"></script>
 </head>
 <body hx-headers='{"X-CSRF-Token":{{ csrf_token() | tojson }}}'{% if embed_mode %} class="embed-mode"{% endif %}>

app/templates/import.html

@@ -5,7 +5,7 @@
 <meta name="viewport" content="width=device-width, initial-scale=1.0">
 <title>Importer — FlowDeck</title>
 <link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
-<script src="/static/js/alpine.min.js" defer data-cfasync="false"></script>
+<script src="/static/js/alpine.csp.min.js" defer data-cfasync="false"></script>
 <style>
 :root{--bg:#191919;--bg2:#1F1F1F;--bg3:#2D2D2D;--border:#333;--text:#fff;--dim:#9B9A97;--accent:#2383E2;--accent-h:#1a6bc0;--success:#0F7B6C;--danger:#E03E3E;--warn:#D9730D;}
 *{margin:0;padding:0;box-sizing:border-box;}

app/templates/welcome.html

@@ -5,7 +5,7 @@
 <meta name="viewport" content="width=device-width, initial-scale=1.0">
 <title>Bienvenue sur FlowDeck</title>
 <link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
-<script src="/static/js/alpine.min.js" defer data-cfasync="false"></script>
+<script src="/static/js/alpine.csp.min.js" defer data-cfasync="false"></script>
 <style>
 :root{--bg:#191919;--bg2:#1F1F1F;--bg3:#2D2D2D;--border:#333;--text:#fff;--dim:#9B9A97;--accent:#2383E2;--accent-h:#1a6bc0;--success:#0F7B6C;--danger:#E03E3E;}
 *{margin:0;padding:0;box-sizing:border-box;}