3 Commits

Include renames

Author	SHA1	Message	Date
Spark	a422c7d713	fix: barre commune — JS livré au bon chemin vendor/, v0.1.4 palier 900 px (7.74.3)	2026-10-21 12:48:11 -04:00
Spark	d8548eede9	feat: Fusion bloc 1 — barre d'apps commune (ACC-1.1, #17) et références croisées external_ref (ACC-1.3, #18)	2026-10-20 23:17:18 -04:00
bruno	069c438aae	fix: A20 phase 2 — chart/leaflet vendorisés + connect-src fermé (v7.27.0) ... - Vendorisation : chart.js 4.5.1 + leaflet 1.9 (leaflet.js, leaflet.css, 5 images marker/layer) vers static/js/vendor/ (déjà ignoré par eslint) ; les 3 URL CDN des vues chart/map (collections.py) pointent en local → la CSP n'a plus AUCUN hôte tiers dans script-src ni style-src. - connect-src fermé : `'self' ws://{host} wss://{host}` — Host de la requête (uvicorn rejette déjà les Host invalides) + filtrage des caractères hors base URL. Le `https:` universel (canal d'exfil) et les ws:/wss: tout-hôtes disparaissent. Grep négatif : 0 fetch cross-origin côté front. - Google Fonts : entrées CSP mortes (0 référence dans le code) retirées de style-src/font-src. - img-src https: CONSERVÉ volontairement (unfurls YouTube/Vimeo… + tuiles OSM inénumérables) — ponytail: commenté dans security.py. Tests : test_csp_no_cdn_and_vendor (CSP sans CDN/Google, connect-src exact 'self' ws://testserver wss://testserver, 4 assets vendor 200, source collections.py sans CDN) + test_view_chart_renders mis à jour (chemin vendor). Suite complète 1090/1090 (1089 + 1). Reste A20 : unsafe-eval (Alpine x-data + htmx hx-on/hx-vars = eval) → build @alpinejs/csp + couverture E2E des vues d'abord (même logique que la décision A39). suite **1090/1090** · ruff OK · docs à jour	2026-10-01 22:49:48 -04:00