5 Commits

Include renames

Author	SHA1	Message	Date
bruno	770fdc2b68	fix: A43 TERMINÉ + A38 phase 1 — CSRF rendu côté serveur, helper unique (v7.33.0) ... A43 (les 4 items sont clos) : - `__CSRF_PLACEHOLDER__` supprimé : ContextVar CSRF_TOKEN posée par CSRFMiddleware avant call_next (même mécanique que le nonce CSP), global `{{ csrf_token() }}` dans templating, base.html rend `{"X-CSRF-Token":{{ csrf_token()|tojson }}}` — vide si cookie absent, `htmx:configRequest` re-lit le cookie à chaque appel → plus jamais de jeton factice servi. - Palette : `fetch('/api/search…')` SANS header (GET ∈ SAFE_METHODS → CSRF inapplicable) — le JSON.parse du body-attr par frappe disparaît. - utcnow déprécié = 0 dans app/**.py ; health loggé (A25) + booléens db/ gitea = raison ; probe réseau = voulu (test de connectivité). A38 phase 1 (CSRF unifié) : - `window.getCsrf()` unique dans le <head> de base.html. - 76 lectures brutes du cookie → getCsrf() dans 13 fichiers (47 formes `(…||[])[1]||''`, 25 déclarations `const X = match(…)` avec conversion de leurs usages `X?X[1]:''` → `X` (noms collectés PAR FICHIER, jamais de règle globale), 4 formes espacées). - Définitions dupliquées supprimées : card_detail.html (multi-lignes), database_table.js (1 ligne dans IIFE → chute sur le global). - Les 3 variantes de base.html (IIFE getCsrf + 2 getCsrfToken) → `return getCsrf()`. - welcome.html garde sa lecture locale (page autonome sans base) ; reste exactement 1 raw dans base.html (la déf head) + 2 dans welcome. Test : test_csrf_server_rendered_no_placeholder (pas de placeholder + token du hx-headers == cookie csrf_token). suite **1092/1092** · ruff OK · node --check vert · docs à jour	2026-10-02 08:45:27 -04:00
bruno	c718fe06de	fix: A20 (partiel) — CSP nonce par requête, unsafe-inline sort de script-src (v7.7.0) ... - ContentSecurityPolicyMiddleware : nonce aléatoire par requête dans la ContextVar `CSP_NONCE` (posée avant `call_next` → visible des templates), `script-src 'self' 'unsafe-eval' 'nonce-…'` — plus aucun script inline sans nonce ne tourne (fin des XSS injectés en JS) - 38 tags `<script>` des templates : `nonce="{{ csp_nonce() }}"` (passage scripté, vérifié : 0 restant) ; `LOCAL_LOGIN_HTML` (constante de module) : helper `_with_nonce()` au rendu ; collections.py : 3 scripts Python (chart/form/map) noncés - `<meta name="htmx-config" content='{"inlineScriptNonce": …}'>` dans base.html : htmx ré-injecte les <script> des réponses boostées avec le bon nonce - `script-src-attr 'unsafe-inline'` : les 74 handlers `onclick=` inline restent couverts (le nonce les aurait désactivés aussi) - chart.js (cdn.jsdelivr.net) et leaflet (unpkg) ajoutés à script-src/style-src : vues chart/map déjà BLOQUÉES par la CSP depuis toujours (commentaire ponytail: upgrade = vendoriser puis retirer les hôtes) - reste d'A20 : unsafe-eval (Alpine x-data → @alpinejs/csp), externalisation JS (A27), resserrer img-src/connect-src test : test_csp_nonce_per_request (page base.html + page hors template, nonce unique par requête) suite **1037/1037** · `ruff check app tests` OK · docs à jour	2026-10-01 10:41:39 -04:00
bruno	3b3e95e23a	fix(cloudflare): proteger les scripts inline des pages du Rocket Loader ... Rocket Loader (Cloudflare) reecrit les balises script inline en type=...-text/javascript et les execute de facon differee, ce qui casse l'enregistrement des composants Alpine et l'init des pages lors d'un acces direct via le tunnel (ex. /settings ne se chargeait pas au complet). Ajout de data-cfasync=false sur les scripts inline des pages completes et des partiels du shell (settings, accounts, trash, workspace, board, gitea_workspace, welcome, import, page_editor_collection/embed, _database_table_scripts, _notification_bell, public_page, local_workspace). Les fragments charges via HTMX restent inchanges.	2026-09-13 12:35:28 -04:00
bruno	e707becbf8	feat(nav): partial HTMX navigation — swap main content without full reload ... Intercept internal links and load only .main-wrapper via htmx.ajax, keeping the sidebar/header shell in place. Adds history pushState/popstate handling, sidebar active-state resync and document title update. Moves page script blocks inside #main-content so they run on swap, and makes editor/board scripts idempotent. Routes navigateTo/breadcrumb/library/local-workspace through window.fdNavigate and fixes the duplicated navigateTo definition.	2026-09-12 21:26:56 -04:00
bruno	b60cc8a7c6	feat(collab): v4.9.0 Collaboration - commentaires inline, mentions @, notifications in-app + email	2026-09-04 23:40:21 -04:00