bruno
6ff88237fc
feat: A20 phase 3 LOT 1 — shell + library migres, harnais csp_preview vert (v7.38.0)
...
FlowDeck CI / lint (push) Successful in 1m56s
FlowDeck CI / test (push) Successful in 15m32s
FlowDeck CI / docker (push) Successful in 1m51s
Ajout :
- e2e/csp_preview.spec.js — apercu CSP strict SANS deployer : le build
officiel @alpinejs/csp (e2e/fixtures/alpine.csp.js, 0 eval) est servi a
la place de alpine.min.js par interception Playwright ; toute expression
que le parseur maison ne digere pas = pageerror (filet). Premiere
surface VERTE : library (composant lie, icones SVG via Alpine.effect,
recherche ouverte + focalisee, 0 erreur).
Changed :
- 16 composants x-data="fn()" enregistres via Alpine.data (registre =
seule resolution du build CSP, probe « Undefined variable » ;
scripts classiques executes pendant le parsing => alpine:init toujours
joint) : appState, libraryPage, workspacesPage, editorState, board x4,
settings/import/table_view/team_load/trash/workspace/welcome/accounts/
card_detail.
- base.html (shell) migre : x-effect document.* -> syncSidebarClass(),
$nextTick(arrow) -> initSidebarSort(), window.FlowDeck.* ->
fdCreatePage/fdCreateFolder/fdGwRefresh, Object.keys/Math.min/
window.innerWidth dans x-for et :style -> sidebarSections()/
sectionMenuPos() — tout = simple appel de methode.
- x-html restants du shell -> x-init + Alpine.effect : icone agent,
carte projet, library x3 ; recherche library -> toggleSearch()
(Alpine.nextTick) ; openMoveSelected() pour Object.keys en expression.
- eslint : 70 warnings -> 0/0 (globals getCsrf depuis A38 ph1,
/* exported openCardDetail */ + /* global owner, repo */, 3 ;; residuels).
suite **1093/1093** · ruff OK · eslint 0/0 · E2E 3/3 (csp_preview + smoke x2)
· docs a jour (ROADMAP ph3 LOT 1, CHANGELOG, WORKLOAD, VERSION)
2026-10-02 12:08:18 -04:00
bruno
c718fe06de
fix: A20 (partiel) — CSP nonce par requête, unsafe-inline sort de script-src (v7.7.0)
...
FlowDeck CI / lint (push) Canceled after 0s
FlowDeck CI / test (push) Canceled after 0s
FlowDeck CI / docker (push) Canceled after 0s
- ContentSecurityPolicyMiddleware : nonce aléatoire par requête dans la
ContextVar `CSP_NONCE` (posée avant `call_next` → visible des templates),
`script-src 'self' 'unsafe-eval' 'nonce-…'` — plus aucun script inline
sans nonce ne tourne (fin des XSS injectés en JS)
- 38 tags `<script>` des templates : `nonce="{{ csp_nonce() }}"` (passage
scripté, vérifié : 0 restant) ; `LOCAL_LOGIN_HTML` (constante de module) :
helper `_with_nonce()` au rendu ; collections.py : 3 scripts Python
(chart/form/map) noncés
- `<meta name="htmx-config" content='{"inlineScriptNonce": …}'>` dans base.html
: htmx ré-injecte les <script> des réponses boostées avec le bon nonce
- `script-src-attr 'unsafe-inline'` : les 74 handlers `onclick=` inline
restent couverts (le nonce les aurait désactivés aussi)
- chart.js (cdn.jsdelivr.net) et leaflet (unpkg) ajoutés à script-src/style-src
: vues chart/map déjà BLOQUÉES par la CSP depuis toujours
(commentaire ponytail: upgrade = vendoriser puis retirer les hôtes)
- reste d'A20 : unsafe-eval (Alpine x-data → @alpinejs/csp), externalisation
JS (A27), resserrer img-src/connect-src
test : test_csp_nonce_per_request (page base.html + page hors template,
nonce unique par requête)
suite **1037/1037** · `ruff check app tests` OK · docs à jour
2026-10-01 10:41:39 -04:00
bruno
3fcc12ad8c
feat: sweep complet — tous les émojis → outline SVG icons
...
Templates modifiés (22 fichiers):
- _icons.html: +14 new icons (paperclip, external-link, sparkles, lightbulb, tag,
file-text, save, upload, trending-up, zap, alert-triangle, user, eye-off)
- base.html: +8 JS icons, 🦎 🐙 🔑 🔗 👁📋 🔲 📑 ❓ ⚠️ →SVG
- page_editor.html: 43→0 émojis (📎 📄 🔒 🔗 ⭐ 📋 📁 ✨ 📝 🗄📑 📊 📅 🗓🖼📥 🌐 ✏💬 💡 etc)
- settings.html: 30→0 (⚙️ 📋 🏷🧩 👥 💾 🙈 👁🔒 🌙 ☀️ 🌳 📊 📝 ⚠🦎 ✅ 🐙 🔗 ✏🗑)
- local_workspace.html: 25→0 (📄 📁 ✏🗑⚠📋 ➕ )
- gitea_workspace.html: 25→0 (🔗 📄 📤 🔄 ⚙📁 📄 🔒 ✏🗑💾 )
- board.html: 13→0 (📁 📊 📋 ☰📈 👥 ✕✓🗑⚡ 🔍 )
- workspace.html: 11→0 (🏠 🔑 ⚙📁 🔗 📂 🐙 )
- landing.html: 8→0 (📚 🚀 📝 📊 🦎 🌐 🔒 ⚡ )
- trash.html, table_view, dashboard, accounts, card_detail, public_page,
workspaces, team_load, notes, _header, detailed_board, card, board_fragment
- Ajouté import _icons.html aux fragments standalone
- 143 tests passent
2026-07-21 08:27:10 -04:00
bruno
751f13869a
feat: v0.5.0→v0.8.0 — multi-vues, filtres, tri, modale, checklists
...
CI / test (push) Failing after 4s
CI / lint (push) Failing after 3s
v0.5.0 (Kanban complet):
- Card detail modal avec checklists + commentaires Gitea
- Création d'issues inline (formulaire + POST /api/issues)
- Édition inline (contenteditable)
v0.6.0 (Table view):
- table_view.html: colonnes Name/Status/Assign/Deadline/Team/Keywords
- Tri par colonne (clic en-tête, asc/desc)
- Groupes rétractables (Design/Engineering)
v0.7.0 (Filtres & Tri):
- Filtres cumulables AND (backend _apply_filters + UI pastilles)
- Status dropdown avec checkboxes + dots colorés
- Sort panel multi-critères (+ Add sort / Delete sort)
- Backend _apply_sorts avec asc/desc
v0.8.0 (Vues spéciales):
- status_overview.html: SVG donut chart + légende + pourcentages
- team_load.html: barres empilées par avatar
- detailed_board.html: cartes avec toutes propriétés
Backend:
- /board/{o}/{r}/view/{view} — 5 fragments HTMX
- /api/issues/{o}/{r}/{id}?format=html — modal HTML
- _map_issue_to_card, STATUS_COLORS/LABELS exportés
2026-07-08 14:29:33 -04:00
bruno