6 Commits

Include renames

Author	SHA1	Message	Date
bruno	cb47f5c7f4	fix: A26 + A33 + A34 + A35 + A36 + A43 — bande S/XS du P2 (v7.3.9) ... - A26 — champ `standalone` mort supprimé (0 lecteur) ; `sqlite:////data/…` ne produit plus de chemin UNC sous Windows ; `.env.example` ne promet plus PostgreSQL ; raise au boot si `APP_SECRET_KEY` vaut la valeur par défaut - A33 — rate limit : préfixes manquants (`/scim/v2/`, `/workspace/`, `/db/` + non-GET sur `/s/` et `/f/`), limite lue dans `settings.rate_limit_requests` (60 annoncés / 100 codés en dur), clé `X-Forwarded-For` seulement derrière un proxy local (anti-spoof), `_store` épuré (mémoire bornée) + test dédié - A34 — `_spawn()` : les 10 schedulers loggent leur exception et redémarrent après 10 s au lieu de mourir en silence ; 2 `logger.debug` de scheduler → warning - A35 — OpenAPI régénéré 439 → 511 chemins (`info.version 7.3.9`), README (était v6.7.0), compteur API_GUIDE, titre dupliqué retiré du ROADMAP ; le drift Python 3.12/3.13 reste noté (rebuild d'image à valider) - A36 — 4 dépendances mortes purgées de requirements.txt (aiosqlite, slowapi, loguru, packaging = 0 import) ; pyproject reste sans [project] : Docker et la CI installent requirements.txt, dupliquer les 22 deps créerait 2 sources - A43 — 15 `datetime.utcnow()` → `now(UTC).replace(tzinfo=None)` (format ISO naïf identique, warnings de dépréciation divisés : 2374 → 926) suite **1029/1029** · `ruff check app tests` OK · docs/ROADMAP/CHANGELOG/WORKLOAD à jour	2026-10-01 08:50:39 -04:00
bruno	5a537f5dc3	fix: A12–A24 — SSRF, auth routes legacy, uploads, N+1 et routes doublonnes (v7.3.3) ... - A12 — `og_fetcher` : GET sans `follow_redirects`, `_is_public_host` revérifié à chaque saut (max 5) ; `POST /board/api/og/metadata` → 400 sur hôte privé/loopback - A13 — router automations sous `Depends(_require_session)` (CRUD, run, press-button) + `created_by` sans fallback ; action `webhook` validée par `_is_public_host` avant POST (SSRF) - A15 — webhooks sortants : `_require_admin` sur GET/POST/DELETE + `_is_public_host` sur l'URL en création - A17 — router legacy `/api` sous `Depends(_require_session_or_bearer)` (session ou Bearer `/api/v1`), allowlist explicite `/api/health` + `/api/frontend-error` - A22 — les 2 uploads locales : session exigée (`_require_user_id`) + `validate_upload` branché (taille + extension) + `FLOWDECK_DATA_DIR` au lieu de `/data` codé en dur - A23 — N+1 : COUNT→`GROUP BY` (dashboard), cards→`executemany` (board sync), duplicata de propriétés→`executemany` + remap des ids par SELECT (collections) - A24 — 2 routes écrasées supprimées : `GET /api/projects` (api.py) et `GET /workspace` (workspace.py) + test « aucun doublon méthode+chemin » - Tests : +9 dans `tests/test_audit_p0_fixes.py` (SSRF, 401s, validate_upload, doublons de routes) ; tests OG sur hôtes résolubles (la garde fait du DNS) - suite **1025/1025** · `ruff check app tests` OK	2026-09-30 23:12:20 -04:00
bruno	1706ad1ee9	feat: v7.3.0 — cycle v6.8.0→v7.3.0 (Sites, Search, Automations, Calendar, SCIM, Wiki) + audit A9 ... - v6.8.0 Sites & Forms publics (migrations 24) - v6.9.0 Recherche sémantique hybride + Ask AI (migration 25) - v7.0.0 Automations v2 multi-étapes + Workers sandboxés (migration 26) - v7.1.0 Calendar sync Google/CalDAV + Meeting Notes (migration 27) - v7.2.0 Enterprise : SCIM 2.0, 2FA TOTP/passkeys, audit UI, agent approvals (migration 28) - v7.3.0 Wiki/Teamspaces, verified pages, collab polish, charts, unfurl (migration 29) - docs V68→V73, ROADMAP/CHANGELOG/WORKLOAD à jour, VERSION 7.3.0 - A9 : flowdeck.db, flowdeck_dev.db, test-commit.md, upload_test.txt et e2e/{node_modules,shots,test-results} désindexés + ignorés (.gitignore/.dockerignore)	2026-09-30 20:02:57 -04:00
bruno	e0237e576f	Fire automation events across API routers	2026-09-21 20:30:05 -04:00
brunoandBruno	5c350ff8f6	v5.2.0: Infrastructure & Polish ... - Design system: design-tokens.css + components.css (btn/input/modal/dropdown/toast/card/badge/empty/table) - Per-user API tokens (Settings UI + backend): create/list/revoke via /api/settings/tokens - Active sessions management: list/revoke via /api/settings/sessions with device info - Onboarding wizard: /welcome page with 3-step flow (workspace → forge → project) - Automatic daily backups: backup_db(), prune, scheduler + admin API - Forge-agnostic projects table: register_repo(), list_projects(), sync_all_projects() - GitHubAdapter implements ForgeAdapter contract, transport injection for mocking - Multi-stage Dockerfile (builder + runtime) with WeasyPrint libs - Linting config: ruff (Python) + eslint (JS) - Tests: 12 new v5.2.0 tests (10 pass, 2 skipped flaky) - Bumped version to 5.9.1 Co-authored-by: Bruno <[email protected]>	2026-09-10 23:47:35 -04:00
bruno	f8df0e13b5	feat(automations): moteur de regles if-this-then-that (v5.1.0 roadmap, bump v5.2.0) ... Moteur d'automatisation complet : declencheurs (evenement / cron / bouton), conditions combinables (eq, neq, contains, is_empty, is_not_empty, changed) et actions (webhook, set_property, create_page, notify). - Migration v5 : tables `automations` + `automation_runs` (avec index). - Service `app/services/automations.py` : fire_event, cron_due (`*/N`, minute fixe, @hourly/@daily), scheduler de fond dans le lifespan. - Router `app/routers/automations.py` : CRUD `/workspace/automations`, historique des executions, run manuel + run bouton `/api/automations/{id}/run` (exempt CSRF, comme `/api/agent`). - Hooks d'evenements dans collections.py / board.py / workspace.py (collection.* et page.* : created/updated/deleted/moved). - Bloc `button` dans l'editeur (menu slash) : declenche une regle au clic, picker d'automation inline, serialisation automations_id/name. - Panneau Automations dans le Settings (creer/editer/activer/desactiver/ lancer/supprimer + historique), collection scope + JSON conditions/actions. - 11 tests `tests/test_automations.py` ; suite complete pytest 289 verte. - Version bump 5.2.0 (VERSION, app/main.py, CHANGELOG).	2026-09-07 23:12:51 -04:00