feat: A20 — htmx allowEval off + plan Alpine CSP phase 3 scopé par probes (v7.37.0)

Changed : - htmx `allowEval: false` dans le meta htmx-config (base.html) : plus d'évaluation JS côté htmx (hx-on/hx-vars/hx-vals = 0 usage grep → zéro régression possible) ; unsafe-eval reste UNIQUEMENT pour Alpine standard. - Gate E20 renforcée : le smoke vérifie que `Alpine.$data()` lie un vrai composant [x-data] de la page (lien composant = cœur de toute bascule CSP). - sw.js : cache bump flowdeck-v7 (purge + re-precache après Inter). Probes (non conservés, retirés après mesure) — A20 phase 3 scopée : - Build `@alpinejs/csp` téléchargé et TESTÉ : 72 Ko, 0 eval/new Function, parseur d'expressions maison, tourne sous CSP strict (meta sans unsafe-eval) — le lint sélectif fonctionne. - Mais bloqué sur FlowDeck : (a) 13 expressions non parsables par la grammaire restreinte (arrows ×2, typeof ×1, new Date ×4, optional-chaining ×6 ; base, library, local_workspace, settings, gitea_workspace) — le gate E2E a attrapé la première : `CSP Parser Error: Unexpected token: PUNCTUATION ")"` ; (b) 24 `x-html` réactifs (icônes SVG + markdown agent + preview) = INTERDITS par le build CSP (innerHTML) → architecture d'icônes à reposer ; (c) scope des expressions CSP = données du composant uniquement (probe : `Undefined variable: fmtDate` / `document`) → chaque site devient une méthode Alpine.data enregistrée. - Conséquence : build CSP reverté (alpine.min.js ×3 templates + sw), unsafe-eval maintenu, fichier alpine.csp.min.js retiré (re-téléchargeable), assert test CSP de nouveau `in`. Plan de migration composant par composant (library → settings → local_workspace → gitea → base) + gate E2E par surface documenté dans ROADMAP (A20 phase 3). suite **1093/1093** · ruff OK · E2E **2/2** (dont assertion Alpine.$data) · docs à jour (ROADMAP A20 phase 3, CHANGELOG, WORKLOAD, VERSION)
feat: fondations E2E + 2 bugs trouvés (onglets ?view=, Inter CSP) (v7.36.0)
2026-10-02 11:14:47 -04:00 · 2026-10-02 10:23:34 -04:00 · 2026-10-02 09:39:02 -04:00 · 2026-10-02 09:18:04 -04:00 · 2026-10-02 08:45:27 -04:00
40 changed files with 698 additions and 169 deletions
@@ -13,7 +13,7 @@ jobs:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
-          python-version: '3.12'
+          python-version: '3.13'
      - name: Install lint tools
        run: pip install -r requirements-dev.txt
      - name: Ruff (Python)
@@ -31,7 +31,7 @@ jobs:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
-          python-version: '3.12'
+          python-version: '3.13'
      - name: Install system dependencies (WeasyPrint / emoji fonts)
        run: |-
          SUDO=""
@@ -1,5 +1,160 @@
 # Changelog - FlowDeck

+## v7.37.0 (2026-10-01) — A20 : htmx allowEval off + plan Alpine CSP (phase 3)
+
+### Changed
+
+- **htmx `allowEval: false`** dans le `<meta name="htmx-config">` : htmx
+  ne peut plus évaluer de JS (`hx-on`/`hx-vars`/`hx-vals`) — grep = **0
+  usage** dans les templates, donc zéro régression possible. `unsafe-eval`
+  reste **uniquement** pour Alpine standard.
+- **Gate E20 renforcé** : le smoke vérifie désormais que `Alpine.$data()`
+  lie un vrai composant `[x-data]` de la page (le lien composant = le cœur
+  de tout basculement CSP).
+
+### Notes — A20 phase 3 (unsafe-eval, scopé par probes)
+
+Le build `@alpinejs/csp` a été **testé empiriquement** (fichier 72 Ko,
+**0 `eval`/`new Function`**, parseur d'expressions maison) : il tourne sous
+CSP strict, mais **bloqué sur FlowDeck** par deux familles d'usages :
+- **13 expressions non parsables** par la grammaire restreinte :
+  arrows (`$nextTick(() => …)` ×2), `typeof` ×1, `new Date(…)` ×4,
+  optional-chaining `?.` ×6 (base, library, local_workspace, settings,
+  gitea_workspace) ;
+- **24 `x-html` réactifs** (icônes SVG `getSvgIcon`/`_fileIcon`,
+  markdown agent, preview) — **interdits par le build CSP** (innerHTML) :
+  nécessitent de reposer les icônes sur des composants `Alpine.data`.
+- Portée : 0 variable globale/`document` accessible dans les expressions
+  du build CSP (scope = données du composant + magics) → chaque site
+  devient une méthode de composant enregistrée via `Alpine.data`.
+**Plan phase 3** : migrer composant par composant (library → settings →
+local_workspace → gitea → base) avec gate E2E dédiée, puis retirer
+`unsafe-eval`. En attendant : `unsafe-eval` conservé (Alpine standard).
+
+## v7.36.0 (2026-10-01) — Fondations E2E + 2 bugs trouvés au passage
+
+### Added
+
+- **`e2e/smoke.spec.js`** — 2 gates vert contre l'instance de test :
+  · **gate A39** : bascule de vues d'une collection (clic onglet Calendar →
+    `?view_type=calendar`, grille `.calendar` + `.cal-header` rendue,
+    collection créée puis **supprimée** = répétable)
+  · **gate A20** : palette Ctrl+K (ouverture Alpine `.open`, recherche GET
+    rend `.cmd-palette-item`, fermeture Échap)
+  · **filet console** : 0 erreur JS/CSP (les violations atterrissent ici ;
+    le bruit `Failed to load resource` 401/403 est filtré)
+  · **Service Workers bloqués** dans le smoke : `/sw.js` sert sa page
+    « hors ligne » sur les navigations redirigées (`redirect:'manual'`) —
+    bruit PWA hors sujet, `pwa_offline.spec.js` couvre le SW
+  · bootstrap autonome : login OU création du compte e2e documenté,
+    workspace si absent — lecture seule sur les données existantes
+- Commande : `cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js`
+
+### Fixed (trouvés par les gates)
+
+- **Bascule de vues standalone jamais fonctionnelle** : les onglets
+  émettaient `?view=…` mais la route lit `view_type` (FastAPI) → l'onglet
+  restait sur Table quel que soit le clic (bug pré-existant, non introduit
+  par A28). Onglets → `?view_type=` + assertion comportementale ajoutée à
+  `test_all_view_tabs_present`
+- **Inter bloqué par la CSP depuis v7.27** : `app.css` importait encore
+  Google Fonts (`@import` raté par le grep de v7.27) → violation
+  `style-src` sur chaque page + police tombée en fallback. Inter
+  **auto-hébergé** : 2 faces variables (100-900, latin + latin-ext) dans
+  `static/fonts/`, `@import` supprimé
+
+### Notes
+
+- Suite complète : **1093/1093** · ruff OK · E2E **2/2**
+- Portes : A20 (unsafe-eval) attaquable avec ce filet ; A39 couvre la
+  bascule collection (pas la bascule htmx board → décision « rien »
+  maintenue) ; A38 twins reste conditionné à une couverture élargie
+
+## v7.35.0 (2026-10-01) — Audit : A35 TERMINÉ (Python 3.13 aligné + rebuild)
+
+### Changed
+
+- **Drift Python résolu** (dernier reliquat A35) : tout le projet est en
+  **3.13** — `Dockerfile` (`python:3.13-slim` builder + runtime), CI Gitea
+  (`python-version: '3.13'` ×2), `README.md` ×2, ruff
+  `target-version = "py313"` (0 nouvelle remarque ruff). Restait 3.12 aux
+  6 endroits alors que `uv.lock` = `requires-python >=3.13` et le venv =
+  3.13.14. Zéro référence 3.12 résiduelle.
+
+### Validation (le point que l'audit laissait « à faire par rebuild »)
+
+- `docker build` **vert** sur `python:3.13-slim` (image `flowdeck:a35-py313`)
+- dans le conteneur : `python -V` = **3.13.16**, `import app.main` OK
+  (version 7.35.0) → wheels `requirements.txt` construits et importables
+  sur 3.13
+- Suite locale complète : **1093/1093** · ruff OK (target py313)
+
+### Notes
+
+- A35 = **TERMINÉ** (OpenAPI/README/titre faits en 7.3.9 + drift aujourd'hui)
+
+## v7.34.0 (2026-10-01) — Audit : A38 phase 2 (0 doublon de fonction globale)
+
+### Changed
+
+- **Inventaire exhaustif de la duplication de fonctions** : scan de
+  profondeur de brace sur les 13 noms définis 2+ fois (templates +
+  static/js, strings/comments/backticks gérés) → **12 sont déjà scopés**
+  dans des IIFEs depuis A27 (aucun conflit de page possible)
+- **Seul doublon global = `openCardDetail`** (corps byte-identiques ×2 dans
+  `board_fragment` + `detailed_board`, fragments de vues mutuellement
+  exclusifs) → dédupliquée vers `static/js/app.js`, les 2 copies
+  supprimées (les onclick/@click des deux fragments appellent la même
+  définition)
+
+### Tests
+
+- `test_no_duplicate_global_functions` : garde-fou — 0 `function NAME`
+  globale définie 2+ fois entre templates et static/js (scanner naïf,
+  plafond `ponytail:` commenté : un faux positif se lit au nom signalé)
+- Suite complète : **1092/1092** · ruff OK · node --check vert
+
+### Notes
+
+- Reste A38 : méthodes jumelles library/local_workspace (~9-21 noms
+  communs, corps divergents) → fusion `workspace-tree.js` reportée
+  (réconciliation sans E2E — même logique que A39/A20)
+
+## v7.33.0 (2026-10-01) — Audit : A43 TERMINÉ + A38 phase 1 (CSRF unifié)
+
+### Fixed
+
+- **A43-1 — plus de `__CSRF_PLACEHOLDER__` servi** : ContextVar
+  `CSRF_TOKEN` posée par `CSRFMiddleware` **avant** `call_next` (même
+  mécanique que le nonce CSP), global `{{ csrf_token() }}` ajouté à
+  templating ; `base.html` rend `{"X-CSRF-Token":{{ csrf_token()|tojson }}}`
+  — vide si le cookie est absent sur cette 1ʳᵉ requête, mais
+  `htmx:configRequest` re-lit le cookie à chaque appel → jamais de jeton
+  factice. Test `test_csrf_server_rendered_no_placeholder` (pas de
+  placeholder + token == cookie)
+- **A43-2 — palette : plus de re-parse par frappe** : `fetch('/api/search…')`
+  sans header (GET ∈ `SAFE_METHODS` → le CSRF ne s'applique pas) — le
+  `JSON.parse(document.body.getAttribute('hx-headers'))` par frappe disparaît
+
+### Changed
+
+- **A38 phase 1 — helper CSRF unique** : `window.getCsrf()` défini dans le
+  `<head>` de `base.html` (le plus tôt possible) ; **76 lectures brutes du
+  cookie → `getCsrf()`** dans 13 fichiers (47 formes `(…||[])[1]||''`,
+  25 déclarations `const X = match(…)` + leurs usages `X?X[1]:''` → `X`,
+  4 formes espacées) ; définitions dupliquées supprimées (`card_detail`,
+  `database_table`) ; les 3 variantes de `base.html` (IIFE + 2
+  `getCsrfToken`) unifiées sur `return getCsrf()` ; `welcome.html` garde sa
+  lecture locale (page autonome documentée)
+
+### Notes
+
+- A43 = **TERMINÉ** (4/4 : utcnow déprécié = 0 dans app/**.py, health
+  loggé, placeholder, palette)
+- A38 reste : 12 fonctions dupliquées entre templates (wrappeur) + 21
+  méthodes jumelles library/local_workspace
+- Suite complète : **1092/1092** · ruff OK · node --check vert
+
 ## v7.32.0 (2026-10-01) — Audit : A28 TERMINÉ (board, dernier lot)

 ### Changed
@@ -3,7 +3,7 @@
 # Stage 1 "builder": build Python wheels once.
 # Stage 2 "runtime": minimal image with WeasyPrint system libs.
 # ═══════════════════════════════════════════════════════════
-FROM python:3.12-slim AS builder
+FROM python:3.13-slim AS builder

 WORKDIR /app

@@ -11,7 +11,7 @@ COPY requirements.txt .
 RUN pip wheel --no-cache-dir --wheel-dir /wheels -r requirements.txt

 # ── runtime stage ───────────────────────────────────────────
-FROM python:3.12-slim AS runtime
+FROM python:3.13-slim AS runtime

 WORKDIR /app

@@ -73,9 +73,9 @@ docker compose up -d
 | Couche | Techno |
 |--------|--------|
 | Frontend | Jinja2 + HTMX + Alpine.js + SortableJS + CSS |
-| Backend | Python 3.12 + FastAPI + httpx |
+| Backend | Python 3.13 + FastAPI + httpx |
 | BDD | SQLite (WAL, 21 tables) — `/data/flowdeck.db` |
-| Déploiement | Docker (python:3.12-slim), docker-compose |
+| Déploiement | Docker (python:3.13-slim), docker-compose |

 ## Configuration

@@ -1 +1 @@
-7.32.0
+7.37.0
@@ -1,6 +1,6 @@
 # WORKLOAD — FlowDeck Notion Clone

-> **Début**: 2026-07-08 | **Version**: v7.32.0 (audit — A28 TERMINÉ : les 4 god files découpés, board lot 4) | **Statut**: EN COURS 🔄
+> **Début**: 2026-07-08 | **Version**: v7.37.0 (A20 htmx allowEval off + probe Alpine CSP = plan phase 3 (13 exprs + 24 x-html)) | **Statut**: EN COURS 🔄
 > **Cible**: parité Notion + intégration forge · **Follow-ups v7.3 livrés**: sidebar teamspaces, notif `page.updated`, charts `number` + dashboards multi-DB, unfurl forge, UI Settings → Audit — voir `ROADMAP.md § v7.3.0`

 ## Avancement Global
@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):

 app = FastAPI(
    title="FlowDeck",
-    version="7.32.0",
+    version="7.37.0",
    docs_url="/docs",
    redoc_url="/redoc",
    lifespan=lifespan,
@@ -7,6 +7,8 @@ from starlette.middleware.base import BaseHTTPMiddleware
 from starlette.requests import Request
 from starlette.responses import JSONResponse

+from app.templating import CSRF_TOKEN
+

 class CSRFMiddleware(BaseHTTPMiddleware):
    """Lightweight CSRF protection for state-changing requests.
@@ -35,6 +37,9 @@ class CSRFMiddleware(BaseHTTPMiddleware):
    }

    async def dispatch(self, request: Request, call_next):
+        # A43 : jeton expose aux templates (base.html hx-headers) — posé AVANT
+        # call_next, comme le nonce CSP (meme mecanisme ContextVar).
+        CSRF_TOKEN.set(request.cookies.get("csrf_token", ""))
        # Webhook receiver, OAuth callback, and internal API are exempt
        if any(request.url.path.startswith(p) for p in self.EXCLUDED_PATHS):
            return await call_next(request)
@@ -71,14 +71,16 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
    # requête — un XSS injecté dans une page ne tourne plus). Les 74 handlers
    # inline `onclick=` restent couverts par `script-src-attr`, explicitement
    # détaché de script-src (sinon le nonce les désactiverait aussi).
-    # `unsafe-eval` reste : Alpine (x-data en string) et htmx (hx-vars) en ont
-    # besoin → à retirer avec le build CSP d'Alpine (voir reste d'A20).
+    # `unsafe-eval` : Alpine STANDARD (x-data) en a besoin. htmx n'y touche
+    # plus (`allowEval: false` dans le meta htmx-config — 0 hx-on/hx-vars).
+    # Retrait = A20 phase 3 : build `@alpinejs/csp` (testé : 0 eval, OK sur
+    # probe) mais bloqué par 13 expressions non parsables (arrows/typeof/new/
+    # ?.) + 24 `x-html` réactifs (icônes SVG) → refonte des composants en
+    # Alpine.data — voir ROADMAP.
    CSP_VALUE = (
        "default-src 'self'; "
        # A20 phase 2 : chart.js/leaflet vendorisés dans /static/js/vendor
        # (test_csp_no_cdn_and_vendor), plus aucun hôte CDN tiers.
-        # `unsafe-eval` reste : Alpine (x-data) + htmx (hx-on/hx-vars) en
-        # ont besoin → retrait avec le build CSP d'Alpine (reste d'A20).
        "script-src 'self' 'unsafe-eval' 'nonce-{nonce}'; "
        "script-src-attr 'unsafe-inline'; "
        # ponytail: aucun @font-face Google (grep négatif) → les deux
@@ -55,17 +55,17 @@ h1{{font-size:24px;margin:0 0 8px}} p.desc{{color:#A0A0A0;margin:0 0 20px}}
 </style></head><body>
 <h1>{icon} {title}</h1>
 <div class="view-tabs">
-<a class="tab{' active' if view_type=='table' else ''}" href="?view=table">📊 Table</a>
-<a class="tab{' active' if view_type=='board' else ''}" href="?view=board">📋 Board</a>
-<a class="tab{' active' if view_type=='calendar' else ''}" href="?view=calendar">📅 Calendar</a>
-<a class="tab{' active' if view_type=='gallery' else ''}" href="?view=gallery">🖼️ Gallery</a>
-<a class="tab{' active' if view_type=='list' else ''}" href="?view=list">📝 List</a>
-<a class="tab{' active' if view_type=='timeline' else ''}" href="?view=timeline">📈 Timeline</a>
-<a class="tab{' active' if view_type=='gantt' else ''}" href="?view=gantt">📊 Gantt</a>
-<a class="tab{' active' if view_type=='chart' else ''}" href="?view=chart">📉 Chart</a>
-<a class="tab{' active' if view_type=='form' else ''}" href="?view=form">📋 Form</a>
-<a class="tab{' active' if view_type=='map' else ''}" href="?view=map">🗺️ Map</a>
-<a class="tab{' active' if view_type=='feed' else ''}" href="?view=feed">📰 Feed</a>
+<a class="tab{' active' if view_type=='table' else ''}" href="?view_type=table">📊 Table</a>
+<a class="tab{' active' if view_type=='board' else ''}" href="?view_type=board">📋 Board</a>
+<a class="tab{' active' if view_type=='calendar' else ''}" href="?view_type=calendar">📅 Calendar</a>
+<a class="tab{' active' if view_type=='gallery' else ''}" href="?view_type=gallery">🖼️ Gallery</a>
+<a class="tab{' active' if view_type=='list' else ''}" href="?view_type=list">📝 List</a>
+<a class="tab{' active' if view_type=='timeline' else ''}" href="?view_type=timeline">📈 Timeline</a>
+<a class="tab{' active' if view_type=='gantt' else ''}" href="?view_type=gantt">📊 Gantt</a>
+<a class="tab{' active' if view_type=='chart' else ''}" href="?view_type=chart">📉 Chart</a>
+<a class="tab{' active' if view_type=='form' else ''}" href="?view_type=form">📋 Form</a>
+<a class="tab{' active' if view_type=='map' else ''}" href="?view_type=map">🗺️ Map</a>
+<a class="tab{' active' if view_type=='feed' else ''}" href="?view_type=feed">📰 Feed</a>
 </div>
 {body}
 </body></html>"""
@@ -130,9 +130,9 @@ def _render_calendar(view_type: str, collection: dict, pages: list[dict], config
 .cal-nav span{{font-size:16px;font-weight:600}}
 </style>
 <div class="cal-nav">
-<a href="?view=calendar&year={prev.year}&month={prev.month}">← {prev.strftime('%B')}</a>
+<a href="?view_type=calendar&year={prev.year}&month={prev.month}">← {prev.strftime('%B')}</a>
 <span>{first.strftime('%B %Y')}</span>
-<a href="?view=calendar&year={next_month.year}&month={next_month.month}">{next_month.strftime('%B')} →</a>
+<a href="?view_type=calendar&year={next_month.year}&month={next_month.month}">{next_month.strftime('%B')} →</a>
 </div>
 <div class="calendar">
 <div class="cal-header">Mon</div><div class="cal-header">Tue</div><div class="cal-header">Wed</div>
@@ -88,7 +88,7 @@ document.addEventListener('alpine:init', function () {
        return Math.floor(diff / 86400) + 'd ago';
      },
      csrf() {
-        return (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+        return getCsrf();
      },
      refreshCount() {
        var self = this;
@@ -117,8 +117,8 @@
        } catch(e) {}
      },
      saveProfile() {
-        const csrf = document.cookie.match(/csrf_token=([^;]+)/);
-        const token = csrf ? csrf[1] : '';
+        const csrf = getCsrf();;
+        const token = csrf;
        fetch(`/api/users/me?full_name=${encodeURIComponent(this.profile.full_name)}&email=${encodeURIComponent(this.profile.email)}`, {
          method: 'PUT', headers: { 'X-CSRF-Token': token }
        }).then(() => {
@@ -115,12 +115,21 @@
  </style>
  {# A20 : htmx copie les <script nonce="{{ csp_nonce() }}"> des réponses boostées — il remet leur nonce
     depuis cette config (le nonce de la réponse courante, pas celui du fetch). #}
-  <meta name="htmx-config" content='{"inlineScriptNonce": "{{ csp_nonce() }}"}'>
+  <meta name="htmx-config" content='{"inlineScriptNonce": "{{ csp_nonce() }}", "allowEval": false}'>
+  <script nonce="{{ csp_nonce() }}">
+    // A38 : helper CSRF unique — défini le plus tôt possible (head) pour
+    // tous les scripts inline/externes de la page (welcome.html, isolé de
+    // base, garde sa propre lecture du cookie).
+    window.getCsrf = function() {
+      var m = document.cookie.match(/csrf_token=([^;]+)/);
+      return m ? m[1] : '';
+    };
+  </script>
  <script src="/static/js/htmx.min.js" data-cfasync="false"></script>
  <script src="/static/js/alpine.min.js" defer data-cfasync="false"></script>
  <script src="/static/js/sortable.min.js" defer data-cfasync="false"></script>
 </head>
-<body hx-headers='{"X-CSRF-Token":"__CSRF_PLACEHOLDER__"}'{% if embed_mode %} class="embed-mode"{% endif %}>
+<body hx-headers='{"X-CSRF-Token":{{ csrf_token() | tojson }}}'{% if embed_mode %} class="embed-mode"{% endif %}>
 <div class="app-layout" x-data="appState()">

  <!-- ═══════════ MOBILE SIDEBAR OVERLAY ═══════════ -->
@@ -796,10 +805,6 @@
 <script data-cfasync="false" nonce="{{ csp_nonce() }}">
  // Inject CSRF token into HTMX headers
  (function() {
-    const getCsrf = () => {
-      const m = document.cookie.match(/csrf_token=([^;]+)/);
-      return m ? m[1] : '';
-    };
    document.body.setAttribute('hx-headers', JSON.stringify({'X-CSRF-Token': getCsrf()}));
    document.addEventListener('htmx:configRequest', function(evt) {
      evt.detail.headers['X-CSRF-Token'] = getCsrf();
@@ -853,8 +858,7 @@
  // these functions for consistent behaviour.
  window.FlowDeck = {
    getCsrfToken: function() {
-      var m = document.cookie.match(/csrf_token=([^;]+)/);
-      return m ? m[1] : '';
+      return getCsrf();
    },

    /** Reflète le rename d'une page/dossier dans toute l'UI : sidebar gauche
@@ -1733,8 +1737,7 @@
      addPage(section) { this.newPage(section); },
      addSubPage(id) { this.newSubPage(id); },
      getCsrfToken() {
-        const m = document.cookie.match(/csrf_token=([^;]+)/);
-        return m ? m[1] : '';
+        return getCsrf();
      },
      newPage(section) {
        const project = this.workspaceKey || '';
@@ -2292,7 +2295,7 @@
      return;
    }
    state.actions = false;
-    fetch('/api/search?q='+encodeURIComponent(q), {headers:{'X-CSRF-Token': document.body.getAttribute('hx-headers') ? (JSON.parse(document.body.getAttribute('hx-headers'))['X-CSRF-Token']||'') : ''}})
+    fetch('/api/search?q='+encodeURIComponent(q))
      .then(function(r){ return r.json(); })
      .then(function(data){
        if(input.value.trim()!==q) return; // stale
@@ -49,12 +49,5 @@
  {% endfor %}
 </div>

-<script nonce="{{ csp_nonce() }}">
-  function openCardDetail(id) {
-    htmx.ajax('GET', `/api/issues/${owner}/${repo}/${id}?format=html`, {
-      target: '#card-modal-content', swap: 'innerHTML'
-    });
-    document.getElementById('card-modal').style.display = 'flex';
-    document.getElementById('card-modal-title').textContent = 'Issue #' + id;
-  }
-</script>
+<!-- A38 : openCardDetail vit dans static/js/app.js (dedupliquee,
+     corps identique x2 dans ces deux fragments de vue) -->
@@ -100,12 +100,6 @@
 </div>

 <script nonce="{{ csp_nonce() }}">
-  // ponytail: CSRF helper
-  function getCsrf() {
-    const m = document.cookie.match(/csrf_token=([^;]+)/);
-    return m ? m[1] : '';
-  }
-
  function cardDetail() {
    return {
      updateField(field, value) {
@@ -58,12 +58,5 @@
  {% endfor %}
 </div>

-<script nonce="{{ csp_nonce() }}">
-  function openCardDetail(id) {
-    htmx.ajax('GET', `/api/issues/${owner}/${repo}/${id}?format=html`, {
-      target: '#card-modal-content', swap: 'innerHTML'
-    });
-    document.getElementById('card-modal').style.display = 'flex';
-    document.getElementById('card-modal-title').textContent = 'Issue #' + id;
-  }
-</script>
+<!-- A38 : openCardDetail vit dans static/js/app.js (dedupliquee,
+     corps identique x2 dans ces deux fragments de vue) -->
@@ -68,8 +68,8 @@
      search: '',
      items: [],
      async init() {
-        const csrf = document.cookie.match(/csrf_token=([^;]+)/);
-        const token = csrf ? csrf[1] : '';
+        const csrf = getCsrf();;
+        const token = csrf;
        try {
          const r = await fetch('/board/api/trash', { headers: { 'X-CSRF-Token': token } });
          this.items = await r.json();
@@ -80,13 +80,13 @@
        return this.items.filter(i => !q || i.name.toLowerCase().includes(q) || (i.path||'').toLowerCase().includes(q));
      },
      async restore(id) {
-        const csrf = document.cookie.match(/csrf_token=([^;]+)/);
+        const csrf = getCsrf();;
        const r = await fetch(`/board/api/trash/${id}/restore`, { method: 'POST', headers: { 'X-CSRF-Token': csrf?.[1] || '' } });
        if (r.ok) { this.items = this.items.filter(i => i.id !== id); }
      },
      async deleteForever(id) {
        if (!confirm('Permanently delete this page? This cannot be undone.')) return;
-        const csrf = document.cookie.match(/csrf_token=([^;]+)/);
+        const csrf = getCsrf();;
        const r = await fetch(`/board/api/trash/${id}`, { method: 'DELETE', headers: { 'X-CSRF-Token': csrf?.[1] || '' } });
        if (r.ok) { this.items = this.items.filter(i => i.id !== id); }
      }
@@ -174,7 +174,7 @@ function workspacePage() {
      if (!this.newProjectName.trim()) return;
      const r = await fetch('/api/workspace/projects', {
        method: 'POST',
-        headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type': 'application/json'},
+        headers: {'X-CSRF-Token': getCsrf(), 'Content-Type': 'application/json'},
        body: JSON.stringify({name: this.newProjectName.trim()})
      });
      if (r.ok) {
@@ -16,6 +16,12 @@ from jinja2 import Environment, FileSystemLoader, select_autoescape
 # dans ce cas, donc rien n'est bloqué).
 CSP_NONCE: ContextVar[str] = ContextVar("csp_nonce", default="")

+# A43 : jeton CSRF rendu côté serveur dans `hx-headers` (base.html) — posé
+# par le middleware CSRF AVANT call_next, lu via `{{ csrf_token() }}`
+# (vide = cookie absent sur cette requête, htmx:configRequest re-lit le
+# cookie au moment de l'appel → jamais de « __CSRF_PLACEHOLDER__ » servi).
+CSRF_TOKEN: ContextVar[str] = ContextVar("csrf_token", default="")
+
 ENV = Environment(
    loader=FileSystemLoader("app/templates"),
    autoescape=select_autoescape(["html"]),
@@ -33,3 +39,4 @@ except OSError:  # pragma: no cover

 ENV.globals["asset_version"] = ASSET_VERSION
 ENV.globals["csp_nonce"] = lambda: CSP_NONCE.get()
+ENV.globals["csrf_token"] = lambda: CSRF_TOKEN.get()
@@ -2,7 +2,7 @@
  "openapi": "3.1.0",
  "info": {
    "title": "FlowDeck",
-    "version": "7.32.0"
+    "version": "7.37.0"
  },
  "paths": {
    "/auth/register": {
@@ -0,0 +1,167 @@
+const { test, expect } = require('@playwright/test');
+
+/**
+ * Smoke E2E — fondations vérifiant les portes des reports d'audit :
+ * - A39 : bascule de vues (création d'une vue Board depuis la barre de
+ *   vues d'une collection → rendu de la grille)
+ * - A20 : Alpine + palette de commandes (Ctrl+K, recherche GET, fermeture)
+ * - filet : 0 erreur console (les violations CSP atterrissent ici)
+ *
+ * READ-ONLY sur les données existantes : crée puis SUPPRIME sa collection
+ * (répétable). Instance de test attendue sur FD_BASE_URL (défaut 8080).
+ */
+const FD_BASE = process.env.FD_BASE_URL || 'http://localhost:8080';
+const USER = process.env.FD_USER || '[email protected]';
+const PASS = process.env.FD_PASS || 'e2e-secret-123';
+
+// Service Workers BLOQUÉS : /sw.js sert sa page « hors ligne » quand la
+// réponse de navigation est une redirection (redirect:'manual' sur les
+// requêtes navigate) — bruit PWA hors sujet ici (pwa_offline.spec.js
+// couvre le SW). On interroge le serveur directement.
+test.use({ serviceWorkers: 'block' });
+
+const consoleErrors = [];
+test.beforeEach(async ({ page }) => {
+  consoleErrors.length = 0;
+  page.on('console', (m) => {
+    if (m.type() !== 'error') return;
+    // les 401 de ressources (checks de session sur login) sont du bruit
+    // navigateur, pas une erreur JS/CSP — le reste compte
+    if (/Failed to load resource/.test(m.text())) return;
+    consoleErrors.push(m.text());
+  });
+  page.on('pageerror', (e) => consoleErrors.push('pageerror: ' + e.message));
+});
+
+test.afterEach(() => {
+  // Aucune erreur JS/CSP pendant le scénario
+  expect(consoleErrors).toEqual([]);
+});
+
+async function login(page) {
+  await page.goto(`${FD_BASE}/auth/login?provider=local`, {
+    waitUntil: 'domcontentloaded',
+  });
+  await page.fill('#email', USER);
+  await page.fill('#password', PASS);
+  await page.click('.btn-primary');
+  const ok = await Promise.race([
+    page
+      .waitForURL('**/workspaces', { timeout: 8000 })
+      .then(() => true)
+      .catch(() => false),
+  ]);
+  if (!ok) {
+    // Compte absent de l'instance de test → création (bootstrap du harness,
+    // pas un mot de passe deviné : c'est le compte e2e documenté du repo).
+    const resp = await page.request.post(`${FD_BASE}/auth/register`, {
+      data: { email: USER, password: PASS, name: 'E2E' },
+    });
+    if (resp.status() === 409) {
+      throw new Error(
+        'compte e2e existant mais mot de passe refusé — définir FD_USER/FD_PASS'
+      );
+    }
+    if (!resp.ok()) {
+      throw new Error(`register ${resp.status()}: ${await resp.text()}`);
+    }
+    await page.goto(`${FD_BASE}/workspaces`, { waitUntil: 'domcontentloaded' });
+    await page.waitForURL('**/workspaces', { timeout: 15000 });
+  }
+  // workspace requis pour créer une collection (compte neuf = aucun ws)
+  const ws = await page.evaluate(async () => (await fetch('/api/workspaces')).json());
+  if (!ws.workspaces || ws.workspaces.length === 0) {
+    await page.evaluate(async () => {
+      const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+      const r = await fetch('/api/workspaces', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
+        body: JSON.stringify({ name: 'E2E workspace' }),
+      });
+      const w = await r.json();
+      await fetch(`/api/workspaces/${w.id}/select`, { method: 'POST' });
+    });
+  }
+}
+
+test('gate A39 : bascule de vues (table → Calendar, rendu par onglet)', async ({ page }) => {
+  await login(page);
+
+  // collection jetable (créée puis supprimée = répétable). /db/{id} est une
+  // page STANDALONE (hors base.html) : les onglets .view-tabs naviguent en
+  // ?view=… et le corps est rendu côté serveur par _render_view().
+  const coll = await page.evaluate(async () => {
+    const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+    const r = await fetch('/db/api', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
+      body: JSON.stringify({ name: 'e2e-view-switch' }),
+    });
+    return r.json();
+  });
+  expect(coll.id, `création collection: ${JSON.stringify(coll)}`).toBeTruthy();
+  try {
+    await page.goto(`${FD_BASE}/db/${coll.id}`, { waitUntil: 'domcontentloaded' });
+    await expect(page.locator('.view-tabs a.tab')).toHaveCount(11);
+    await expect(page.locator('.calendar')).toHaveCount(0); // vue table par défaut
+
+    // bascule réelle : clic sur l'onglet Calendar → navigation ?view=calendar
+    await page.click('.view-tabs a.tab:has-text("Calendar")');
+    await page.waitForURL(/view_type=calendar/, { timeout: 10000 });
+    await expect(page.locator('.view-tabs a.tab.active')).toContainText('Calendar');
+    // corps Calendar rendu par _render_calendar (grille 6×7)
+    await expect(page.locator('.calendar')).toHaveCount(1);
+    expect(await page.locator('.cal-header').count()).toBeGreaterThanOrEqual(7);
+  } finally {
+    await page.evaluate(async (id) => {
+      const csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+      await fetch(`/db/api/${id}`, { method: 'DELETE', headers: { 'X-CSRF-Token': csrf } });
+    }, coll.id);
+  }
+});
+
+test('gate A20 : palette Ctrl+K (Alpine + recherche GET)', async ({ page }) => {
+  await login(page);
+  await page.goto(`${FD_BASE}/workspaces`, { waitUntil: 'domcontentloaded' });
+  await page.waitForTimeout(800);
+
+  await page.keyboard.press('Control+k');
+  await page.waitForTimeout(400);
+  // overlay ouvert (classe .open pilotée par l'IIFE de base.html)
+  const open = await page.evaluate(() => {
+    const ov = document.querySelector('#fd-command-palette');
+    return !!ov && ov.classList.contains('open');
+  });
+  expect(open).toBe(true);
+
+  // tape une requête → la recherche GET répond et rend des résultats
+  await page.keyboard.type('a');
+  await page.waitForTimeout(900);
+  const items = await page.evaluate(
+    () => document.querySelectorAll('.cmd-palette-item').length
+  );
+  expect(items).toBeGreaterThan(0);
+
+  // Alpine doit être lié (build CSP : le x-data + ses expressions évalués
+  // SANS eval) sur un composant réel de la page
+  const alpine = await page.evaluate(() => {
+    const el = document.querySelector('[x-data]');
+    if (!el || !window.Alpine) return 'absent';
+    try {
+      const data = window.Alpine.$data(el);
+      return data && typeof data === 'object' ? 'ok:' + Object.keys(data).slice(0, 3).join(',') : 'vide';
+    } catch (e) {
+      return 'throw:' + e.message;
+    }
+  });
+  expect(alpine).toMatch(/^ok:/);
+
+  // Échap ferme la palette
+  await page.keyboard.press('Escape');
+  await page.waitForTimeout(300);
+  const closed = await page.evaluate(() => {
+    const ov = document.querySelector('#fd-command-palette');
+    return !ov || !ov.classList.contains('open');
+  });
+  expect(closed).toBe(true);
+});
@@ -7,7 +7,7 @@ pythonpath = ["."]


 [tool.ruff]
-target-version = "py312"
+target-version = "py313"
 line-length = 110
 exclude = [".venv", ".venv311", ".pytest_cache", "static/js/vendor"]

@@ -3,7 +3,89 @@
   Référence: Notion Light Mode (par défaut)
   ═══════════════════════════════════════════════════════════ */

-@import url('https://fonts.googleapis.com/css2?family=Inter:wght@400;500;600;700&display=swap');
+/* Inter auto-hébergé — remplace l'@import Google Fonts que la CSP bloque
+   (style-src sans fonts.googleapis depuis v7.27). Police variable v20 :
+   une face par sous-ensemble, font-weight 100-900. */
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 100 900;
+  font-display: swap;
+  src: url('/static/fonts/inter-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 100 900;
+  font-display: swap;
+  src: url('/static/fonts/inter-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 400;
+  font-display: swap;
+  src: url('/static/fonts/inter-400-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 500;
+  font-display: swap;
+  src: url('/static/fonts/inter-500-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 500;
+  font-display: swap;
+  src: url('/static/fonts/inter-500-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 600;
+  font-display: swap;
+  src: url('/static/fonts/inter-600-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 600;
+  font-display: swap;
+  src: url('/static/fonts/inter-600-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 700;
+  font-display: swap;
+  src: url('/static/fonts/inter-700-latin-ext.woff2') format('woff2');
+  unicode-range: U+0100-02BA, U+02BD-02C5, U+02C7-02CC, U+02CE-02D7, U+02DD-02FF, U+0304, U+0308, U+0329, U+1D00-1DBF, U+1E00-1E9F, U+1EF2-1EFF, U+2020, U+20A0-20AB, U+20AD-20C0, U+2113, U+2C60-2C7F, U+A720-A7FF;
+}
+
+@font-face {
+  font-family: 'Inter';
+  font-style: normal;
+  font-weight: 700;
+  font-display: swap;
+  src: url('/static/fonts/inter-700-latin.woff2') format('woff2');
+  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+0304, U+0308, U+0329, U+2000-206F, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
+}
+

 /* ===== LIGHT THEME (default) ===== */
 :root {
@@ -188,7 +188,7 @@
          var fd = new FormData();
          fd.append('name', this.customName || 'emoji');
          fd.append('file', this.customFile);
-          var csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+          var csrf = getCsrf();
          var r = await fetch('/api/custom-emojis', { method: 'POST', headers: { 'X-CSRF-Token': csrf }, body: fd, credentials: 'same-origin' });
          var d = await r.json();
          if (d && d.emoji) {
@@ -203,7 +203,7 @@
      },
      async deleteCustom(id) {
        try {
-          var csrf = (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || '';
+          var csrf = getCsrf();
          await fetch('/api/custom-emojis/' + id, { method: 'DELETE', headers: { 'X-CSRF-Token': csrf }, credentials: 'same-origin' });
          this.custom = this.custom.filter(function (e) { return e.id !== id; });
        } catch { /* volontaire */ }
@@ -97,7 +97,7 @@
          var payload = {prompt: message};
          if(context && context.trim()) payload.context = String(context).slice(0, 20000);
          return fetch('/api/agent/generate', {
-            method:'POST', headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            method:'POST', headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify(payload)
          }).then(function(resp){
            return resp.json();
@@ -243,7 +243,7 @@
          if(self.llmModel) payload.model = self.llmModel;

          fetch('/api/agent/generate', {
-            method:'POST', headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'}, body: JSON.stringify(payload)
+            method:'POST', headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'}, body: JSON.stringify(payload)
          }).then(function(r){ return r.json(); }).then(function(d){
            self.messages = self.messages.filter(function(m){ return m.id !== thinkId; });
            if(d && d.ok && d.text){
@@ -366,7 +366,7 @@
      installGallerySkill(slug, icon, name){
        var self = this;
        fetch('/api/agent/skills/gallery/' + encodeURIComponent(slug) + '/install', {
-          method: 'POST', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type': 'application/json'}, body: '{}'
+          method: 'POST', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type': 'application/json'}, body: '{}'
        }).then(function(r){
          return r.json().then(function(d){ return {ok: r.ok, d: d}; });
        }).then(function(res){
@@ -530,7 +530,7 @@
        var body = {title:'Nouvelle conversation'};
        if(self.llmProvider) body.provider = self.llmProvider;
        if(self.llmModel) body.model = self.llmModel;
-        fetch('/api/agent/conversations', {method:'POST', headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'}, body: JSON.stringify(body)})
+        fetch('/api/agent/conversations', {method:'POST', headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'}, body: JSON.stringify(body)})
          .then(function(r){return r.json()}).then(function(d){
            var conv = {id:d.id, title:d.title, updated_at:new Date().toISOString()};
            self.conversations.unshift(conv); self.currentConv = conv;
@@ -547,7 +547,7 @@
        if(self.llmProvider) body.provider = self.llmProvider;
        if(self.llmModel) body.model = self.llmModel;
        self._ensuring = fetch('/api/agent/conversations', {
-          method:'POST', headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'}, body: JSON.stringify(body)
+          method:'POST', headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'}, body: JSON.stringify(body)
        }).then(function(r){return r.json()}).then(function(d){
          var conv = {id:d.id, title:d.title, updated_at:new Date().toISOString()};
          self.conversations.unshift(conv); self.currentConv = conv;
@@ -569,7 +569,7 @@
        if(self.llmProvider) body.provider = self.llmProvider;
        if(self.llmModel) body.model = self.llmModel;
        fetch('/api/agent/conversations/'+self.currentConv.id, {
-          method:'PATCH', headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'}, body: JSON.stringify(body)
+          method:'PATCH', headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'}, body: JSON.stringify(body)
        }).catch(function(){});
      },

@@ -1370,7 +1370,7 @@
        if(m.id && /^\d+$/.test(String(m.id))) payload.message_id = Number(m.id);
        fetch('/api/agent/feedback', {
          method: 'POST',
-          headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type': 'application/json'},
+          headers: {'X-CSRF-Token': getCsrf(), 'Content-Type': 'application/json'},
          body: JSON.stringify(payload)
        }).then(function(r){ return r.json(); }).then(function(d){
          if(d && d.status === 'recorded'){ m.fb = rating; }
@@ -1468,7 +1468,7 @@

        return fetch('/api/agent/conversations/'+self.currentConv.id+'/run', {
          method:'POST',
-          headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify(payload)
        }).then(function(resp){
          if(!resp.ok){ return resp.json().then(function(j){ throw new Error(j.detail || ('HTTP '+resp.status)); }); }
@@ -395,3 +395,15 @@
  });
 })();

+// A38 : openCardDetail était définie (corps identique) dans board_fragment
+// ET detailed_board — une seule définition globale ici, appelée par les
+// onclick/@click des deux fragments (owner/repo globaux fournis par board.js).
+function openCardDetail(id) {
+  htmx.ajax('GET', `/api/issues/${owner}/${repo}/${id}?format=html`, {
+    target: '#card-modal-content',
+    swap: 'innerHTML'
+  });
+  document.getElementById('card-modal').style.display = 'flex';
+  document.getElementById('card-modal-title').textContent = 'Issue #' + id;
+}
+
@@ -94,10 +94,10 @@ const BD=(()=>{try{const el=document.getElementById('bd-config');return el?JSON.
      title: '', status: 'todo',
      create() {
        if (!this.title.trim()) return;
-        const csrf = document.cookie.match(/csrf_token=([^;]+)/);
+        const csrf = getCsrf();;
        fetch(`/api/issues/${owner}/${repo}?title=${encodeURIComponent(this.title)}&labels=${this.status}`, {
          method: 'POST',
-          headers: { 'X-CSRF-Token': csrf ? csrf[1] : '' }
+          headers: { 'X-CSRF-Token': csrf }
        })
          .then(r => r.json())
          .then(data => {
@@ -131,10 +131,10 @@ const BD=(()=>{try{const el=document.getElementById('bd-config');return el?JSON.
          onEnd: function(evt) {
            const cardId = evt.item.dataset.cardId;
            const toStatus = evt.to.dataset.status;
-            const csrf = document.cookie.match(/csrf_token=([^;]+)/);
+            const csrf = getCsrf();;
            fetch(`/api/move?owner=${owner}&repo=${repo}&issue_id=${cardId}&column=${toStatus}`, {
              method: 'POST',
-              headers: { 'X-CSRF-Token': csrf ? csrf[1] : '' }
+              headers: { 'X-CSRF-Token': csrf }
            })
              .then(() => {
                // ponytail: refresh current view after move
@@ -57,7 +57,6 @@ const DB_CONFIG=(()=>{try{const el=document.getElementById('db-config');const v=
        var found = parseOpts(prop).filter(function(o){ return o.name === name; })[0];
        return (found && PALETTE[found.color]) || '#8b8b8b';
    }
-    function getCsrf() { var m = document.cookie.match(/csrf_token=([^;]+)/); return m ? m[1] : ''; }
    function toast(msg, kind) {
        if (typeof window.showToast === 'function') window.showToast(msg, kind);
        else if (kind === 'error') console.warn(msg);
@@ -98,7 +98,7 @@ document.addEventListener('alpine:init', () => {
      var newPath = oldPath.replace(/[^/]+$/, newName.trim());
      fetch('/api/gitea/projects/' + this.owner + '/' + this.repo + '/file', {
        method: 'PUT',
-        headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'',  'Content-Type': 'application/json' },
+        headers: {'X-CSRF-Token': getCsrf(),  'Content-Type': 'application/json' },
        body: JSON.stringify({ path: oldPath, new_path: newPath, message: 'Rename ' + oldPath + ' to ' + newPath })
      }).then(function(r){ return r.json(); })
        .then(function(d){
@@ -113,7 +113,7 @@ document.addEventListener('alpine:init', () => {
      if (!item) return;
      if (!confirm('Delete ' + item.name + '?')) return;
      var self = this;
-      fetch('/api/gitea/projects/' + this.owner + '/' + this.repo + '/file?path=' + encodeURIComponent(item.path) + '&sha=' + (item.sha || '') + '&message=Delete ' + item.path, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, 
+      fetch('/api/gitea/projects/' + this.owner + '/' + this.repo + '/file?path=' + encodeURIComponent(item.path) + '&sha=' + (item.sha || '') + '&message=Delete ' + item.path, {headers: {'X-CSRF-Token': getCsrf()}, 
        method: 'DELETE'
      }).then(function(r){
        if (r.ok) { self.refreshTree(); }
@@ -208,7 +208,7 @@ document.addEventListener('alpine:init', () => {
        if (!path) return;
        if (!confirm('Delete ' + path + ' from ' + self.owner + '/' + self.repo + '?')) return;
        var sha = el.getAttribute('data-gitea-sha') || '';
-        fetch('/api/gitea/projects/' + self.owner + '/' + self.repo + '/file?path=' + encodeURIComponent(path) + '&sha=' + encodeURIComponent(sha) + '&message=' + encodeURIComponent('Delete via FlowDeck'), {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, 
+        fetch('/api/gitea/projects/' + self.owner + '/' + self.repo + '/file?path=' + encodeURIComponent(path) + '&sha=' + encodeURIComponent(sha) + '&message=' + encodeURIComponent('Delete via FlowDeck'), {headers: {'X-CSRF-Token': getCsrf()}, 
          method: 'DELETE',
        }).then(function(r) {
          if (r.ok) self.refreshTree();
@@ -350,7 +350,7 @@ document.addEventListener('alpine:init', () => {
      if (!this.filePath) return;
      if (!confirm('Delete ' + this.filePath + ' from ' + this.owner + '/' + this.repo + '?')) return;
      try {
-        var r = await fetch('/api/gitea/projects/' + this.owner + '/' + this.repo + '/file?path=' + encodeURIComponent(this.filePath) + '&sha=' + encodeURIComponent(this.fileSha) + '&message=' + encodeURIComponent('Delete via FlowDeck'), {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, 
+        var r = await fetch('/api/gitea/projects/' + this.owner + '/' + this.repo + '/file?path=' + encodeURIComponent(this.filePath) + '&sha=' + encodeURIComponent(this.fileSha) + '&message=' + encodeURIComponent('Delete via FlowDeck'), {headers: {'X-CSRF-Token': getCsrf()}, 
          method: 'DELETE',
        });
        if (r.ok) {
@@ -363,8 +363,8 @@ function libraryPage() {
    },

    _getCsrf() {
-      var m = document.cookie.match(/csrf_token=([^;]+)/);
-      return m ? m[1] : '';
+      var m = getCsrf();;
+      return m;
    },

    _syncSidebar() {
@@ -740,7 +740,7 @@ function libraryPage() {
      var item = store && store.node;
      if (!item) return;
      var self = this;
-      fetch('/api/local-workspace/items/' + item.id + '/tags/' + tagId, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'DELETE' })
+      fetch('/api/local-workspace/items/' + item.id + '/tags/' + tagId, {headers: {'X-CSRF-Token': getCsrf()},  method: 'DELETE' })
        .then(function(r) {
          if (!r.ok) return;
          item.tags = (item.tags || []).filter(function(t) { return t.id !== tagId; });
@@ -760,7 +760,7 @@ function libraryPage() {
      try {
        var r = await fetch('/api/local-workspace/items/' + item.id + '/tags', {
          method: 'POST',
-          headers: {'Content-Type': 'application/json', 'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},
+          headers: {'Content-Type': 'application/json', 'X-CSRF-Token': getCsrf()},
          body: JSON.stringify({name: tagName, color: color})
        });
        if (r.ok) {
@@ -300,7 +300,7 @@ window._wsInitData = (function() {
      var self = this;
      // Soft-delete all selected items
      for (var i=0; i<ids.length; i++) {
-        await fetch('/api/local-workspace/items/' + ids[i], {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'DELETE' });
+        await fetch('/api/local-workspace/items/' + ids[i], {headers: {'X-CSRF-Token': getCsrf()},  method: 'DELETE' });
      }
      this.clearSelection();
      this._reloadAfterAction();
@@ -643,7 +643,7 @@ window._wsInitData = (function() {
        var r = await fetch('/board/api/pages/' + node.id + '/icon', {
          method: 'POST',
          headers: {'Content-Type': 'application/json',
-                    'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/) || [])[1] || ''},
+                    'X-CSRF-Token': getCsrf()},
          body: JSON.stringify({icon: icon})
        });
        if (!r.ok) throw new Error('icon update failed');
@@ -725,7 +725,7 @@ window._wsInitData = (function() {
      color = color || (store && store.newTagColor) || '#787774';
      try {
        var r = await fetch('/api/local-workspace/items/' + node.id + '/tags', {
-          method: 'POST', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          method: 'POST', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify({name: tagName, color: color})
        });
        if (r.ok) {
@@ -862,7 +862,7 @@ window._wsInitData = (function() {
      if (!newName) return;
      try {
        var r = await fetch('/api/local-workspace/items/' + id, {
-          method: 'PUT', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          method: 'PUT', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify({name: newName})
        });
        if (r.ok) {
@@ -1042,7 +1042,7 @@ window._wsInitData = (function() {
      this.renamingId = null;
      if (!n || n === node.name) return;
      var r = await fetch('/api/local-workspace/items/' + node.id, {
-        method: 'PUT', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        method: 'PUT', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body: JSON.stringify({name: n})
      });
      if (r.ok) {
@@ -1096,7 +1096,7 @@ window._wsInitData = (function() {
        var targetId = this.currentFolder > 0 ? this.currentFolder : null;
        this.clipboard.forEach(function(id) {
          fetch('/api/local-workspace/items/' + id + '/move', {
-            method: 'PUT', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            method: 'PUT', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify({parent_id: targetId})
          }).then(function(r) { if (r.ok) self._reloadAfterAction(); });
        });
@@ -1107,7 +1107,7 @@ window._wsInitData = (function() {
    // ── Duplicate ──
    async duplicateItem(node) {
      var r = await fetch('/api/local-workspace/items', {
-        method: 'POST', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        method: 'POST', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body: JSON.stringify({name: node.name + ' (copy)', type: node.type || 'page',
          parent_id: this.currentFolder > 0 ? this.currentFolder : null})
      });
@@ -1135,7 +1135,7 @@ window._wsInitData = (function() {
      this.undoMessage = 'Deleted "' + (node.name || 'item') + '"';
      this.undoVisible = true;
      // Delete via API
-      var r = await fetch('/api/local-workspace/items/' + this.undoItemId, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method:'DELETE' });
+      var r = await fetch('/api/local-workspace/items/' + this.undoItemId, {headers: {'X-CSRF-Token': getCsrf()},  method:'DELETE' });
      if (!r.ok) { this.undoVisible = false; return; }
      // Reload from API for reliability (sidebar refresh handled by _reloadAfterAction)
      this._reloadAfterAction();
@@ -1159,7 +1159,7 @@ window._wsInitData = (function() {
          self._reloadAfterAction();
          return;
        }
-        fetch('/api/local-workspace/items/' + ids[i] + '/restore', {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'POST' })
+        fetch('/api/local-workspace/items/' + ids[i] + '/restore', {headers: {'X-CSRF-Token': getCsrf()},  method: 'POST' })
          .finally(function() { restoreOne(i + 1); });
      }
      restoreOne(0);
@@ -1455,7 +1455,7 @@ window._wsInitData = (function() {
      if (this.parentFolder) body.parent_id = this.parentFolder.db_id;
      var r = await fetch('/api/local-workspace/items', {
        method:'POST',
-        headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body:JSON.stringify(body)
      });
      if (r.ok) {
@@ -1539,7 +1539,7 @@ window._wsInitData = (function() {
      if (!n||!this.target) return;
      var r = await fetch('/api/local-workspace/items/'+this.target.db_id, {
        method:'PUT',
-        headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body:JSON.stringify({name:n})
      });
      if (r.ok) { this._reloadAfterAction(); }
@@ -1552,7 +1552,7 @@ window._wsInitData = (function() {

    async doDelete() {
      if (!this.target) return;
-      var r = await fetch('/api/local-workspace/items/'+this.target.db_id, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method:'DELETE' });
+      var r = await fetch('/api/local-workspace/items/'+this.target.db_id, {headers: {'X-CSRF-Token': getCsrf()},  method:'DELETE' });
      if (r.ok) { this._reloadAfterAction(); }
    },

@@ -1739,7 +1739,7 @@ window._wsInitData = (function() {
      try {
        var r = await fetch('/api/local-workspace/items/' + itemId + '/move', {
          method: 'PUT',
-          headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'',  'Content-Type': 'application/json' },
+          headers: {'X-CSRF-Token': getCsrf(),  'Content-Type': 'application/json' },
          body: JSON.stringify(body)
        });
        if (r.ok) {
@@ -1834,7 +1834,7 @@ window._wsInitData = (function() {
      try {
        var r = await fetch('/api/local-workspace/items/' + itemId + '/tags', {
          method: 'POST',
-          headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type': 'application/json'},
+          headers: {'X-CSRF-Token': getCsrf(), 'Content-Type': 'application/json'},
          body: JSON.stringify({name: tagName})
        });
        if (r.ok) {
@@ -1853,7 +1853,7 @@ window._wsInitData = (function() {

    async removeTag(itemId, tagId) {
      try {
-        var r = await fetch('/api/local-workspace/items/' + itemId + '/tags/' + tagId, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, 
+        var r = await fetch('/api/local-workspace/items/' + itemId + '/tags/' + tagId, {headers: {'X-CSRF-Token': getCsrf()}, 
          method: 'DELETE'
        });
        if (r.ok) {
@@ -1999,7 +1999,7 @@ window._wsInitData = (function() {
        try {
          await fetch('/api/local-workspace/items/' + ids[i] + '/move', {
            method: 'PUT',
-            headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify({ parent_id: parentId || null })
          });
        } catch { /* volontaire */ }
@@ -1499,7 +1499,7 @@ replaceBlock(idx,type){const b=this.blocks[idx];if(!b)return;this.sync();this.pu
        cutSelectedBlocks(){const indices=_selIndicesSorted();if(!indices.length)return;this.sync();this.pushHistory();const selected=indices.map(i=>this.blocks[i]).filter(Boolean);if(!selected.length)return;const md=this._blocksToMarkdown(selected);if(navigator.clipboard&&navigator.clipboard.writeText){navigator.clipboard.writeText(md).then(()=>{});}this.blocks=this.blocks.filter((b,i)=>indices.indexOf(i)<0);if(!this.blocks.length)this.blocks=[this.mkB('paragraph','')];this.dirty=true;this.autoSave();this.render();_rtSync();_selClear();this.showToast('Blocs coupés');},
        async pasteBlocks(){const idx=this._focusedIdx();if(idx<0)return;try{const text=await navigator.clipboard.readText();if(!text||!text.trim())return;const parsed=this.md2b(text);if(!parsed.length)return;this.sync();this.pushHistory();this.blocks.splice(idx+1,0,...parsed);this.dirty=true;this.autoSave();this.render();_rtSync();this._focusBid(parsed[parsed.length-1].id);_selClear();}catch(e){if(e.name==='NotAllowedError'){this.showToast('Permission presse-papier refusée');}else{this.showToast('Coller impossible','error');}}},
        _focusedIdx(){const a=this.getActiveBlock();return a?a.idx:-1;},
-        async moveBlockToPage(idx,pageId){if(idx<0||idx>=this.blocks.length||pageId===this.pid)return;this.sync();this.pushHistory();const block=this.blocks[idx];const self=this;const csrf=document.cookie.match(/csrf_token=([^;]+)/);this.showToast('Déplacement du bloc…');try{const r=await fetch(`/board/api/pages/${pageId}`,{credentials:'same-origin'});const d=await r.json();let tblocks=[];if(d.content_format==='blocks'&&d.content){try{tblocks=JSON.parse(d.content);}catch(e){tblocks=[];}}tblocks.push(block);await fetch(`/board/api/pages/${pageId}/blocks`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},body:JSON.stringify({title:d.title||'',blocks:tblocks})});
+        async moveBlockToPage(idx,pageId){if(idx<0||idx>=this.blocks.length||pageId===this.pid)return;this.sync();this.pushHistory();const block=this.blocks[idx];const self=this;const csrf = getCsrf();;this.showToast('Déplacement du bloc…');try{const r=await fetch(`/board/api/pages/${pageId}`,{credentials:'same-origin'});const d=await r.json();let tblocks=[];if(d.content_format==='blocks'&&d.content){try{tblocks=JSON.parse(d.content);}catch(e){tblocks=[];}}tblocks.push(block);await fetch(`/board/api/pages/${pageId}/blocks`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},body:JSON.stringify({title:d.title||'',blocks:tblocks})});
          if(this.blocks.length<=1){this.blocks[0]=this.mkB('paragraph','');}else{this.blocks.splice(idx,1);}this.dirty=true;this.autoSave();this.render();_rtSync();_selClear();this.showToast('Bloc déplacé');
        }catch(e){this.showToast('Échec du déplacement','error');}},

@@ -1585,9 +1585,9 @@ applyAIBlocks(text){
        },

        toggleFavorite(){
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
+          const csrf = getCsrf();;
          const m=this.favorited?'DELETE':'POST';
-          fetch(`/board/api/favorites/${this.pid}`,{method:m,headers:{'X-CSRF-Token':csrf?csrf[1]:''}})
+          fetch(`/board/api/favorites/${this.pid}`,{method:m,headers:{'X-CSRF-Token':csrf}})
            .then(r=>r.json()).then(()=>{this.favorited=!this.favorited;this.showToast(this.favorited?'Added to favorites':'Removed from favorites');
              if(window.appState&&window.appState.refreshFavorites)window.appState.refreshFavorites();
            }).catch(()=>{this.showToast('Failed to toggle favorite');});
@@ -1608,8 +1608,8 @@ applyAIBlocks(text){
        _syncIsShared(){this.pageIsShared=!!(this.pagePublished||this.generalAccess==='anyone'||(this.accessList||[]).length>0);},
        togglePublish(){this.pagePublished=!this.pagePublished;this._syncIsShared();this.saveShare();},
        saveShare(){
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
-          fetch(`/board/api/share/${this.pid}`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},body:JSON.stringify({mode:this.generalAccess,published:this.pagePublished})}).then(()=>this._syncIsShared()).catch(()=>{});
+          const csrf = getCsrf();;
+          fetch(`/board/api/share/${this.pid}`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},body:JSON.stringify({mode:this.generalAccess,published:this.pagePublished})}).then(()=>this._syncIsShared()).catch(()=>{});
        },
        async copyPageLink(){
          console.log('copyPageLink invoked');
@@ -1632,10 +1632,10 @@ applyAIBlocks(text){
        },
        publishPage() {
          var self = this;
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          fetch('/api/pages/' + this.pid + '/publish', {
            method: 'POST',
-            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf ? csrf[1] : '' }
+            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf }
          }).then(function(r){ return r.json(); }).then(function(d){
            if (d.is_published) {
              self.pagePublished = true;
@@ -1648,10 +1648,10 @@ applyAIBlocks(text){
        },
        unpublishPage() {
          var self = this;
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          fetch('/api/pages/' + this.pid + '/publish', {
            method: 'DELETE',
-            headers: { 'X-CSRF-Token': csrf ? csrf[1] : '' }
+            headers: { 'X-CSRF-Token': csrf }
          }).then(function(r){ return r.json(); }).then(function(d){
            if (!d.is_published) {
              self.pagePublished = false;
@@ -1665,10 +1665,10 @@ applyAIBlocks(text){
        shareInvite() {
          var self = this;
          if (this.inviteGroupId) {
-            var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+            var csrf = getCsrf();;
            fetch('/api/pages/' + this.pid + '/share', {
              method: 'POST',
-              headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf ? csrf[1] : '' },
+              headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
              body: JSON.stringify({ group_id: this.inviteGroupId, permission: this.invitePermission })
            }).then(function(r){ return r.json(); }).then(function(d){
              if (d.status === 'shared') {
@@ -1680,10 +1680,10 @@ applyAIBlocks(text){
            return;
          }
          if (!this.inviteEmail.trim()) return;
-          var csrf2 = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf2 = getCsrf();;
          fetch('/api/pages/' + this.pid + '/share', {
            method: 'POST',
-            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf2 ? csrf2[1] : '' },
+            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf2 },
            body: JSON.stringify({ user_id: this.inviteUserId, email: this.inviteEmail.trim(), permission: this.invitePermission })
          }).then(function(r){ return r.json(); }).then(function(d){
            if (d.status === 'shared') {
@@ -1760,10 +1760,10 @@ applyAIBlocks(text){
        },
        updateShare(sid, perm) {
          var self = this;
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          fetch('/api/pages/' + this.pid + '/share/' + sid, {
            method: 'PUT',
-            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf ? csrf[1] : '' },
+            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
            body: JSON.stringify({ permission: perm })
          }).then(function(r){ return r.json(); }).then(function(d){
            self.showToast(d.status === 'updated' ? 'Permission updated' : (d.detail || 'Update failed'));
@@ -1779,10 +1779,10 @@ applyAIBlocks(text){
        },
        removeShare(sid) {
          var self = this;
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          fetch('/api/pages/' + this.pid + '/share/' + sid, {
            method: 'DELETE',
-            headers: { 'X-CSRF-Token': csrf ? csrf[1] : '' }
+            headers: { 'X-CSRF-Token': csrf }
          }).then(function(r){ return r.json(); }).then(function(d){
            if (d.status === 'removed') { self.showToast('Share removed'); self.loadShares(); }
            else { self.showToast(d.detail || 'Remove failed'); }
@@ -1794,7 +1794,7 @@ applyAIBlocks(text){
          this.moreOpen=false;
          this.exportOpen=false;
          // Ensure latest blocks are persisted before exporting any format
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          var self = this;
          var doDownload = function(){
            var title = encodeURIComponent((self.pageTitle || 'Untitled').trim() || 'Untitled');
@@ -1813,7 +1813,7 @@ applyAIBlocks(text){
            doDownload();
          }
        },
-        duplicatePage(){this.moreOpen=false;const csrf=document.cookie.match(/csrf_token=([^;]+)/);const t=(this.pageTitle||'').trim()||'New Page';fetch(`/board/api/pages?title=${encodeURIComponent(t+' copy')}&section=Private&project=${encodeURIComponent(PD.workspace_key||'')}`,{method:'POST',headers:{'X-CSRF-Token':csrf?csrf[1]:''}}).then(r=>r.json()).then(d=>{window.location.href=`/pages/${d.id}`;}).catch(()=>{window.showToast('Duplicate failed','error');});},
+        duplicatePage(){this.moreOpen=false;const csrf = getCsrf();;const t=(this.pageTitle||'').trim()||'New Page';fetch(`/board/api/pages?title=${encodeURIComponent(t+' copy')}&section=Private&project=${encodeURIComponent(PD.workspace_key||'')}`,{method:'POST',headers:{'X-CSRF-Token':csrf}}).then(r=>r.json()).then(d=>{window.location.href=`/pages/${d.id}`;}).catch(()=>{window.showToast('Duplicate failed','error');});},
        movePage(){
          this.moreOpen=false;
          this.moveOpen = true;
@@ -1829,11 +1829,11 @@ applyAIBlocks(text){
        },
        doMove(wsId) {
          this.moveOpen = false;
-          var csrf = document.cookie.match(/csrf_token=([^;]+)/);
+          var csrf = getCsrf();;
          var self = this;
          fetch('/board/api/pages/' + this.pid + '/move', {
            method: 'PUT',
-            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf ? csrf[1] : '' },
+            headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf },
            body: JSON.stringify({ workspace_id: wsId })
          }).then(function(r){ return r.json(); })
            .then(function(d){
@@ -1846,7 +1846,7 @@ applyAIBlocks(text){
            })
            .catch(function(){ self.showToast('Move failed'); });
        },
-        deletePage(){this.moreOpen=false;if(!confirm('Move to Trash?'))return;const csrf=document.cookie.match(/csrf_token=([^;]+)/);fetch(`/board/api/pages/${this.pid}/trash`,{method:'POST',headers:{'X-CSRF-Token':csrf?csrf[1]:''}}).then(()=>{window.location.href='/';}).catch(()=>{window.showToast('Failed','error');});},
+        deletePage(){this.moreOpen=false;if(!confirm('Move to Trash?'))return;const csrf = getCsrf();;fetch(`/board/api/pages/${this.pid}/trash`,{method:'POST',headers:{'X-CSRF-Token':csrf}}).then(()=>{window.location.href='/';}).catch(()=>{window.showToast('Failed','error');});},
        downloadFile(){this.moreOpen=false;if(!this.fileUrl)return;var a=document.createElement('a');a.href=this.fileUrl;a.download='';document.body.appendChild(a);a.click();document.body.removeChild(a);this.showToast('Download started','success');},
        async copyFileContent(){this.moreOpen=false;if(!this.fileUrl)return;try{var r=await fetch('/api/pages/'+this.pid+'/file-content');var d=await r.json();if(d.ok&&d.content!==undefined){await navigator.clipboard.writeText(d.content);this.showToast('Content copied to clipboard','success');}else{this.showToast('Not a text file','error');}}catch(e){this.showToast('Copy failed','error');}},

@@ -1871,12 +1871,12 @@ applyAIBlocks(text){
        async createDbFromTemplate(tplName){
          const self=this;
          var name = tplName ? (tplName+' — '+new Date().toLocaleDateString('fr-FR')) : 'Database';
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
+          const csrf = getCsrf();;
          try{
            const body={name:name, parent_page_id:this.pid};
            if(tplName) body.template=tplName;
            const r=await fetch('/db/inline/api',{
-              method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},
+              method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},
              body:JSON.stringify(body)
            });
            const d=await r.json();
@@ -1896,10 +1896,10 @@ applyAIBlocks(text){
        async createForm(){
          const name=prompt('Form name:','New Form');
          if(!name||!name.trim())return;
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
+          const csrf = getCsrf();;
          try{
            const r=await fetch('/db/inline/api',{
-              method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},
+              method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},
              body:JSON.stringify({name:name.trim(),parent_page_id:this.pid})
            });
            const d=await r.json();
@@ -2106,7 +2106,7 @@ applyAIBlocks(text){
        toggleComments(){this.commentsOpen=!this.commentsOpen;if(this.commentsOpen)this.loadComments();},
        async loadComments(){try{const r=await fetch('/api/pages/'+this.pid+'/comments',{credentials:'same-origin'});const d=await r.json();this.comments=d.comments||[];this.commentCount=this.comments.length;}catch(e){this.comments=[];}},
        fmtTime(s){if(!s)return '';const t=new Date((String(s).includes('T')||String(s).includes('Z'))?s:(s+'Z'));if(isNaN(t.getTime()))t=new Date(s);const diff=Math.floor((Date.now()-t.getTime())/1000);if(diff<60)return 'just now';if(diff<3600)return Math.floor(diff/60)+'m ago';if(diff<86400)return Math.floor(diff/3600)+'h ago';return Math.floor(diff/86400)+'d ago';},
-        csrfTok(){return (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'';},
+        csrfTok(){return getCsrf();},
        async addPageComment(){
          const text=(this.commentDraft||'').trim();if(!text)return;
          const self=this;const sel=this._commentSel;
@@ -2378,8 +2378,8 @@ applyAIBlocks(text){
              this._fileTitleT=null;
              const title=(this.pageTitle||'').trim();
              if(!title)return;
-              const csrf=document.cookie.match(/csrf_token=([^;]+)/);
-              fetch(`/board/api/pages/${this.pid}?title=${encodeURIComponent(title)}`,{method:'PUT',headers:{'X-CSRF-Token':csrf?csrf[1]:''}})
+              const csrf = getCsrf();;
+              fetch(`/board/api/pages/${this.pid}?title=${encodeURIComponent(title)}`,{method:'PUT',headers:{'X-CSRF-Token':csrf}})
                .then(()=>{this.dirty=false;})
                .catch(()=>{});
            },600);
@@ -2400,8 +2400,8 @@ applyAIBlocks(text){
              .catch(()=>{this.saving=false;});
          };
          if(!navigator.onLine){queueOffline();return;}
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
-          fetch(`/board/api/pages/${this.pid}/blocks`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},body:JSON.stringify({title:this.pageTitle,blocks:blocksArr})})
+          const csrf = getCsrf();;
+          fetch(`/board/api/pages/${this.pid}/blocks`,{method:'POST',headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},body:JSON.stringify({title:this.pageTitle,blocks:blocksArr})})
          .then(r=>r.json()).then(()=>{this.saving=false;this.dirty=false;this.lastSaved=new Date().toLocaleTimeString();
            this._syncTitleUI();
            if(cb)cb();
@@ -2411,11 +2411,11 @@ applyAIBlocks(text){
          const idx=this.getIdx(bid);if(idx<0)return;
          const b=this.blocks[idx];
          if(!b.automation_id){this.pickAutomation(bid);return;}
-          const csrf=document.cookie.match(/csrf_token=([^;]+)/);
+          const csrf = getCsrf();;
          const self=this;
          this.showToast('⚡ '+ (b.automation_name||'Automation') + '…');
          fetch('/api/automations/'+b.automation_id+'/run',{method:'POST',
-            headers:{'Content-Type':'application/json','X-CSRF-Token':csrf?csrf[1]:''},
+            headers:{'Content-Type':'application/json','X-CSRF-Token':csrf},
            body:JSON.stringify({page_id:this.pid})})
            .then(r=>r.json())
            .then(d=>{
@@ -146,7 +146,7 @@ function settingsInit() {
        var n = this.newTagName.trim();
        if (!n) return;
        var r = await fetch('/api/settings/tags', {
-          method: 'POST', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          method: 'POST', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify({name: n, color: this.newTagColor})
        });
        if (r.ok) { this.newTagName = ''; this.newTagColor = '#787774'; await this.loadTags(); }
@@ -154,7 +154,7 @@ function settingsInit() {

      async updateTagColor(id, color) {
        await fetch('/api/settings/tags/' + id, {
-          method: 'PUT', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          method: 'PUT', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify({color: color})
        });
        await this.loadTags();
@@ -162,7 +162,7 @@ function settingsInit() {

      async deleteTag(id) {
        if (!confirm('Delete this tag?')) return;
-        await fetch('/api/settings/tags/' + id, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'DELETE' });
+        await fetch('/api/settings/tags/' + id, {headers: {'X-CSRF-Token': getCsrf()},  method: 'DELETE' });
        await this.loadTags();
      },

@@ -183,7 +183,7 @@ function settingsInit() {
          this.renamingTag = null; return;
        }
        await fetch('/api/settings/tags/' + tag.id, {
-          method: 'PUT', headers: {'Content-Type':'application/json', 'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},
+          method: 'PUT', headers: {'Content-Type':'application/json', 'X-CSRF-Token': getCsrf()},
          body: JSON.stringify({name: newName})
        });
        this.renamingTag = null;
@@ -456,7 +456,7 @@ function settingsInit() {
        try {
          var r = await fetch('/api/agent/keys/' + id + '/models', {
            method: 'POST',
-            headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify({api_key: f.api_key, api_base: f.api_base})
          });
          var d = await r.json();
@@ -485,7 +485,7 @@ function settingsInit() {
          if (f.models && f.models.length) body.models = f.models;
          var r = await fetch('/api/agent/keys/' + id, {
            method: 'PUT',
-            headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify(body)
          });
          var d = await r.json();
@@ -521,7 +521,7 @@ function settingsInit() {
          if (f.api_key) body.api_key = f.api_key;
          var r = await fetch('/api/agent/keys/' + id + '/test', {
            method: 'POST',
-            headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+            headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
            body: JSON.stringify(body)
          });
          var d = await r.json();
@@ -547,7 +547,7 @@ function settingsInit() {
        var f = this.keyForm(id);
        f.deleting = true; f.msg = ''; f.ok = false;
        try {
-          var r = await fetch('/api/agent/keys/' + id, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'DELETE' });
+          var r = await fetch('/api/agent/keys/' + id, {headers: {'X-CSRF-Token': getCsrf()},  method: 'DELETE' });
          var d = await r.json();
          if (r.ok) {
            f.has_key = false; f.api_key = ''; f.models = []; f.model = ''; f.last_error = '';
@@ -707,7 +707,7 @@ function settingsInit() {
        if (!file) return;
        var form = new FormData();
        form.append('file', file);
-        var r = await fetch('/api/settings/avatar', {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''},  method: 'POST', body: form });
+        var r = await fetch('/api/settings/avatar', {headers: {'X-CSRF-Token': getCsrf()},  method: 'POST', body: form });
        if (r.ok) {
          var d = await r.json();
          this.avatarUrl = d.avatar_url + '?t=' + Date.now();
@@ -718,7 +718,7 @@ function settingsInit() {
      async selectAvatarColor(color) {
        this.avatarColor = color;
        var r = await fetch('/api/settings/avatar-color', {
-          method: 'POST', headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+          method: 'POST', headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
          body: JSON.stringify({color: color})
        });
        if (r.ok) { this.avatarUrl = ''; }
@@ -863,7 +863,7 @@ function settingsInit() {
      // ── v5.2.0 API tokens ──
      async loadApiTokens() {
        try {
-          var r = await fetch('/api/settings/tokens', {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, credentials:'same-origin'});
+          var r = await fetch('/api/settings/tokens', {headers: {'X-CSRF-Token': getCsrf()}, credentials:'same-origin'});
          var d = await r.json();
          this.apiTokens = d.tokens || [];
        } catch { this.apiTokens = []; }
@@ -873,7 +873,7 @@ function settingsInit() {
        if (!name) return;
        try {
          var r = await fetch('/api/settings/tokens', {method:'POST', credentials:'same-origin',
-            headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'}, body: JSON.stringify({name: name})});
+            headers: {'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'}, body: JSON.stringify({name: name})});
          var d = await r.json();
          if (!r.ok) { window.showToast && window.showToast(d.detail || 'Erreur', 'error'); return; }
          this.newToken = d;
@@ -41,7 +41,7 @@ function workspacesPage() {
    },

    async selectLocal(ws) {
-      await fetch(`/api/workspaces/${ws.id}/select`, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, method:'POST'});
+      await fetch(`/api/workspaces/${ws.id}/select`, {headers: {'X-CSRF-Token': getCsrf()}, method:'POST'});
      window.location = '/local-workspace';
    },

@@ -49,7 +49,7 @@ function workspacesPage() {
      if (!this.wsName.trim()) return;
      await fetch('/api/workspaces', {
        method:'POST',
-        headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body:JSON.stringify({name:this.wsName.trim()})
      });
      this.wsName = '';
@@ -67,7 +67,7 @@ function workspacesPage() {
      if (!this.wsName.trim()||!this.renameTarget) return;
      await fetch(`/api/workspaces/${this.renameTarget.id}`, {
        method:'PUT',
-        headers:{'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||'', 'Content-Type':'application/json'},
+        headers:{'X-CSRF-Token': getCsrf(), 'Content-Type':'application/json'},
        body:JSON.stringify({name:this.wsName.trim()})
      });
      this.wsName = '';
@@ -78,7 +78,7 @@ function workspacesPage() {

    async deleteWs(ws) {
      if (!confirm(`Delete workspace "${ws.name}" and all its pages?`)) return;
-      await fetch(`/api/workspaces/${ws.id}`, {headers: {'X-CSRF-Token': (document.cookie.match(/csrf_token=([^;]+)/)||[])[1]||''}, method:'DELETE'});
+      await fetch(`/api/workspaces/${ws.id}`, {headers: {'X-CSRF-Token': getCsrf()}, method:'DELETE'});
      await this.load();
    },

@@ -8,8 +8,8 @@
   ═══════════════════════════════════════════════════════════ */
 'use strict';

-const CACHE_NAME = 'flowdeck-v6';
-const DATA_CACHE = 'flowdeck-data-v6';
+const CACHE_NAME = 'flowdeck-v7';  // v7 : A20 (htmx allowEval off, Inter auto-hébergé)
+const DATA_CACHE = 'flowdeck-data-v7';

 // App shell (assets versionnés comme référencés dans les templates).
 const PRECACHE_URLS = [
@@ -2554,7 +2554,12 @@ def test_all_view_tabs_present(client):
    resp = client.get(f"/db/{coll_id}/view/table")
    assert resp.status_code == 200
    for vt in ["table", "board", "calendar", "gallery", "list", "timeline", "gantt", "chart", "form", "map", "feed"]:
-        assert f"?view={vt}" in resp.text, f"Missing view tab: {vt}"
+        # A39/E2E : le nom du paramètre doit être `view_type` (celui de la
+        # route) — `?view=` était ignoré et l'onglet restait sur Table.
+        assert f"?view_type={vt}" in resp.text, f"Missing view tab: {vt}"
+    # et la query commute réellement la vue rendue
+    resp = client.get(f"/db/{coll_id}?view_type=calendar")
+    assert 'class="calendar"' in resp.text


 def test_view_unknown_falls_back_to_table(client):
@@ -226,7 +226,8 @@ def _assert_nonce(csp: str, html: str) -> str:
    assert nm, script_src
    nonce = nm.group(1)
    assert "'unsafe-inline'" not in script_src, script_src
-    assert "'unsafe-eval'" in script_src  # Alpine/htmx — reste d'A20
+    assert "'unsafe-eval'" in script_src  # reste A20 phase 3 (Alpine standard,
+    # build CSP bloqué : 13 exprs non parsables + 24 x-html réactifs → ROADMAP)
    assert "script-src-attr 'unsafe-inline'" in csp
    tags = [
        mm.group(0)
@@ -338,6 +339,101 @@ def test_http_client_shared_and_loop_scoped():
    assert second is not first


+def test_csrf_server_rendered_no_placeholder(client):
+    """A43-1 : `hx-headers` est rendu côté serveur avec le vrai jeton (plus
+    de `__CSRF_PLACEHOLDER__` servi — la fenêtre de course JS disparaît),
+    et la valeur vaut le cookie `csrf_token` de la session."""
+    import json as _json
+
+    page = None
+    for url in ("/", "/dashboard", "/board", "/notes", "/settings", "/workspaces"):
+        cand = client.get(url)
+        if cand.status_code == 200 and "htmx-config" in cand.text:
+            page = cand
+            break
+    assert page is not None, "aucune page base.html atteignable"
+    # 1ʳᵉ visite : cookie créé dans la response → on refait un aller-retour
+    r = client.get(page.url if hasattr(page, "url") else "/dashboard")
+    if "htmx-config" not in r.text:
+        r = page
+    assert "__CSRF_PLACEHOLDER__" not in r.text, "placeholder servi au navigateur"
+    import re as _re
+
+    m = _re.search(r"hx-headers=\'([^\']*)\'", r.text)
+    assert m, "attribut hx-headers absent"
+    token = _json.loads(m.group(1).replace("&quot;", '"'))["X-CSRF-Token"]
+    cookie = client.cookies.get("csrf_token", "")
+    assert cookie, "cookie csrf_token absent"
+    assert token == cookie, (token[:8], cookie[:8])
+
+
+def test_no_duplicate_global_functions():
+    """A38 : aucune fonction `function NAME` GLOBALE (profondeur 0) définie
+    2+ fois entre les templates et static/js — les paires à risque d'ombre
+    silencieuse (onDoc, escHtml, openCardDetail…) vivent dans des IIFEs ou
+    sont dédupliquées (openCardDetail → app.js)."""
+    import pathlib as _pathlib
+    import re as _re
+
+    files = list(_pathlib.Path("app/templates").glob("*.html")) + list(
+        _pathlib.Path("static/js").glob("*.js")
+    )
+    found: dict[str, list[str]] = {}
+    for p in files:
+        s = p.read_text(encoding="utf-8", errors="ignore")
+        depth = 0
+        line = 1
+        i = 0
+        state = None
+        n = len(s)
+        # ponytail: scanner naïve (strings/comments/backticks) — un faux
+        # positif se voit immédiatement à la lecture du nom signalé
+        while i < n:
+            c = s[i]
+            if c == "\n":
+                line += 1
+            if state is None:
+                if c in ('"', "'"):
+                    state = c
+                    i += 1
+                    continue
+                if c == "`":
+                    state = c
+                    i += 1
+                    continue
+                if c == "/" and i + 1 < n and s[i + 1] == "/":
+                    state = "//"
+                    i += 2
+                    continue
+                if c == "/" and i + 1 < n and s[i + 1] == "*":
+                    state = "/*"
+                    i += 2
+                    continue
+                if c == "{":
+                    depth += 1
+                elif c == "}":
+                    depth -= 1
+            else:
+                if c == "\\":
+                    i += 2
+                    continue
+                if (state in ('"', "'") and c == state) or (state == "`" and c == state):
+                    state = None
+                elif state == "//" and c == "\n":
+                    state = None
+                elif state == "/*" and c == "*" and i + 1 < n and s[i + 1] == "/":
+                    state = None
+                    i += 2
+                    continue
+            i += 1
+            if state is None and depth == 0 and s.startswith("function ", i):
+                m = _re.match(r"function\s+([A-Za-z_]\w*)", s[i : i + 60])
+                if m:
+                    found.setdefault(m.group(1), []).append(f"{p.name}:{line}")
+    dups = {k: v for k, v in found.items() if len(v) >= 2}
+    assert dups == {}, dups
+
+
 def test_no_duplicate_routes():
    """A24 : deux routes même méthode+chemin → l'une écrase silencieusement l'autre."""
    from app.main import app
Author	SHA1	Message	Date
bruno	840d2b2615	feat: A20 — htmx allowEval off + plan Alpine CSP phase 3 scopé par probes (v7.37.0) FlowDeck CI / docker (push) Successful in 1m49s Details FlowDeck CI / lint (push) Successful in 1m55s Details FlowDeck CI / test (push) Successful in 15m4s Details Changed : - htmx `allowEval: false` dans le meta htmx-config (base.html) : plus d'évaluation JS côté htmx (hx-on/hx-vars/hx-vals = 0 usage grep → zéro régression possible) ; unsafe-eval reste UNIQUEMENT pour Alpine standard. - Gate E20 renforcée : le smoke vérifie que `Alpine.$data()` lie un vrai composant [x-data] de la page (lien composant = cœur de toute bascule CSP). - sw.js : cache bump flowdeck-v7 (purge + re-precache après Inter). Probes (non conservés, retirés après mesure) — A20 phase 3 scopée : - Build `@alpinejs/csp` téléchargé et TESTÉ : 72 Ko, 0 eval/new Function, parseur d'expressions maison, tourne sous CSP strict (meta sans unsafe-eval) — le lint sélectif fonctionne. - Mais bloqué sur FlowDeck : (a) 13 expressions non parsables par la grammaire restreinte (arrows ×2, typeof ×1, new Date ×4, optional-chaining ×6 ; base, library, local_workspace, settings, gitea_workspace) — le gate E2E a attrapé la première : `CSP Parser Error: Unexpected token: PUNCTUATION ")"` ; (b) 24 `x-html` réactifs (icônes SVG + markdown agent + preview) = INTERDITS par le build CSP (innerHTML) → architecture d'icônes à reposer ; (c) scope des expressions CSP = données du composant uniquement (probe : `Undefined variable: fmtDate` / `document`) → chaque site devient une méthode Alpine.data enregistrée. - Conséquence : build CSP reverté (alpine.min.js ×3 templates + sw), unsafe-eval maintenu, fichier alpine.csp.min.js retiré (re-téléchargeable), assert test CSP de nouveau `in`. Plan de migration composant par composant (library → settings → local_workspace → gitea → base) + gate E2E par surface documenté dans ROADMAP (A20 phase 3). suite 1093/1093 · ruff OK · E2E 2/2 (dont assertion Alpine.$data) · docs à jour (ROADMAP A20 phase 3, CHANGELOG, WORKLOAD, VERSION)	2026-10-02 11:14:47 -04:00
bruno	ab6ac1e84c	feat: fondations E2E + 2 bugs trouvés (onglets ?view=, Inter CSP) (v7.36.0) FlowDeck CI / lint (push) Canceled after 0s Details FlowDeck CI / docker (push) Canceled after 0s Details FlowDeck CI / test (push) Canceled after 3m26s Details Ajout — e2e/smoke.spec.js (2 gates verts contre l'instance de test) : - gate A39 : bascule de vues d'une collection (clic onglet Calendar → ?view_type=calendar, grille .calendar + .cal-header rendue ; collection créée puis SUPPRIMÉE = répétable) - gate A20 : palette Ctrl+K (ouverture Alpine .open, recherche GET rend .cmd-palette-item, fermeture Échap) - filet console : 0 erreur JS/CSP (bruit Failed to load resource 401/403 filtré) - Service Workers bloqués : /sw.js sert sa page « hors ligne » sur les navigations redirigées (redirect:'manual') — pwa_offline.spec.js couvre le SW - bootstrap autonome : login OU création du compte e2e documenté (jamais de mot de passe deviné), workspace si absent - commande : cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js Fixed — trouvés par les gates : 1. Bascule de vues standalone JAMAIS fonctionnelle : les onglets émettaient ?view=… mais la route lit `view_type` (FastAPI) → l'onglet restait sur Table quel que soit le clic (bug pré-existant, A28 n'y est pour rien). Onglets → ?view_type= ; test_all_view_tabs_present adapté + assertion comportementale (GET ?view_type=calendar rend .calendar). 2. Inter bloqué par la CSP depuis v7.27 : app.css importait encore Google Fonts (@import raté par le grep de la passe v7.27) → violation style-src sur chaque page + police en fallback. Inter auto-hébergé : 2 faces variables (100-900, latin + latin-ext) dans static/fonts/, @import supprimé (8 fichiers dupliqués dédupliqués → 2). suite 1093/1093 · ruff OK · E2E 2/2 · docs à jour	2026-10-02 10:23:34 -04:00
bruno	3a74ea8bbd	fix: A35 TERMINÉ — drift Python 3.12→3.13 aligné, rebuild validé (v7.35.0) FlowDeck CI / lint (push) Canceled after 0s Details FlowDeck CI / test (push) Canceled after 0s Details FlowDeck CI / docker (push) Canceled after 0s Details Dernier reliquat de l'A35 (docs/périmètre dérivés) : - Dockerfile : python:3.12-slim → python:3.13-slim (builder + runtime) - .gitea/workflows/ci.yml : python-version '3.12' → '3.13' (lint + test) - README.md : « Python 3.12 » et « python:3.12-slim » → 3.13 (×2) - pyproject.toml : ruff target-version py312 → py313 (0 nouvelle remarque ruff) - zéro référence 3.12 résiduelle ; uv.lock (requires-python >=3.13) et le venv (3.13.14) étaient déjà bons Validation (le point laissé « à faire par un rebuild d'image ») : - docker build VERT sur python:3.13-slim → image flowdeck:a35-py313 - dans le conteneur : python -V = 3.13.16, `import app.main` OK (v7.35.0) → wheels requirements.txt construits + importables sur 3.13 A35 = TERMINÉ (OpenAPI/README/titre dupliqué faits en 7.3.9 + drift). suite 1093/1093 · ruff OK (target py313) · docs à jour	2026-10-02 09:39:02 -04:00
bruno	13dc8fdaad	fix: A38 phase 2 — 0 doublon de fonction globale + garde-fou (v7.34.0) FlowDeck CI / lint (push) Canceled after 0s Details FlowDeck CI / test (push) Canceled after 0s Details FlowDeck CI / docker (push) Canceled after 0s Details - Inventaire exhaustif des 13 noms `function NAME` définis 2+ fois (templates + static/js) avec scan de profondeur de brace (strings, comments, backticks gérés) : 12 sont déjà scopés dans des IIFEs depuis A27 (escHtml/flush/emit/setMeta/initials/up/esc/show/close…) — aucun conflit de page possible. - Seul doublon GLOBALE = openCardDetail (corps byte-identiques ×2 dans board_fragment + detailed_board, fragments de vues mutuellement exclusifs) → dédupliquée vers static/js/app.js, 2 copies supprimées ; les onclick/@click des deux fragments appellent la même définition (owner/repo globaux fournis par board.js au moment du clic). - test_no_duplicate_global_functions : garde-fou 0-doublon entre templates et static/js (scanner naïf, plafond ponytail commenté). Reste A38 : méthodes jumelles library/local_workspace (~9-21 noms communs, corps divergents) → fusion workspace-tree.js reportée (réconciliation sans E2E, même logique que A39/A20). suite 1093/1093 · ruff OK · node --check vert · docs à jour	2026-10-02 09:18:04 -04:00
bruno	770fdc2b68	fix: A43 TERMINÉ + A38 phase 1 — CSRF rendu côté serveur, helper unique (v7.33.0) FlowDeck CI / lint (push) Successful in 1m57s Details FlowDeck CI / test (push) Successful in 15m20s Details FlowDeck CI / docker (push) Canceled after 0s Details A43 (les 4 items sont clos) : - `__CSRF_PLACEHOLDER__` supprimé : ContextVar CSRF_TOKEN posée par CSRFMiddleware avant call_next (même mécanique que le nonce CSP), global `{{ csrf_token() }}` dans templating, base.html rend `{"X-CSRF-Token":{{ csrf_token()\|tojson }}}` — vide si cookie absent, `htmx:configRequest` re-lit le cookie à chaque appel → plus jamais de jeton factice servi. - Palette : `fetch('/api/search…')` SANS header (GET ∈ SAFE_METHODS → CSRF inapplicable) — le JSON.parse du body-attr par frappe disparaît. - utcnow déprécié = 0 dans app/.py ; health loggé (A25) + booléens db/ gitea = raison ; probe réseau = voulu (test de connectivité). A38 phase 1 (CSRF unifié) : - `window.getCsrf()` unique dans le <head> de base.html. - 76 lectures brutes du cookie → getCsrf() dans 13 fichiers (47 formes `(…\|\|[])[1]\|\|''`, 25 déclarations `const X = match(…)` avec conversion de leurs usages `X?X[1]:''` → `X` (noms collectés PAR FICHIER, jamais de règle globale), 4 formes espacées). - Définitions dupliquées supprimées : card_detail.html (multi-lignes), database_table.js (1 ligne dans IIFE → chute sur le global). - Les 3 variantes de base.html (IIFE getCsrf + 2 getCsrfToken) → `return getCsrf()`. - welcome.html garde sa lecture locale (page autonome sans base) ; reste exactement 1 raw dans base.html (la déf head) + 2 dans welcome. Test : test_csrf_server_rendered_no_placeholder (pas de placeholder + token du hx-headers == cookie csrf_token). suite 1092/1092** · ruff OK · node --check vert · docs à jour	2026-10-02 08:45:27 -04:00
@@ -1 +1 @@
 .32.0
 .37.0