bruno 1f705ce512 fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6) ...

- 46 appels non-GET équipés de `X-CSRF-Token` (expression cookie en ligne,
  portée indifférente) : agent_panel (9), settings (12), local_workspace (15),
  gitea_workspace (4), workspace (2), workspaces (5), library (2), welcome (2 en v7.3.5)
- 5 derniers préfixes sortis d'`EXCLUDED_PATHS` : /api/workspace (+/api/workspaces),
  /api/local-workspace, /api/settings, /api/gitea, /api/agent
- il ne reste exempté que : Bearer (/api/webhook, /api/v1, /api/v2, /scim/v2),
  callbacks /auth/*, pages publiques (/s/, /f/), /api/csrf-token et /api/frontend-error
- vérif : `node --check` des <script> des 39 templates → 0 échec (avant et après)
- tests : `anon_csrf()` sur les 5 tests d'anonymat devenus CSRF-first
- suite **1026/1026** · `ruff check app tests` OK

2026-10-01 07:41:23 -04:00

..

_ctx_menu.html

fix(workspace): menu contextuel après navigation partielle + sync sidebar/header au rename

2026-09-14 18:20:43 -04:00

_database_table_scripts.html

feat: v6.5.0 Synced blocks production — pages contenu par lignes de DB, résolution serveur à chaque lecture, propagation écrite réelle

2026-09-24 08:28:25 -04:00

_database_table.html

feat(database): inline embed + Open button + side peek + title placeholder

2026-07-22 16:52:19 -04:00

_header.html

feat(workspace,editor): creation dans le dossier courant + sync live du titre (sidebar/header)

2026-09-14 17:05:03 -04:00

_icon_picker.html

feat(icon): Notion-style icon picker + custom workspace emojis; fix side peek file content & ctx menu overflow

2026-09-12 20:05:53 -04:00

_icons.html

feat(icon): Notion-style icon picker + custom workspace emojis; fix side peek file content & ctx menu overflow

2026-09-12 20:05:53 -04:00

_notification_bell.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

_page_editor_content.html

feat(share,permissions): partage de page par groupes (page_shares)

2026-09-21 06:38:02 -04:00

_page_editor_realtime.html

feat: v6.4.0 Realtime production — merge 3-voix (au-delà du LWW) + broadcast non bloquant

2026-09-23 23:55:39 -04:00

_page_editor_scripts.html

feat: v7.3.0 — cycle v6.8.0→v7.3.0 (Sites, Search, Automations, Calendar, SCIM, Wiki) + audit A9

2026-09-30 20:02:57 -04:00

_workspace_tree_macro.html

feat: badge emoji partagé (noir & blanc) dans l'arborescence + sidebar «Par moi» inclut is_shared

2026-09-08 13:57:35 -04:00

accounts.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

agent_message.html

feat(agent): v4.10.0 FlowDeck Agent - agent IA ReAct (SSE, 18 outils + rollback, permissions, skills, triggers, multi-LLM)

2026-09-05 09:58:04 -04:00

agent_panel.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

base.html

fix: A10 — autoescape Jinja2 activé partout via un Environment partagé

2026-09-30 22:28:48 -04:00

board_fragment.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

board.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

card_detail.html

fix: A10 — autoescape Jinja2 activé partout via un Environment partagé

2026-09-30 22:28:48 -04:00

card.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

dashboard.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

detailed_board.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

gitea_workspace.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

import.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

landing.html

feat: v6.0.0 PWA offline support

2026-09-18 13:05:40 -04:00

library.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

local_workspace.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

notes.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

page_editor_collection.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

page_editor_embed.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

page_editor.html

feat(workspace,editor): creation dans le dossier courant + sync live du titre (sidebar/header)

2026-09-14 17:05:03 -04:00

public_page.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

settings.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

status_overview.html

feat: v0.5.0→v0.8.0 — multi-vues, filtres, tri, modale, checklists

2026-07-08 14:29:33 -04:00

table_view.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

team_load.html

feat: sweep complet — tous les émojis → outline SVG icons

2026-07-21 08:27:10 -04:00

trash.html

fix(cloudflare): proteger les scripts inline des pages du Rocket Loader

2026-09-13 12:35:28 -04:00

welcome.html

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

workspace.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

workspaces.html

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00