bruno 7be96f0618 fix: A29 + A42(partiel) — publish partagé, fuite password_hash, data_dir (v7.5.0) ...

- A29 — `app/services/publish.py` : slugify titré unique (fallback aléatoire),
  404 si la page n'existe pas, événements centralisés. Les 3 paires
  publish/unpublish déléguent (sharing = front, board, v2) :
  · board : mise à jour aveugle → 404 + contrôle de session ajouté
  · board : perd `share_mode='anyone'` en bonus, v2 : perd `is_shared=1` —
    le share dialog reste l'unique propriétaire de ces drapeaux
  · v2 : slug fourni conservé, slug vidé aussi à la dépublication (avant : laissé)
  · `/users/me` ×2 et listings collections ×3 = contrats versionnés distincts,
    décision documentée (on garde)
- Byproduct sécurité — `GET /api/users/me` (v1) et le contexte de `/accounts`
  faisaient `SELECT *` sur users → password_hash / login_attempts / locked_until
  exposés → colonnes whitelistées (liste v2)
- A42 (partiel) — 9 copies de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))`
  → `settings.data_dir` (property : lecture à chaque accès, les tests
  monkeypatchent l'env) ; cache Gitea : évacuation des entrées expirées à chaque
  écriture. Reste : client httpx partagé (52 créations, cache par event loop)

tests : test_publish_service_shared_and_safe, test_users_me_no_secret_columns,
test_gitea_cache_evicts_expired

suite **1034/1034** · `ruff check app tests` OK · OpenAPI 511 chemins / 7.5.0
docs (ROADMAP/CHANGELOG/WORKLOAD/VERSION) à jour

2026-10-01 10:01:39 -04:00

..

conftest.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_agent.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_ai_writing.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_app.py

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

test_audit_p0_fixes.py

fix: A29 + A42(partiel) — publish partagé, fuite password_hash, data_dir (v7.5.0)

2026-10-01 10:01:39 -04:00

test_automations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_block_interactions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_db_advanced.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_llm_config.py

v5.2.0: Infrastructure & Polish

2026-09-10 23:47:35 -04:00

test_public_api_v2.py

feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

2026-09-20 13:19:29 -04:00

test_pwa_offline.py

feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

2026-09-20 13:19:29 -04:00

test_realtime_v64.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_realtime.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_search_migrations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_service_worker.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_share_groups.py

feat(share,permissions): partage de page par groupes (page_shares)

2026-09-21 06:38:02 -04:00

test_sharing.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_sync_migrations.py

feat: v6.0.0 PWA offline support

2026-09-18 13:05:40 -04:00

test_sync.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v52_infra.py

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

test_v54.py

fix: A26 + A33 + A34 + A35 + A36 + A43 — bande S/XS du P2 (v7.3.9)

2026-10-01 08:50:39 -04:00

test_v55.py

fix: A12–A24 — SSRF, auth routes legacy, uploads, N+1 et routes doublonnes (v7.3.3)

2026-09-30 23:12:20 -04:00

test_v56_import.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v57_db_advanced.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v58_calendar_reminders.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v60_granular_permissions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v65_synced_db.py

feat: v6.5.0 Synced blocks production — pages contenu par lignes de DB, résolution serveur à chaque lecture, propagation écrite réelle

2026-09-24 08:28:25 -04:00

test_v66_agent_api.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v67_sso.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v68_sites_forms.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v69_search_ask.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v70_automations_workers.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v71_calendar_meetings.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v72_enterprise.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v73_wiki_polish.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v511_v512_wiki_templates.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v514_synced_blocks.py

fix: corriger erreurs Ruff lint I001 et W292

2026-09-17 20:38:37 -04:00

test_web_clipper.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_webhooks_v2.py

feat: v6.5.1 — 7 tests webhooks_v2 dé-skipés (0 skip, 749 verts) + roadmap rattrapée (sync.py Bearer coché)

2026-09-24 09:10:08 -04:00