bruno
840d2b2615
Changed :
- htmx `allowEval: false` dans le meta htmx-config (base.html) : plus
d'évaluation JS côté htmx (hx-on/hx-vars/hx-vals = 0 usage grep → zéro
régression possible) ; unsafe-eval reste UNIQUEMENT pour Alpine standard.
- Gate E20 renforcée : le smoke vérifie que `Alpine.$data()` lie un vrai
composant [x-data] de la page (lien composant = cœur de toute bascule CSP).
- sw.js : cache bump flowdeck-v7 (purge + re-precache après Inter).
Probes (non conservés, retirés après mesure) — A20 phase 3 scopée :
- Build `@alpinejs/csp` téléchargé et TESTÉ : 72 Ko, 0 eval/new Function,
parseur d'expressions maison, tourne sous CSP strict (meta sans
unsafe-eval) — le lint sélectif fonctionne.
- Mais bloqué sur FlowDeck :
(a) 13 expressions non parsables par la grammaire restreinte
(arrows ×2, typeof ×1, new Date ×4, optional-chaining ×6 ;
base, library, local_workspace, settings, gitea_workspace) —
le gate E2E a attrapé la première : `CSP Parser Error: Unexpected
token: PUNCTUATION ")"` ;
(b) 24 `x-html` réactifs (icônes SVG + markdown agent + preview) =
INTERDITS par le build CSP (innerHTML) → architecture d'icônes à
reposer ;
(c) scope des expressions CSP = données du composant uniquement
(probe : `Undefined variable: fmtDate` / `document`) → chaque site
devient une méthode Alpine.data enregistrée.
- Conséquence : build CSP reverté (alpine.min.js ×3 templates + sw),
unsafe-eval maintenu, fichier alpine.csp.min.js retiré (re-téléchargeable),
assert test CSP de nouveau `in`. Plan de migration composant par composant
(library → settings → local_workspace → gitea → base) + gate E2E par
surface documenté dans ROADMAP (A20 phase 3).
suite **1093/1093** · ruff OK · E2E **2/2** (dont assertion Alpine.$data)
· docs à jour (ROADMAP A20 phase 3, CHANGELOG, WORKLOAD, VERSION)
FlowDeck
Clone complet de Notion intégré nativement à Gitea — Databases, Pages, Kanban, Calendar, Gallery, Timeline, List, Multi-Users.
7.3.9 — audit sécurité P0→P2 (A1–A26, A33–A36, A43 : auth 401 partout, CSRF sans exemption cookie-auth, SSRF, autoescape, logs d'exceptions) · avant : v6.7.x SSO/SAML + OIDC, v6.6.x agent API, v6.5.x synced blocks, v6.4.0 realtime, PWA offline
Quick Start
cp .env.example .env
# Éditer .env avec votre token Gitea
docker compose up -d
# → http://localhost:8080
Features
Database & Properties (v1.3–v1.5)
- Collections: databases indépendantes de Gitea, schéma JSON
- 21 types de propriétés: title, text, number, select, status, date, person, checkbox, url, email, phone, files, unique_id, relation, rollup, formula + auto-props
- Relations bidirectionnelles + Rollups (12 agrégations) + Formulas (19 fonctions)
- GiteaBoardCompat: adaptateur boards Gitea legacy → Collections
Vues Multiples (v1.6–v1.7)
- Table: colonnes SSR, triables
- Board (Kanban): colonnes, groupes, drag & drop
- Calendar: grid mensuel, navigation, événements
- Gallery: cartes visuelles, card_size configurable
- List: vue compacte avec preview
- Timeline: barres Gantt horizontales
- Status Overview: Donut chart SVG
- Team Load: Barres empilées
Sub-items & Dépendances (v1.8)
- Sub-items: parent_id auto-référence, hiérarchie illimitée
- Status aggregate: parent = Done si tous enfants Done
- Dependencies: Blocking/Blocked by, contrainte de transition
My Tasks (v1.9)
- Dashboard cross-collection agrégeant toutes les tâches assignées
- Vues: All, Today, Overdue, Next 7 days
Multi-User & Collaboratif (v2.0)
- Workspaces: espaces partagés avec rôles (admin, editor, commenter, viewer)
- Comments: commentaires threadés sur les pages
- Page History: historique des modifications avec snapshots
- Favorites: favoris par utilisateur
- Templates: database + page templates
- CSV Import/Export
- Public Sharing: lien de partage lecture seule
API & Intégrations (v6.3–v6.6)
- API publique REST v2:
/api/v2— CRUD complet, Bearer + scopesread/write/admin, pagination, filtres, erreurs RFC 7807, idempotence, audit — guide · OpenAPI/docs - API agent publique (v6.6):
/api/v2/agents/*— agents, conversations, run synchrone JSON, journal d'actions + rollback,triggerexterne - Marketplace de skills (v6.6): export/import portable + galerie de 6 presets installables (
/api/v2/skills/*), section « Galerie » dans la palette/de l'agent - API publique v1:
/api/v1(lecture seule, compat) - Webhooks sortants: gestion + dispatcher d'événements (CRUD v2)
- Web Clipper: extension navigateur Manifest V3 (article/sélection/bookmark/screenshot)
- PWA: manifest.json + service worker, offline support
UI Notion-Style (v1.1–v1.2)
- Sidebar gauche avec sections hiérarchiques
- Topbar avec breadcrumbs (workspace > projet > page)
- Dark mode Notion:
#191919fond,#222222sidebar - Éditeur de blocs: slash menu (/), navigation clavier, placeholders
Intégration Gitea
- Issues Gitea → cartes, sync labels, milestones, assignees, due dates
- OAuth2 Gitea, CSRF, rate limiting, webhooks
Stack
| Couche | Techno |
|---|---|
| Frontend | Jinja2 + HTMX + Alpine.js + SortableJS + CSS |
| Backend | Python 3.13 + FastAPI + httpx |
| BDD | SQLite (WAL, 21 tables) — /data/flowdeck.db |
| Déploiement | Docker (python:3.13-slim), docker-compose |
Configuration
GITEA_URL=https://git.dracodev.net
GITEA_TOKEN=votre_token
APP_PORT=8080
DATABASE_URL=sqlite:////data/flowdeck.db
Tests
python3 -m pytest tests/ -v # 764/764 passent (0 skip)
Roadmap
Voir ROADMAP.md — 7/7 blocs complétés, 52/52 features ✅
Licence
MIT