bruno de751ffe35 feat: A20 TERMINÉ — Alpine en build CSP, unsafe-eval retiré de la CSP (v7.43.0) ...

La bascule A20 phase 3 :
- static/js/alpine.csp.min.js (build officiel @alpinejs/csp, 0
  eval/new Function, parseur maison) servi partout : base.html,
  import.html, welcome.html + entree sw.js (cache bump v8).
- CSP : script-src 'self' 'nonce-…' — unsafe-eval SUPPRIMÉ (ne servait
  plus qu'Alpine standard). htmx allowEval:false deja pose (v7.37).
- Assertion test inversée : assert "'unsafe-eval'" not in script_src.
- Scan statique final sur TOUS les templates : 0 expression incompatible
  (4 residus = faux positifs dans des chaines de texte).

Pré-requis réunis par les lots 1-3 : 12 surfaces migrées + gateées
(csp_preview), registres Alpine.data, x-html → x-init+Alpine.effect,
délégués window.E, partage d'état lexical, bug topbar corrigé.

Verifs : suite **1094/1094** · ruff OK · eslint 0/0 · **E2E 7/7 sous
CSP reel** (script-src sans unsafe-eval verifie sur l'instance).

Hors gate (scan propre, gitea down) : board/table_view/teamload/
card_detail → à vérifier au premier usage avec gitea remonté (noté
ROADMAP/CHANGELOG).

2026-10-02 16:00:12 -04:00

..

conftest.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_agent.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_ai_writing.py

fix: A27 phase 2c — database_table 1 314 L, extraction A27 terminée (v7.24.0)

2026-10-01 21:10:16 -04:00

test_app.py

feat: fondations E2E + 2 bugs trouvés (onglets ?view=, Inter CSP) (v7.36.0)

2026-10-02 10:23:34 -04:00

test_audit_p0_fixes.py

feat: A20 TERMINÉ — Alpine en build CSP, unsafe-eval retiré de la CSP (v7.43.0)

2026-10-02 16:00:12 -04:00

test_automations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_block_interactions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_db_advanced.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_llm_config.py

v5.2.0: Infrastructure & Polish

2026-09-10 23:47:35 -04:00

test_public_api_v2.py

feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

2026-09-20 13:19:29 -04:00

test_pwa_offline.py

fix: A27 phase 2a — éditeur 2 516 L extrait via page-data JSON (v7.22.0)

2026-10-01 16:12:26 -04:00

test_realtime_v64.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_realtime.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_search_migrations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_service_worker.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_share_groups.py

feat(share,permissions): partage de page par groupes (page_shares)

2026-09-21 06:38:02 -04:00

test_sharing.py

fix: A27 phase 2a — éditeur 2 516 L extrait via page-data JSON (v7.22.0)

2026-10-01 16:12:26 -04:00

test_smoke_uncovered.py

test: A32 TERMINÉ — 6 routes Gitea stubbées + bug prod fd_icon (v7.20.0)

2026-10-01 15:39:21 -04:00

test_sync_migrations.py

feat: v6.0.0 PWA offline support

2026-09-18 13:05:40 -04:00

test_sync.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_topbar_right_actions.py

fix: BUG TOPBAR — boutons du header servis échappés sur toutes les pages (v7.42.0)

2026-10-02 15:39:57 -04:00

test_v52_infra.py

fix: A19 terminé — plus aucun préfixe cookie-auth exempt du CSRF (v7.3.6)

2026-10-01 07:41:23 -04:00

test_v54.py

fix: A26 + A33 + A34 + A35 + A36 + A43 — bande S/XS du P2 (v7.3.9)

2026-10-01 08:50:39 -04:00

test_v55.py

fix: A27 phase 2a — éditeur 2 516 L extrait via page-data JSON (v7.22.0)

2026-10-01 16:12:26 -04:00

test_v56_import.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v57_db_advanced.py

fix: A27 phase 2c — database_table 1 314 L, extraction A27 terminée (v7.24.0)

2026-10-01 21:10:16 -04:00

test_v58_calendar_reminders.py

fix: A27 phase 2c — database_table 1 314 L, extraction A27 terminée (v7.24.0)

2026-10-01 21:10:16 -04:00

test_v60_granular_permissions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v65_synced_db.py

feat: v6.5.0 Synced blocks production — pages contenu par lignes de DB, résolution serveur à chaque lecture, propagation écrite réelle

2026-09-24 08:28:25 -04:00

test_v66_agent_api.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v67_sso.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v68_sites_forms.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v69_search_ask.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v70_automations_workers.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v71_calendar_meetings.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v72_enterprise.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v73_wiki_polish.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v511_v512_wiki_templates.py

fix: A27 phase 2a — éditeur 2 516 L extrait via page-data JSON (v7.22.0)

2026-10-01 16:12:26 -04:00

test_v514_synced_blocks.py

fix: corriger erreurs Ruff lint I001 et W292

2026-09-17 20:38:37 -04:00

test_web_clipper.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_webhooks_v2.py

fix: A42 terminé — client httpx partagé par boucle (v7.28.0)

2026-10-01 23:09:45 -04:00