refactor(validation): un schema a la frontiere des matchs

ARCH-005, premiere moitie. matches.py et team_matches.py lisaient une
quarantaine de champs sur request.form a la main et les croyaient tous.

Ce que ca produisait n etait pas bruyant :

- edit_match attrapait une heure invalide et faisait start_time = None,
  puis annoncait que le match etait mis a jour. Le match perdait son
  heure et le calendrier l affichait a minuit ;
- match_type etait accepte tel quel. Une valeur inconnue creait un match
  auquel aucun joueur n etait rattache, sans un mot ;
- une fin avant le debut etait enregistree telle quelle ;
- title est NOT NULL dans le modele et n etait pas verifie dans la route,
  donc un titre vide etait un 500 ;
- 'a,b' dans la selection de joueurs arrivait sur int() sans garde.

app/forms.py rassemble les deux fonctions de frontiere, qui vivaient dans
users/_shared.py parce que c est la qu elles avaient d abord servi. Elles
y restent re-exportees, donc aucun des trente appels n a bouge.

Le mixin des schemas lit desormais un champ vide comme un champ absent.
C est ce qui rendait ces formulaires invalidables : un formulaire HTML
envoie tout ce qu il affiche, donc une date optionnelle non remplie
arrive comme '' et non comme rien. Seuls les champs declares optionnels
sont concernes ; un champ requis laisse vide doit toujours echouer.

Deux duplications absorbees au passage, toutes deux nommees par l audit :
la boucle de creation des participants, ecrite deux fois et deja divergee
— la copie de edit_match gardait ses identifiants en chaines et appelait
int() une ligne plus loin — et le contexte de re-affichage du formulaire,
dont les versions courtes faisaient mourir un refus dans tojson sur un
Undefined : un message de validation devenait un 500.

Limite connue et consignee : le formulaire revient rempli avec les
valeurs enregistrees, pas avec la saisie refusee. Reafficher la
soumission demande de toucher aux gabarits, c est un autre changement.

19 tests neufs sur ces routes, qui n en avaient aucun. 447 au total.

app/routes/users/_shared.py

@@ -4,10 +4,15 @@ Nothing here touches the blueprint: these are plain functions, so a test
 can call them with a request context and nothing else.
 """
 
-from flask import flash, request
+from flask import request
 from flask_babel import gettext as _
 
 from app.extensions import db
+
+# Re-exported: these two moved to app/forms.py once the match and tryout
+# routes needed them as well (ARCH-005). Importing them from here still
+# works, so the thirty call sites in this package did not have to move.
+from app.forms import flash_validation_errors, form_payload  # noqa: F401
 from app.models import GAME_PLATFORMS, Admin, Coach, Manager, Player, Scout, UserGamertag
 
 ALLOWED_CONTRACT_EXTENSIONS = {'pdf'}
@@ -57,34 +62,6 @@ def pdf_upload_error(file, allowed_extensions):
     return None
 
 
-def flash_validation_errors(err):
-    """Surface marshmallow errors the same way auth.py already does."""
-    for field, messages in err.messages.items():
-        for msg in messages:
-            flash(_('%(field)s: %(msg)s', field=field, msg=msg), 'danger')
-
-
-def form_payload(*, checkboxes=(), list_fields=('games',), optional_blank=('password',)):
-    """Turn the multi-valued request form into a plain dict for marshmallow.
-
-    request.form.to_dict() keeps only the first value of a repeated key, so
-    list fields have to be re-read with getlist(). Unchecked HTML checkboxes
-    are simply absent from the submission, which is not the same as a schema
-    default, so they are injected explicitly. Blank optional fields are
-    dropped rather than sent as '' — an empty password means "leave the
-    current one alone", not "set the password to the empty string".
-    """
-    payload = request.form.to_dict()
-    for name in list_fields:
-        payload[name] = request.form.getlist(name)
-    for name in checkboxes:
-        payload[name] = name in request.form
-    for name in optional_blank:
-        if not payload.get(name):
-            payload.pop(name, None)
-    return payload
-
-
 def update_user_gamertags(user, selected_games):
     """Update gamertags for a user based on form input."""
     existing_gamertags = {gt.game: gt for gt in user.gamertags}