refactor(csp): migrer dix gabarits vers les comportements declaratifs

OPS-010, suite. 76 gestionnaires en ligne -> 52, dans 5 gabarits au lieu de
15. Le cliquet de tests/test_csp.py est abaisse en consequence.

Six motifs recurrents, generalises dans main.js plutot que traites un a un
  data-action        clic, resolu par un ecouteur delegue
  data-change        changement -- attribut distinct du clic, sans quoi un
                     <select> declencherait son gestionnaire des le clic
                     qui l'ouvre
  data-confirm       confirmation avant un envoi destructeur, en
                     remplacement de onsubmit="return confirm(...)". Le
                     texte reste dans le markup, donc traduisible.
  data-navigate      navigation sur selection, {value} etant encode
  remove-element     suppression d'un ancetre designe par data-remove
  history-back       retour arriere

registerActions()
  Les fonctions propres a une page vivent dans son bloc de script et ne
  peuvent donc pas figurer dans la table globale. Chaque page declare les
  siennes, l'ecouteur delegue reste unique.

Cas particulier, coach_availability
  Le gestionnaire y etait construit dans une chaine JavaScript, au moment
  de generer la grille de creneaux. Le markup portait deja data-day et
  data-time : toggleSlot lit desormais ses arguments depuis l'element, ce
  qui supprime a la fois l'attribut en ligne et la concatenation.

Gabarits migres : my_teams, register, users, view_user, one_on_one,
coach_availability, profile, team_matches, notes, contracts.

Restent, par ordre decroissant : match_form 13, calendar 11, teams 11,
evaluate_player 9, view_tryout 8.

Syntaxe JavaScript de chaque bloc modifie verifiee par node --check.

A noter : la traduction de ces dix gabarits reste a faire. Seules les deux
chaines devenues visibles dans le markup au cours de cette migration -- les
messages de confirmation de suppression -- sont balisees et traduites.

192 tests.

Co-Authored-By: Claude Opus 5 <[email protected]>

app/templates/pages/notes.html

@@ -151,7 +151,7 @@
                                     <i class="fas fa-check"></i> Accept
                                 </button>
                             </form>
-                            <button type="button" class="btn btn-sm btn-danger" onclick="showRejectModal({{ req.id }})" title="Refuse">
+                            <button type="button" class="btn btn-sm btn-danger" data-action="show-reject-modal" data-request-id="{{ req.id }}" title="Refuse">
                                 <i class="fas fa-times"></i> Refuse
                             </button>
                             {% elif req.status == 'rejected' and req.coach_rejection_message %}
@@ -171,11 +171,11 @@
 
 <!-- Reject Modal -->
 <div id="rejectModal" class="modal" style="display:none;">
-    <div class="modal-overlay" onclick="hideRejectModal()"></div>
+    <div class="modal-overlay" data-action="hide-reject-modal"></div>
     <div class="modal-content">
         <div class="modal-header">
             <h4><i class="fas fa-times-circle"></i> Reject One on One Request</h4>
-            <button type="button" class="modal-close" onclick="hideRejectModal()">&times;</button>
+            <button type="button" class="modal-close" data-action="hide-reject-modal">&times;</button>
         </div>
         <form id="rejectForm" method="POST" action="">
             <input type="hidden" name="csrf_token" value="{{ csrf_token() }}"/>
@@ -186,7 +186,7 @@
                 </div>
             </div>
             <div class="modal-footer">
-                <button type="button" class="btn btn-secondary" onclick="hideRejectModal()">Cancel</button>
+                <button type="button" class="btn btn-secondary" data-action="hide-reject-modal">Cancel</button>
                 <button type="submit" class="btn btn-danger">Reject Request</button>
             </div>
         </form>
@@ -272,5 +272,15 @@ function hideRejectModal() {
     document.getElementById('rejectModal').style.display = 'none';
     document.getElementById('rejection_reason').value = '';
 }
+
+// Behaviours are declared in the markup with data-action / data-change and
+// dispatched by the delegated listener in main.js. This replaces inline
+// onclick attributes, which no CSP nonce is able to authorise.
+registerActions({
+    'show-reject-modal': function (element) {
+        showRejectModal(element.getAttribute('data-request-id'));
+    },
+    'hide-reject-modal': hideRejectModal,
+});
 </script>
 {% endblock %}