feat(i18n): traduire les messages flash et de validation

198 appels flash dans les sept modules de routes, plus les 23 messages de
validation de app/validators.py. Le catalogue compte desormais 631 chaines,
aucune non traduite.

validators.py utilise lazy_gettext : les champs de schema sont construits a
l'import, donc avant qu'une requete existe. Un gettext ordinaire s'y
resoudrait une seule fois, dans la langue active au demarrage.

Un bug introduit par la conversion, puis corrige
  Le convertisseur automatique ne voyait que le premier litteral d'un appel
  flash, ce qui a casse deux chaines concatenees sur plusieurs lignes dans
  users.py -- le resultat n'etait meme pas du Python valide. Ma premiere
  verification ne l'a pas vu : elle enchainait py_compile sur head, or head
  reussit toujours, donc le "OK" s'affichait quoi qu'il arrive. Les deux
  appels sont reecrits et la verification refaite correctement.

Un bug plus interessant, revele par le test de fumee
  La langue choisie ne survivait pas a la connexion. login() et logout()
  appellent tous deux session.clear() -- l'un contre la fixation de session,
  l'autre pour terminer la session -- et le choix de langue partait avec le
  reste. Concretement : quelqu'un qui lisait la page de connexion en anglais
  se retrouvait en francais des qu'il se connectait.

  La langue est une preference d'affichage, pas un etat appartenant au
  compte. Les deux endroits la reportent maintenant explicitement, a cote du
  jeton CSRF. Quatre tests couvrent le cas, dont un qui verifie que corriger
  une cle preservee n'a pas fait tomber l'autre.

Detail de nommage : le convertisseur avait genere %(value)s pour une
expression conditionnelle, ce qui n'aide pas un traducteur. Renomme en
%(player)s.

Les 14 traductions ecrites avec une apostrophe droite sont normalisees en
apostrophe typographique. Sans consequence en HTML, ou ' s'affiche
correctement -- mais les blocs <script> ne decodent pas les entites, et
autant que le catalogue soit homogene.

200 tests.

Co-Authored-By: Claude Opus 5 <[email protected]>

app/routes/auth.py

@@ -14,6 +14,7 @@ from flask_login import login_user, logout_user, login_required, current_user
 from app.extensions import db, hash_password, check_password, limiter
 from app.models import User, Player, ESPORT_GAMES
 from app.validators import RegisterSchema, LoginSchema
+from app.i18n import LOCALE_SESSION_KEY
 from app.logging_config import log_auth_event
 from flask_babel import gettext as _
 from marshmallow import ValidationError
@@ -126,7 +127,7 @@ def login():
         except ValidationError as err:
             for field, messages in err.messages.items():
                 for msg in messages:
-                    flash(f'{field}: {msg}', 'danger')
+                    flash(_('%(field)s: %(msg)s', field=field, msg=msg), 'danger')
             return render_template('pages/login.html')
 
         username = validated['username']
@@ -157,11 +158,19 @@ def login():
             db.session.commit()
 
             # Clear old session data and preserve CSRF token to prevent
-            # session fixation attacks (Flask-Login rotates the session ID)
-            _csrf_token = session.get('csrf_token')
+            # session fixation attacks (Flask-Login rotates the session ID).
+            #
+            # The language choice is carried across too. Someone who reads the
+            # login page in English and signs in would otherwise be dropped
+            # back into French — the preference lives in the session, and
+            # clearing it discards a decision the user just made.
+            _preserved = {
+                key: session[key]
+                for key in ('csrf_token', LOCALE_SESSION_KEY)
+                if key in session
+            }
             session.clear()
-            if _csrf_token:
-                session['csrf_token'] = _csrf_token
+            session.update(_preserved)
 
             # Mark the session permanent so PERMANENT_SESSION_LIFETIME applies.
             # Without this, Flask emits a browser-session cookie with no expiry
@@ -255,7 +264,7 @@ def register():
         except ValidationError as err:
             for field, messages in err.messages.items():
                 for msg in messages:
-                    flash(f'{field}: {msg}', 'danger')
+                    flash(_('%(field)s: %(msg)s', field=field, msg=msg), 'danger')
             captcha = generate_captcha()
             # Clear password fields on validation failure
             form_data.pop('password', None)
@@ -517,6 +526,11 @@ def logout():
     """
     log_auth_event('logout', username=current_user.username, user_id=current_user.id)
     logout_user()
+    # Same reasoning as at login: the language is a display preference, not
+    # session state belonging to the account being signed out.
+    _locale = session.get(LOCALE_SESSION_KEY)
     session.clear()
+    if _locale:
+        session[LOCALE_SESSION_KEY] = _locale
     flash(_('You have been logged out.'), 'info')
     return redirect(url_for('auth.login'))