fix(authz): balayer le motif au lieu d attendre la passe suivante

Le commit precedent finissait teams.py en notant que le defaut venait d'une
correction appliquee a un seul endroit. Balayer les autres modules
immediatement, plutot que d'attendre qu'une passe d'audit les retrouve, a
sorti les deux derniers.

tryouts.register_player lisait int(request.form.get('player_id')) -- 500 sur
une valeur non numerique -- et verifiait le role sans regarder
is_active_account. Un compte desactive pouvait donc etre inscrit a une
selection.

users/contracts._selectable_players ne filtrait pas non plus les comptes
desactives dans sa branche non-coach : la liste de depot de contrat proposait
encore des gens partis du club. Un contrat est un document nominatif signe.

PlayerSelectionSchema porte desormais le champ, et TeamPlayerSchema en herite
en ajoutant son statut. Un schema partage est ce qui empeche le prochain
appelant d'etre oublie -- c'est precisement parce que chaque route avait le
sien, ecrit a la main, que la correction a du etre faite trois fois.

Verifie par mutation.

Co-Authored-By: Claude Opus 5 <[email protected]>

app/validators.py

@@ -501,8 +501,15 @@ class TeamStaffSchema(StripMixin):
     )
 
 
-class TeamPlayerSchema(StripMixin):
-    """A player being put on a team roster, and where they stand on it."""
+class PlayerSelectionSchema(StripMixin):
+    """One player id, picked from a `<select>` the browser rendered.
+
+    Shared by every route that takes a player from a roster form — putting
+    someone on a team, registering them for a tryout. They all read
+    `int(request.form.get('player_id'))` directly, so they were all a 500 on
+    a non-numeric value, and they were all fixed one at a time (SEC-16).
+    Having one schema is what stops the next one being missed.
+    """
 
     player_id = fields.Integer(
         allow_none=True,
@@ -510,6 +517,11 @@ class TeamPlayerSchema(StripMixin):
         validate=validate.Range(min=1),
         error_messages={'invalid': _l('Invalid player selection.')},
     )
+
+
+class TeamPlayerSchema(PlayerSelectionSchema):
+    """A player being put on a team roster, and where they stand on it."""
+
     status = fields.String(
         load_default='starter',
         validate=validate.OneOf(TEAM_PLAYER_STATUSES, error=_l('Unknown roster status.')),