5 Commits

Include renames

Author	SHA1	Message	Date
GGThed	d7a8907953	fix(audit): moderniser les accès ORM	2026-08-17 15:02:29 -04:00
GGThed	47ff544848	chore(lint): trier les imports, sauf la facade des modeles ... Active la regle isort (I) de ruff. 45 fichiers reordonnes, aucun changement de comportement : la suite passe avant comme apres. app/models/__init__.py en est exclu. Ses imports sont ranges en onze couches commentees qui decrivent le graphe de dependances ; trier par ordre alphabetique laisse chaque titre au-dessus d un import qu il ne decrit pas, et ce fichier n a qu un role, etre lu. Commit isole, comme le formatage : un diff de brassage ne doit pas servir de couverture a un changement de comportement.	2026-08-11 11:40:41 -04:00
GGThedandClaude Opus 5	7cec18c139	style: formater le depot avec ruff format ... QUA-002, premiere moitie. **Ce commit ne fait que reformater** : aucun changement de comportement, aucune ligne de logique touchee. 72 fichiers, 4 restaient deja conformes. Il est isole exprès, pour que `git log -p` sur les commits voisins reste lisible. `quote-style = "preserve"` etait deja pose dans pyproject.toml, ce qui evite le brassage guillemets simples / doubles : le diff porte sur les retours a la ligne, l indentation des appels longs et les virgules finales, pas sur le style de chaine. Verification : 263 tests passent avant et apres, ruff check propre. L activation en CI arrive dans le commit suivant, separement, pour que ce diff-ci ne contienne rien d autre. Co-Authored-By: Claude Opus 5 <[email protected]>	2026-08-08 15:53:10 -04:00
GGThedandClaude Opus 5	afab7070fb	fix(authz): une seule regle pour l'acces coach vers joueur ... SEC-AUTHZ-004 et SEC-AUTHZ-005. La meme question -- ce coach peut-il agir sur ce joueur ? -- recevait cinq reponses differentes selon la route : teams.py:add_player_note verifiait l'appartenance via TeamPlayer users.py, 4 routes de notes ne verifiaient rien au-dela d'isinstance contract.py:can_view interrogeait la colonne heritee coach_id, et traitait un team_id nul comme un joker Consequences levees - tout coach pouvait ecrire une note nominative sur tout joueur du club. Ces notes sont visibles par le joueur concerne. - tout coach figurant dans OrgTeam.coach_id pouvait lire n'importe quel contrat sans equipe rattachee. Or upload_contract laisse team_id nul des que le joueur n'appartient a aucune equipe : la condition `not self.team_id or ...` ouvrait donc largement. - symetriquement, un coach rattache uniquement par la relation many-to-many ne voyait aucun contrat. app/permissions.py Premier pas concret vers ARCH-002, sans refonte : un module unique, pas une couche de services. coach_org_team_ids() lit la relation m2m ET la colonne heritee, donc le deuxieme coach d'une equipe cesse d'etre invisible. coach_can_access_player() accorde l'acces si le joueur est sur une equipe du coach, ou inscrit a un tryout qu'il gere, ou participant a un match de ce tryout. 14 tests, dont deux verifient que les chemins legitimes fonctionnent toujours : un coach note bien son propre joueur, et voit bien son contrat. Note : la regle metier retenue -- equipe OU tryout -- est une lecture du comportement existant, pas une decision produit. Si le club attend autre chose, c'est desormais un seul endroit a changer. Co-Authored-By: Claude Opus 5 <[email protected]>	2026-08-07 20:17:49 -04:00
cedrick2711	b69eaabbba	remodulation du projet en POO et changement de l'organisation des fichiers	2026-07-29 13:57:06 -04:00