Base de travail V7.8 reprise du répertoire de travail

Commit technique : reproduit à l'identique l'état non commité de la copie
de travail (sécurisation V7.8, CSP à nonce, Session, migration des droits)
afin que le travail d'ergonomie qui suit soit isolable.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

app/Controllers/AgentController.php

@@ -9,6 +9,7 @@ use App\Core\Csrf;
 use App\Core\JsonResponse;
 use App\Core\PdfResponse;
 use App\Core\Request;
+use App\Core\Security;
 use App\Models\AgentModel;
 use App\Models\QuotaModel;
 use App\Models\StructureModel;
@@ -410,7 +411,7 @@ final class AgentController
         } catch (Throwable $e) {
             JsonResponse::send(500, [
                 'error' => 'Impossible de créer l’agent.',
-                'details' => (getenv('PTA_DEBUG') ?: '1') !== '0' ? $e->getMessage() : null,
+                'details' => Security::debugEnabled() ? $e->getMessage() : null,
             ]);
         }
 

app/Controllers/PageController.php

@@ -7,6 +7,7 @@ namespace App\Controllers;
 use App\Core\Access;
 use App\Core\Controller;
 use App\Core\Csrf;
+use App\Core\Security;
 use App\Models\AgentModel;
 use App\Models\MotifModel;
 use App\Models\StructureModel;
@@ -177,10 +178,12 @@ final class PageController extends Controller
 
     private function renderPage(string $view, string $title, string $activePage, array $data = []): void
     {
+        Security::sendHtmlHeaders();
         $profile = $this->access->profile();
         $this->render('pages/' . $view, array_merge([
             'pageTitle' => $title,
             'activePage' => $activePage,
+            'cspNonce' => Security::nonce(),
             'csrfToken' => Csrf::ensureToken(),
             'scripts' => [],
             'modules' => [],

app/Controllers/RoleController.php

@@ -7,6 +7,7 @@ namespace App\Controllers;
 use App\Core\Access;
 use App\Core\Controller;
 use App\Core\Csrf;
+use App\Core\Security;
 use App\Models\AgentModel;
 use App\Models\StructureModel;
 use PDO;
@@ -21,8 +22,13 @@ final class RoleController extends Controller
     {
         $access = new Access($this->pdo);
 
+        // Le changement de rôle modifie l'état de la session : il est protégé
+        // par le jeton CSRF au même titre que les écritures de l'API.
         if (($_GET['action'] ?? '') === 'reset') {
-            $access->clear();
+            $provided = (string) ($_GET['csrf_token'] ?? '');
+            if ($provided !== '' && hash_equals(Csrf::ensureToken(), $provided)) {
+                $access->clear();
+            }
             header('Location: role.php', true, 302);
             exit;
         }
@@ -47,8 +53,10 @@ final class RoleController extends Controller
             }
         }
 
+        Security::sendHtmlHeaders();
         $this->render('pages/role', [
             'pageTitle' => 'Choisir votre accès',
+            'cspNonce' => Security::nonce(),
             'csrfToken' => Csrf::ensureToken(),
             'agents' => (new AgentModel($this->pdo))->allActive(),
             'structures' => (new StructureModel($this->pdo))->allActive(),