Base de travail V7.8 reprise du répertoire de travail

Commit technique : reproduit à l'identique l'état non commité de la copie
de travail (sécurisation V7.8, CSP à nonce, Session, migration des droits)
afin que le travail d'ergonomie qui suit soit isolable.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

assets/js/annual-overview.js

@@ -5,12 +5,9 @@
     if (!PTA) return;
     const { readJsonResponse, apiErrorMessage, escapeHtml, formatDate } = PTA.utils;
     const el = (id) => document.getElementById(id);
-    const escapeAttr = (value) => String(value ?? '')
-        .replaceAll('&', '&')
-        .replaceAll('\"', '"')
-        .replaceAll("'", ''')
-        .replaceAll('<', '&lt;')
-        .replaceAll('>', '&gt;');
+    // escapeHtml échappe désormais aussi les guillemets : une seule
+    // implémentation partagée, valable en contexte texte comme attribut.
+    const escapeAttr = escapeHtml;
     let current = null;
 
     function show(text, type = 'info') {