Base de travail V7.8 reprise du répertoire de travail

Commit technique : reproduit à l'identique l'état non commité de la copie
de travail (sécurisation V7.8, CSP à nonce, Session, migration des droits)
afin que le travail d'ergonomie qui suit soit isolable.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

assets/js/core.js

@@ -44,10 +44,21 @@
 
     const dayNames = ['Lundi', 'Mardi', 'Mercredi', 'Jeudi', 'Vendredi'];
 
+    /**
+     * Échappe une valeur pour l'insertion dans du HTML, texte ET attribut.
+     *
+     * La sérialisation via textContent/innerHTML n'échappe ni " ni ' : elle est
+     * sûre entre deux balises, mais permet de sortir d'un attribut value="…" ou
+     * title="…". PTA insère des libellés de vacances, des noms de lieux et des
+     * commentaires dans des attributs : les guillemets doivent être échappés.
+     */
     function escapeHtml(value) {
-        const div = document.createElement('div');
-        div.textContent = String(value ?? '');
-        return div.innerHTML;
+        return String(value ?? '')
+            .replaceAll('&', '&')
+            .replaceAll('<', '&lt;')
+            .replaceAll('>', '&gt;')
+            .replaceAll('"', '&quot;')
+            .replaceAll("'", '&#039;');
     }
 
     function showMessage(text, type = 'info') {