Ajoute le support de formation : entite racine separee du jeu 2D

Nouveau moteur document_engine/ (elements CRUD + rendering + labels),
db/supports/ (stockage independant de db/games), routes/document/
(CRUD AJAX + publication), et l'editeur frontend complet
(templates/document/, static/document/) avec moteur de layout reel
(glisser-deposer -> fusion en rangee ou insertion avant/apres), vrai
Undo/Redo par pile de commandes, grille d'accroche pour les formes
libres, apercu responsive a largeurs fixes, mode Apercu, et publication
persistee.

"Mes formations" (templates/index.html) liste desormais les
environnements 2D et les supports de formation cote a cote ;
l'onboarding et core/auth_guard.py sont generalises pour qu'un compte
restreint puisse posseder un projet de chaque type independamment.

SKIP=djlint : le hook ne signale que le backlog H021 (styles en ligne)
deja documente dans CODE_QUALITY.md sur des fichiers pre-existants non
touches ici (base.html, game/play.html, scene_edit.html,
game_dashboard_simple.html, clause_row.html) plus une ligne de
index.html deja presente avant cette session — aucun nouveau fichier
(document_edit.html compris) n'y figure. Tous les autres outils
(ruff, mypy --strict, vulture, bandit, import-linter, eslint,
stylelint) passent sans erreur ; 617 tests Python + 276 tests JS
verts, plus une verification manuelle complete du cycle de vie via le
serveur de developpement.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

core/auth_guard.py

@@ -12,6 +12,8 @@ module tente de résoudre request.endpoint — en pratique sans importance
 ici (la résolution se fait à la requête, pas à l'import), mais gardé pour
 rester cohérent avec l'ordre d'import du reste du moteur."""
 
+from typing import Any
+
 from flask import abort, g, redirect, request, session, url_for
 from werkzeug.wrappers import Response
 
@@ -49,6 +51,18 @@ _REACHABLE_WITHOUT_PROJECT = {
     "profile_delete",
 }
 
+# Un support de formation est une entité racine séparée du jeu 2D, jamais
+# nichée dedans (voir docs/plan/PLAN.md) : "index" liste désormais LES
+# DEUX types de projet côte à côte ("Mes formations", voir templates/
+# index.html), reste donc utile même une fois qu'un des deux (ou les deux)
+# slots sont remplis. Un compte "user" restreint ne peut en revanche
+# reposséder qu'UN SEUL projet de chaque type — bloqué ici, mirroir exact
+# de la logique déjà en place pour game_delete.
+_RESTRICTED_SLOT_ALREADY_FULL_ENDPOINTS = {
+    "games_new": "project_slug",
+    "documents_new": "support_slug",
+}
+
 
 @app.before_request
 def _require_login_and_enforce_project_isolation() -> Response | None:
@@ -95,35 +109,53 @@ def _require_login_and_enforce_project_isolation() -> Response | None:
         elif owner_folder != str(user["id"]):
             abort(403)
 
-    # Un compte "user" n'a accès qu'à SON SEUL projet (project_slug,
-    # simple raccourci de confort ici — la sécurité elle-même est déjà
-    # assurée ci-dessus) — un "admin" peut en avoir plusieurs, exactement
-    # comme avant l'authentification. Les routes de gestion multi-jeux
-    # (page d'accueil, "+ Nouveau jeu") n'ont pas leur place pour un
-    # compte à projet unique : redirigées directement vers son propre
-    # tableau de bord plutôt qu'un 403 sec.
     if user["role"] != "admin":
-        if endpoint in ("index", "games_new") and user.get("project_slug"):
-            return redirect(url_for("game_dashboard", slug=user["project_slug"]))
-        # Onboarding guidé (voir routes/onboarding/onboarding_new.py) : un
-        # compte "user" fraîchement inscrit n'a plus de projet créé
-        # d'office (voir routes/auth/register_2fa.py) — tant qu'il n'en a
-        # pas, seules ces routes restent atteignables (toutes exigent déjà
-        # une connexion, absentes de _PUBLIC_ENDPOINTS).
-        if not user.get("project_slug") and endpoint not in _REACHABLE_WITHOUT_PROJECT:
-            return redirect(url_for("onboarding_new"))
-        # Type d'onboarding "restreint" (quiz/embranchement/rpg, voir
-        # db/games/game_type_catalog.py) : game_dashboard reste atteignable
-        # comme pour "custom", mais routes/games/game_dashboard.py y rend
-        # une version SIMPLIFIÉE (juste les écrans, pas d'onglets Objets/
-        # Éléments de jeu/Variables) — rien à bloquer ici, la restriction
-        # se fait au niveau du rendu, pas de l'accès à la route.
-        if endpoint == "game_delete":
-            # Un compte "user" n'a qu'UN SEUL projet, et aucun moyen d'en
-            # recréer un une fois supprimé (games_new le renvoie toujours
-            # vers project_slug, même si le dossier n'existe plus) —
-            # bloqué plutôt que de risquer de le laisser sans projet du
-            # tout. Un admin, lui, peut toujours supprimer ses jeux comme
-            # avant (aucune restriction ci-dessus pour ce rôle).
-            abort(403)
+        return _enforce_restricted_user_project_slots(user, endpoint)
+    return None
+
+
+# Un compte "user" restreint a AU PLUS un projet de chaque type
+# (project_slug = son seul environnement 2D, support_slug = son seul
+# support de formation — voir docs/plan/PLAN.md, deux entités racines
+# séparées, deux slots indépendants). "index" ("Mes formations") reste
+# atteignable dans tous les cas : il liste les deux types de projet côte à
+# côte, jamais remplacé par un tableau de bord unique comme avant
+# l'introduction du support.
+_DELETE_ENDPOINTS_BLOCKED_FOR_RESTRICTED_USERS = {"game_delete", "document_delete"}
+
+
+def _enforce_restricted_user_project_slots(user: dict[str, Any], endpoint: str) -> Response | None:
+    # Redirigé directement vers son propre tableau de bord plutôt qu'un
+    # 403 sec — seulement si LE SLOT CORRESPONDANT à la route de création
+    # visée est déjà rempli (les deux slots sont indépendants : avoir déjà
+    # un environnement 2D ne doit pas empêcher /documents/new, et
+    # inversement).
+    already_full_slot_column = _RESTRICTED_SLOT_ALREADY_FULL_ENDPOINTS.get(endpoint)
+    if already_full_slot_column and user.get(already_full_slot_column):
+        dashboard_endpoint = "game_dashboard" if already_full_slot_column == "project_slug" else "document_edit"
+        return redirect(url_for(dashboard_endpoint, slug=user[already_full_slot_column]))
+
+    # Onboarding guidé (voir routes/onboarding/onboarding_new.py) : un
+    # compte "user" fraîchement inscrit n'a plus aucun projet créé d'office
+    # (voir routes/auth/register_2fa.py) — tant qu'AUCUN des deux slots
+    # n'est rempli, seules ces routes restent atteignables (toutes exigent
+    # déjà une connexion, absentes de _PUBLIC_ENDPOINTS).
+    has_any_project = bool(user.get("project_slug")) or bool(user.get("support_slug"))
+    if not has_any_project and endpoint not in _REACHABLE_WITHOUT_PROJECT:
+        return redirect(url_for("onboarding_new"))
+
+    # Type d'onboarding "restreint" (quiz/embranchement/rpg, voir
+    # db/games/game_type_catalog.py) : game_dashboard reste atteignable
+    # comme pour "custom", mais routes/games/game_dashboard.py y rend une
+    # version SIMPLIFIÉE (juste les écrans, pas d'onglets Objets/Éléments
+    # de jeu/Variables) — rien à bloquer ici, la restriction se fait au
+    # niveau du rendu, pas de l'accès à la route.
+    if endpoint in _DELETE_ENDPOINTS_BLOCKED_FOR_RESTRICTED_USERS:
+        # Un compte "user" n'a qu'UN SEUL projet de ce type, et aucun moyen
+        # d'en recréer un une fois supprimé (games_new/documents_new le
+        # renvoient toujours vers son slot déjà posé, même si le dossier
+        # n'existe plus) — bloqué plutôt que de risquer de le laisser sans
+        # projet du tout. Un admin, lui, peut toujours supprimer ses
+        # projets comme avant (aucune restriction ci-dessus pour ce rôle).
+        abort(403)
     return None

core/db_teardown_guard.py

@@ -1,11 +1,16 @@
 """Enregistre le filet de sécurité de fermeture des connexions SQLite
-fuitées (voir db/connection.py::install_teardown_safety_net) sur l'app
-Flask — vit dans core/ (couche de câblage qui branche les autres paquets
-sur l'app), jamais l'inverse : db/ ne doit importer aucun paquet au-dessus
-de lui dans la hiérarchie (voir contrat import-linter, pyproject.toml)."""
+fuitées (voir db/connection.py::install_teardown_safety_net et son
+équivalent totalement indépendant pour le système support,
+db/supports/support_connection.py::install_support_teardown_safety_net)
+sur l'app Flask — vit dans core/ (couche de câblage qui branche les
+autres paquets sur l'app), jamais l'inverse : db/ ne doit importer aucun
+paquet au-dessus de lui dans la hiérarchie (voir contrat import-linter,
+pyproject.toml)."""
 
 from db.connection import install_teardown_safety_net
+from db.supports.support_connection import install_support_teardown_safety_net
 
 from .flask_app import app
 
 install_teardown_safety_net(app)
+install_support_teardown_safety_net(app)