Phase 3 : hardening qualite de code - typage strict, securite, dead code, a11y

Config strictement stricte partout (ruff, mypy --strict, bandit, vulture,
import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas
casser le build" - l'existant a ete corrige pour la satisfaire plutot que
l'inverse. Hooks pre-commit locaux (language: system) bloquants.

- Typage mypy --strict propage a tout le moteur (db, screens, auth, core,
  ai, routes, puis publish/scripts/tests/app.py/build_css.py).
- Securite : fuite de handle fichier Windows corrigee dans l'export SCORM
  (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes
  (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe
  "</script>" dans le JSON embarque en <script>, 25 sites).
- Architecture : imports circulaires/F811 nettoyes, contrats
  import-linter respectes, code mort retire (vulture).
- Accessibilite : 69 champs de formulaire sans label correctement
  associe corriges (for/id ou aria-label) sur 11 templates.
- ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis
  appliquees (aucune desactivee sans verification individuelle).
- Tests : isolation du compte admin partage (nettoyage ponctuel +
  fixture de teardown automatique en filet de securite), suite complete
  verte (591 tests Python, 241 tests JS).
- SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport
  complet analyse point par point, faux positifs documentes.
- .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine
  faisait echouer ESLint (linebreak-style) via un bug connu de git
  (checkout "en place" qui ignore l'eol force sur un fichier deja
  present sur disque - contourne en supprimant puis recreant chaque
  fichier suivi).

djLint (H021, styles inline) volontairement saute pour ce commit -
backlog assume, deja documente, traite dans un lot separe.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/__init__.py

@@ -1 +1,18 @@
-from . import auth, games, screens, flow, uploads, play, animations, global_vars, publish, custom_events, flow_blocks, scenes, onboarding, triggers, assets, ia
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque sous-module
+    animations,
+    assets,
+    auth,
+    custom_events,
+    flow,
+    flow_blocks,
+    games,
+    global_vars,
+    ia,
+    onboarding,
+    play,
+    publish,
+    scenes,
+    screens,
+    triggers,
+    uploads,
+)

routes/animations/__init__.py

@@ -1,5 +1,5 @@
-from . import (
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
     animation_clip_add,
-    animation_clip_update,
     animation_clip_delete,
+    animation_clip_update,
 )

routes/animations/animation_clip_add.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/animations/clips/add", methods=["POST"])
-def animation_clip_add(slug, screen_id):
+def animation_clip_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Ajoute un clip d'animation (Animate.css ou personnalisé) sur la piste
     d'un élément, dans le panneau timeline — appelé en AJAX, comme l'ajout
     d'un nœud de logique."""

routes/animations/animation_clip_delete.py

@@ -1,11 +1,11 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/animations/clips/<int:clip_id>/delete", methods=["POST"])
-def animation_clip_delete(slug, clip_id):
+def animation_clip_delete(slug: str, clip_id: int) -> Response:
     screens.delete_animation_clip(slug, clip_id)
     return jsonify({"ok": True})

routes/animations/animation_clip_update.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/animations/clips/<int:clip_id>/update", methods=["POST"])
-def animation_clip_update(slug, clip_id):
+def animation_clip_update(slug: str, clip_id: int) -> Response:
     """Modifie un clip existant — glisser/redimensionner sur la timeline
     n'envoie que start_time/duration, le formulaire d'édition peut envoyer
     n'importe quel autre réglage (type, animation Animate.css, images-clés

routes/assets/__init__.py

@@ -1 +1,6 @@
-from . import upload_user_asset, serve_user_asset, delete_user_asset, set_user_asset_scene_kind
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    delete_user_asset,
+    serve_user_asset,
+    set_user_asset_scene_kind,
+    upload_user_asset,
+)

routes/assets/delete_user_asset.py

@@ -1,12 +1,12 @@
 from flask import g, jsonify
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/assets/<int:asset_id>", methods=["DELETE"])
-def delete_user_asset_route(asset_id):
+def delete_user_asset_route(asset_id: int) -> Response | tuple[Response, int]:
     """Supprime un fichier de "Mes assets" (demande explicite : "voir,
     utiliser ou supprimer des son, image et vidéo") — auth.delete_user_asset
     vérifie déjà que `asset_id` appartient bien au compte connecté avant

routes/assets/serve_user_asset.py

@@ -1,12 +1,12 @@
-from flask import g, send_from_directory, abort
+from flask import abort, g, send_from_directory
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/assets/<int:user_id>/<path:filename>")
-def serve_user_asset(user_id, filename):
+def serve_user_asset(user_id: int, filename: str) -> Response:
     """403 si le compte connecté n'est pas le propriétaire — même esprit
     que l'isolation par propriétaire des projets (core/auth_guard.py) :
     "Mes assets" ne doit jamais fuiter d'un compte à l'autre."""

routes/assets/set_user_asset_scene_kind.py

@@ -1,12 +1,12 @@
-from flask import g, request, jsonify
+from flask import g, jsonify, request
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/assets/<int:asset_id>/scene-kind", methods=["POST"])
-def set_user_asset_scene_kind_route(asset_id):
+def set_user_asset_scene_kind_route(asset_id: int) -> Response | tuple[Response, int]:
     """Reclasse une image "Mes assets" entre "Fonds" et "Décors/objets"
     sans avoir à la ré-importer (voir auth/update_user_asset_scene_kind.py
     — diagnostiqué depuis un "décalage" signalé par le créateur : une

routes/assets/upload_user_asset.py

@@ -1,15 +1,15 @@
 import os
 
-from flask import g, request, jsonify, url_for
+from flask import g, jsonify, request, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/assets/upload", methods=["POST"])
-def upload_user_asset():
-    """"Mes assets" (voir auth/user_assets_dir.py) : mirroir de
+def upload_user_asset() -> Response | tuple[Response, int]:
+    """ "Mes assets" (voir auth/user_assets_dir.py) : mirroir de
     routes/uploads/upload_file.py, mais stocké PAR COMPTE plutôt que par
     jeu, pour être réutilisable dans n'importe quel projet du même
     compte. Écriture disque + ligne base factorisées dans
@@ -51,8 +51,12 @@ def upload_user_asset():
         if scene_kind not in ("decor", "fond"):
             scene_kind = "decor"
     user_id = g.current_user["id"]
-    asset_id, filename = auth.save_user_asset(user_id, content, ext, original_name=f.filename, source="upload", scene_kind=scene_kind)
-    return jsonify({
-        "id": asset_id,
-        "url": url_for("serve_user_asset", user_id=user_id, filename=filename),
-    })
+    asset_id, filename = auth.save_user_asset(
+        user_id, content, ext, original_name=f.filename, source="upload", scene_kind=scene_kind
+    )
+    return jsonify(
+        {
+            "id": asset_id,
+            "url": url_for("serve_user_asset", user_id=user_id, filename=filename),
+        }
+    )

routes/auth/__init__.py

@@ -1 +1,10 @@
-from . import register, register_2fa, login, login_2fa, logout, forgot_password, reset_password, profile
+from . import (  # noqa: F401 - enregistre les routes definies dans ce sous-module
+    forgot_password,
+    login,
+    login_2fa,
+    logout,
+    profile,
+    register,
+    register_2fa,
+    reset_password,
+)

routes/auth/forgot_password.py

@@ -1,12 +1,12 @@
 from flask import current_app, redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/forgot-password", methods=["GET", "POST"])
-def forgot_password():
+def forgot_password() -> str | Response:
     if session.get("user_id"):
         return redirect(url_for("index"))
     sent = False

routes/auth/login.py

@@ -1,12 +1,12 @@
 from flask import redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/login", methods=["GET", "POST"])
-def login():
+def login() -> str | Response:
     if session.get("user_id"):
         return redirect(url_for("index"))
     error = None

routes/auth/login_2fa.py

@@ -1,12 +1,12 @@
 from flask import redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/login/2fa", methods=["GET", "POST"])
-def login_2fa():
+def login_2fa() -> str | Response:
     user_id = session.get("pending_login_user_id")
     if not user_id:
         return redirect(url_for("login"))

routes/auth/logout.py

@@ -1,9 +1,10 @@
 from flask import redirect, session, url_for
+from werkzeug.wrappers import Response
 
 from core.flask_app import app
 
 
 @app.route("/logout", methods=["POST"])
-def logout():
+def logout() -> Response:
     session.clear()
     return redirect(url_for("login"))

routes/auth/profile.py

@@ -1,28 +1,31 @@
 import os
 
 from flask import g, redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
 import db
-
 from core.flask_app import app
 
 
-def _render(error=None, success=None):
+def _render(error: str | None = None, success: str | None = None) -> str:
     user = auth.get_user_by_id(g.current_user["id"])
     return render_template(
-        "auth/profile.html", user=user, error=error, success=success,
+        "auth/profile.html",
+        user=user,
+        error=error,
+        success=success,
         min_score_required=auth.MIN_SCORE_REQUIRED,
     )
 
 
 @app.route("/profile", methods=["GET"])
-def profile():
+def profile() -> str:
     return _render()
 
 
 @app.route("/profile/update-name", methods=["POST"])
-def profile_update_name():
+def profile_update_name() -> str:
     nom = request.form.get("nom", "").strip()
     prenom = request.form.get("prenom", "").strip()
     if not nom or not prenom:
@@ -32,7 +35,7 @@ def profile_update_name():
 
 
 @app.route("/profile/update-email", methods=["POST"])
-def profile_update_email():
+def profile_update_email() -> str:
     user = g.current_user
     current_password = request.form.get("current_password", "")
     new_email = request.form.get("email", "").strip().lower()
@@ -50,7 +53,7 @@ def profile_update_email():
 
 
 @app.route("/profile/regenerate-recovery-codes", methods=["POST"])
-def profile_regenerate_recovery_codes():
+def profile_regenerate_recovery_codes() -> str:
     user = g.current_user
     current_password = request.form.get("current_password", "")
     if not auth.verify_password(user, current_password):
@@ -64,7 +67,7 @@ def profile_regenerate_recovery_codes():
 
 
 @app.route("/profile/change-password", methods=["POST"])
-def profile_change_password():
+def profile_change_password() -> str:
     user = g.current_user
     current_password = request.form.get("current_password", "")
     new_password = request.form.get("new_password", "")
@@ -80,7 +83,7 @@ def profile_change_password():
 
 
 @app.route("/profile/delete", methods=["POST"])
-def profile_delete():
+def profile_delete() -> str | Response:
     user = g.current_user
     current_password = request.form.get("current_password", "")
     confirm_text = request.form.get("confirm_text", "").strip().upper()
@@ -98,13 +101,12 @@ def profile_delete():
     # sur le disque sans plus aucun propriétaire. Un "admin" peut posséder
     # plusieurs jeux qui ne lui sont pas dédiés de la même façon : ses
     # projets restent intacts.
-    if user["role"] != "admin" and user.get("project_slug"):
-        if os.path.isdir(db.game_dir(user["project_slug"])):
-            # db.delete_game (voir db/games/project_slug.py — structure de
-            # dossiers par utilisateur) nettoie aussi le dossier
-            # propriétaire s'il devient vide, contrairement à un simple
-            # shutil.rmtree du dossier projet seul.
-            db.delete_game(user["project_slug"])
+    if user["role"] != "admin" and user.get("project_slug") and os.path.isdir(db.game_dir(user["project_slug"])):
+        # db.delete_game (voir db/games/project_slug.py — structure de
+        # dossiers par utilisateur) nettoie aussi le dossier
+        # propriétaire s'il devient vide, contrairement à un simple
+        # shutil.rmtree du dossier projet seul.
+        db.delete_game(user["project_slug"])
 
     auth.delete_user(user["id"])
     session.clear()

routes/auth/register.py

@@ -1,12 +1,12 @@
 from flask import redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/register", methods=["GET", "POST"])
-def register():
+def register() -> str | Response:
     error = None
     form = {"email": "", "nom": "", "prenom": ""}
     if request.method == "POST":
@@ -31,6 +31,8 @@ def register():
                 session["pending_register_user_id"] = user_id
                 return redirect(url_for("register_2fa"))
     return render_template(
-        "auth/register.html", error=error, form=form,
+        "auth/register.html",
+        error=error,
+        form=form,
         min_score_required=auth.MIN_SCORE_REQUIRED,
     )

routes/auth/register_2fa.py

@@ -1,12 +1,12 @@
 from flask import redirect, render_template, request, session, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/register/2fa", methods=["GET", "POST"])
-def register_2fa():
+def register_2fa() -> str | Response:
     user_id = session.get("pending_register_user_id")
     if not user_id:
         return redirect(url_for("register"))
@@ -22,8 +22,11 @@ def register_2fa():
             error = auth.lockout_message(locked_seconds)
         elif not auth.verify_totp(user["totp_secret"], request.form.get("code", "")):
             just_locked_minutes = auth.record_failed_attempt(user_id)
-            error = auth.lockout_message(just_locked_minutes * 60) if just_locked_minutes else \
-                "Code invalide — vérifie l'heure de ton téléphone et réessaie."
+            error = (
+                auth.lockout_message(just_locked_minutes * 60)
+                if just_locked_minutes
+                else "Code invalide — vérifie l'heure de ton téléphone et réessaie."
+            )
         else:
             auth.reset_failed_attempts(user_id)
             auth.confirm_totp(user_id)
@@ -50,6 +53,9 @@ def register_2fa():
 
     qr_svg = auth.totp_qrcode_svg(user["totp_secret"], user["email"])
     return render_template(
-        "auth/register_2fa.html", error=error, qr_svg=qr_svg,
-        secret=user["totp_secret"], email=user["email"],
+        "auth/register_2fa.html",
+        error=error,
+        qr_svg=qr_svg,
+        secret=user["totp_secret"],
+        email=user["email"],
     )

routes/auth/reset_password.py

@@ -1,12 +1,12 @@
 from flask import redirect, render_template, request, url_for
+from werkzeug.wrappers import Response
 
 import auth
-
 from core.flask_app import app
 
 
 @app.route("/reset-password/<token>", methods=["GET", "POST"])
-def reset_password(token):
+def reset_password(token: str) -> str | Response:
     user_id = auth.get_user_id_for_valid_token(token)
     if not user_id:
         return render_template("auth/reset_password.html", invalid=True)
@@ -24,6 +24,8 @@ def reset_password(token):
             auth.consume_password_reset_token(token)
             return redirect(url_for("login"))
     return render_template(
-        "auth/reset_password.html", invalid=False, error=error,
+        "auth/reset_password.html",
+        invalid=False,
+        error=error,
         min_score_required=auth.MIN_SCORE_REQUIRED,
     )

routes/custom_events/__init__.py

@@ -1 +1,5 @@
-from . import custom_event_new, custom_event_edit, custom_event_delete
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    custom_event_delete,
+    custom_event_edit,
+    custom_event_new,
+)

routes/custom_events/custom_event_delete.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/events/<int:event_id>/delete", methods=["POST"])
-def custom_event_delete(slug, event_id):
+def custom_event_delete(slug: str, event_id: int) -> Response:
     """Supprime aussi TOUS les nœuds Déclencheur/Action qui référencent cet
     événement, sur toutes les scènes et tous les modèles (voir
     screens/custom_events/delete_custom_event.py) — seule suppression

routes/custom_events/custom_event_edit.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/events/<int:event_id>/edit", methods=["POST"])
-def custom_event_edit(slug, event_id):
+def custom_event_edit(slug: str, event_id: int) -> Response:
     description = request.form.get("description") or ""
     screen_id = request.form.get("screen_id", type=int)
     db.update_custom_event(slug, event_id, description)

routes/custom_events/custom_event_new.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/events/new", methods=["POST"])
-def custom_event_new(slug):
+def custom_event_new(slug: str) -> Response:
     """Depuis l'onglet Événements de l'éditeur de scène/modèle
     (screen_edit.html) — idempotent par nom (voir db.create_custom_event),
     sans risque en cas de double soumission. screen_id (l'écran/modèle

routes/flow/__init__.py

@@ -1,13 +1,13 @@
-from . import (
-    flow_node_add,
-    flow_node_move,
-    flow_node_delete,
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
     flow_edge_add,
     flow_edge_delete,
+    flow_node_add,
+    flow_node_delete,
+    flow_node_move,
+    flow_node_run_add_row,
     flow_node_run_data,
-    flow_node_run_variable,
     flow_node_run_score,
     flow_node_run_status,
-    flow_node_run_add_row,
+    flow_node_run_variable,
     runtime_payload,
 )

routes/flow/flow_edge_add.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/edges/add", methods=["POST"])
-def flow_edge_add(slug, screen_id):
+def flow_edge_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     payload = request.get_json(force=True) or {}
     try:
         from_node_id = int(payload["from_node_id"])

routes/flow/flow_edge_delete.py

@@ -1,11 +1,11 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/edges/<int:edge_id>/delete", methods=["POST"])
-def flow_edge_delete(slug, edge_id):
+def flow_edge_delete(slug: str, edge_id: int) -> Response:
     screens.delete_flow_edge(slug, edge_id)
     return jsonify({"ok": True})

routes/flow/flow_node_add.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/nodes/add", methods=["POST"])
-def flow_node_add(slug, screen_id):
+def flow_node_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Ajoute un nœud (Déclencheur / Condition / Action) au graphe de
     logique de cet écran — appelé en AJAX depuis le panneau "Logique de la
     scène", pour que poser un nœud ne recharge jamais toute la page."""

routes/flow/flow_node_delete.py

@@ -1,11 +1,11 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/delete", methods=["POST"])
-def flow_node_delete(slug, node_id):
+def flow_node_delete(slug: str, node_id: int) -> Response:
     screens.delete_flow_node(slug, node_id)
     return jsonify({"ok": True})

routes/flow/flow_node_move.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/move", methods=["POST"])
-def flow_node_move(slug, node_id):
+def flow_node_move(slug: str, node_id: int) -> Response:
     payload = request.get_json(force=True) or {}
     screens.move_flow_node(slug, node_id, float(payload.get("x", 0)), float(payload.get("y", 0)))
     return jsonify({"ok": True})

routes/flow/flow_node_run_add_row.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-add-row", methods=["POST"])
-def flow_node_run_add_row(slug, node_id):
+def flow_node_run_add_row(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "ajouter_ligne" (Phase 4) — même principe que
     flow_node_run_data.py, mais crée une ligne VIDE plutôt que d'en

routes/flow/flow_node_run_data.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-data", methods=["POST"])
-def flow_node_run_data(slug, node_id):
+def flow_node_run_data(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un nœud
     Action de type "Modifier une donnée d'un objet" — identique au
     fonctionnement de l'ancienne action_run_data, mais lit sa config depuis

routes/flow/flow_node_run_score.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-score", methods=["POST"])
-def flow_node_run_score(slug, node_id):
+def flow_node_run_score(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "Modifier le score" — même principe que
     flow_node_run_variable.py, pour le score plutôt qu'une variable

routes/flow/flow_node_run_status.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-status", methods=["POST"])
-def flow_node_run_status(slug, node_id):
+def flow_node_run_status(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "Définir le statut de la partie" — voir
     db/scoring/, screens/data_actions/apply_status_action.py."""

routes/flow/flow_node_run_variable.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-variable", methods=["POST"])
-def flow_node_run_variable(slug, node_id):
+def flow_node_run_variable(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un nœud
     Action de type "Modifier une variable globale" — même principe que
     flow_node_run_data.py, pour une variable plutôt qu'un champ d'objet."""

routes/flow/runtime_payload.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/runtime-payload")
-def runtime_payload(slug):
+def runtime_payload(slug: str) -> Response:
     """Utilisé par le mode jouable pour se remettre à jour après une action
     qui a modifié une donnée d'objet (ex: un Répéteur affichant cet objet
     doit refléter la nouvelle valeur sans recharger toute la page)."""

routes/flow_blocks/__init__.py

@@ -1 +1,5 @@
-from . import flow_block_new, flow_block_edit, flow_block_delete
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    flow_block_delete,
+    flow_block_edit,
+    flow_block_new,
+)

routes/flow_blocks/flow_block_delete.py

@@ -1,12 +1,12 @@
 from flask import redirect, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/blocks/<int:block_id>/delete", methods=["POST"])
-def flow_block_delete(slug, screen_id, block_id):
+def flow_block_delete(slug: str, screen_id: int, block_id: int) -> Response:
     """Supprime le bloc ET tous ses nœuds/arêtes (voir
     screens/flow/blocks/delete_flow_block.py) — confirmation côté client
     avant l'envoi, affichant le nombre de nœuds concernés."""

routes/flow_blocks/flow_block_edit.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/blocks/<int:block_id>/edit", methods=["POST"])
-def flow_block_edit(slug, screen_id, block_id):
+def flow_block_edit(slug: str, screen_id: int, block_id: int) -> Response:
     name = (request.form.get("name") or "").strip()
     description = request.form.get("description") or ""
     screens.update_flow_block(slug, block_id, name, description)

routes/flow_blocks/flow_block_new.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/blocks/new", methods=["POST"])
-def flow_block_new(slug, screen_id):
+def flow_block_new(slug: str, screen_id: int) -> Response:
     name = (request.form.get("name") or "").strip()
     description = request.form.get("description") or ""
     if name:

routes/games/__init__.py

@@ -1 +1,8 @@
-from . import index, games_new, game_dashboard, game_rename, game_delete, game_scoring_view
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    game_dashboard,
+    game_delete,
+    game_rename,
+    game_scoring_view,
+    games_new,
+    index,
+)

routes/games/game_dashboard.py

@@ -1,13 +1,14 @@
+from typing import Any
+
 from flask import render_template
 
 import db
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>")
-def game_dashboard(slug):
+def game_dashboard(slug: str) -> str:
     """Vue d'ensemble du jeu : juste ses écrans, en cartes avec un aperçu
     de leur contenu, plus un bouton "+ Ajouter un écran" qui ne demande pas
     de type (un seul moteur d'écran : jeu_2d — voir
@@ -16,9 +17,9 @@ def game_dashboard(slug):
     return _render_simple_dashboard(slug, game)
 
 
-def _render_simple_dashboard(slug, game):
+def _render_simple_dashboard(slug: str, game: dict[str, Any]) -> str:
     screen_list = screens.list_screens(slug)
-    previews = {}
+    previews: dict[int, dict[str, Any]] = {}
     for s in screen_list:
         if s["kind"] == "jeu_2d":
             objects = screens.list_scene_objects(slug, s["id"])
@@ -32,9 +33,14 @@ def _render_simple_dashboard(slug, game):
             # montrait que le coin haut-gauche au lieu de la scène entière.
             world_width, world_height = screens.resolve_scene_world_size(s, objects)
             previews[s["id"]] = {
-                "kind": "jeu_2d", "objects": objects,
-                "world_width": world_width, "world_height": world_height,
+                "kind": "jeu_2d",
+                "objects": objects,
+                "world_width": world_width,
+                "world_height": world_height,
             }
     return render_template(
-        "game_dashboard_simple.html", game=game, screen_list=screen_list, previews=previews,
+        "game_dashboard_simple.html",
+        game=game,
+        screen_list=screen_list,
+        previews=previews,
     )

routes/games/game_delete.py

@@ -1,11 +1,11 @@
 from flask import redirect, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/delete", methods=["POST"])
-def game_delete(slug):
+def game_delete(slug: str) -> Response:
     db.delete_game(slug)
     return redirect(url_for("index"))

routes/games/game_rename.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/rename", methods=["POST"])
-def game_rename(slug):
+def game_rename(slug: str) -> Response:
     new_name = request.form.get("game_name", "").strip()
     if new_name:
         db.update_game_name(slug, new_name)

routes/games/game_scoring_view.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scoring/<player_id>")
-def game_scoring_view(slug, player_id):
+def game_scoring_view(slug: str, player_id: str) -> Response:
     """Lecture du score/statut d'UN joueur (voir db/scoring/) — route
     interne (protégée comme toute route /game/<slug>, voir
     core/auth_guard.py), pas destinée au joueur lui-même : préparée pour

routes/games/games_new.py

@@ -1,12 +1,12 @@
-from flask import g, request, redirect, url_for
+from flask import g, redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/games/new", methods=["POST"])
-def games_new():
+def games_new() -> Response:
     name = request.form.get("name", "").strip()
     if not name:
         return redirect(url_for("index"))

routes/games/index.py

@@ -1,12 +1,11 @@
 from flask import g, render_template
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/")
-def index():
+def index() -> str:
     # Toujours SES PROPRES projets (voir db.list_games, corrigé pour ne
     # plus jamais scanner les autres comptes) — même pour un admin, qui
     # n'a donc plus aucune visibilité sur les projets des autres comptes.

routes/global_vars/__init__.py

@@ -1,3 +1,3 @@
-from .create_global_var import create_global_var
-from .global_var_edit import global_var_edit
-from .global_var_delete import global_var_delete
+from .create_global_var import create_global_var  # noqa: F401 - enregistre la route definie dans ce module
+from .global_var_delete import global_var_delete  # noqa: F401 - enregistre la route definie dans ce module
+from .global_var_edit import global_var_edit  # noqa: F401 - enregistre la route definie dans ce module

routes/global_vars/create_global_var.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, render_template, url_for, jsonify
+from flask import jsonify, redirect, render_template, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/variables/new", methods=["POST"])
-def create_global_var(slug):
+def create_global_var(slug: str) -> Response:
     """Depuis l'onglet "Variables" de l'éditeur de scène (screen_edit.html)
     — idempotent par nom (voir db.create_global_variable), donc sans
     risque en cas de double soumission. Réponse AJAX (voir
@@ -29,7 +29,9 @@ def create_global_var(slug):
         if name:
             variable = db.get_global_variable(slug, name)
             row_html = render_template(
-                "_global_variable_row.html", v=variable, global_variable_types=db.GLOBAL_VARIABLE_TYPES,
+                "_global_variable_row.html",
+                v=variable,
+                global_variable_types=db.GLOBAL_VARIABLE_TYPES,
             )
         return jsonify({"ok": True, "row_html": row_html})
     if screen_id:

routes/global_vars/global_var_delete.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for, jsonify
+from flask import jsonify, redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/variables/<int:var_id>/delete", methods=["POST"])
-def global_var_delete(slug, var_id):
+def global_var_delete(slug: str, var_id: int) -> Response:
     """Suppression en AJAX (voir static/js/scenes/global-variables.js) —
     même raison que global_var_edit.py. Redirection classique conservée
     en secours pour tout appelant non-JS."""

routes/global_vars/global_var_edit.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for, jsonify
+from flask import jsonify, redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/variables/<int:var_id>/edit", methods=["POST"])
-def global_var_edit(slug, var_id):
+def global_var_edit(slug: str, var_id: int) -> Response:
     """Enregistrement en AJAX (voir static/js/scenes/global-variables.js) —
     demande explicite : modifier/supprimer une variable ne doit plus
     recharger toute la page. Redirection classique conservée en secours

routes/ia/__init__.py

@@ -1 +1 @@
-from . import ia_chat
+from . import ia_chat  # noqa: F401 - enregistre la route definie dans ce module

routes/ia/ia_chat.py

@@ -1,14 +1,16 @@
+from typing import Any
+
 from flask import g, jsonify, request
+from werkzeug.wrappers import Response
 
 import ai
 import screens
-
 from core.flask_app import app
 
 _CONVERSATION_NOT_FOUND = {"error": "conversation introuvable"}
 
 
-def _get_owned_conversation(slug, conversation_id):
+def _get_owned_conversation(slug: str, conversation_id: int) -> dict[str, Any] | None:
     """La portée par SLUG (db.connect(slug), voir screens/ia/) suffit
     déjà à isoler les conversations d'un jeu à l'autre — un id d'une
     autre base n'existe simplement pas ici, même patron que
@@ -17,22 +19,22 @@ def _get_owned_conversation(slug, conversation_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/ia-conversations", methods=["GET"])
-def ia_conversations_list(slug, screen_id):
+def ia_conversations_list(slug: str, screen_id: int) -> Response:
     """Colonne de gauche de l'onglet "Générer avec l'IA" — toutes les
     conversations de cet écran, plus récente en premier."""
     return jsonify(screens.list_ia_conversations(slug, screen_id))
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/ia-conversations", methods=["POST"])
-def ia_conversations_create(slug, screen_id):
-    """"+ Nouvelle conversation" — créée immédiatement, vide."""
+def ia_conversations_create(slug: str, screen_id: int) -> Response:
+    """ "+ Nouvelle conversation" — créée immédiatement, vide."""
     conversation_id = screens.create_ia_conversation(slug, screen_id)
     conversation = screens.get_ia_conversation(slug, conversation_id)
     return jsonify(conversation)
 
 
 @app.route("/game/<slug>/ia-conversations/<int:conversation_id>", methods=["DELETE"])
-def ia_conversation_delete(slug, conversation_id):
+def ia_conversation_delete(slug: str, conversation_id: int) -> Response | tuple[Response, int]:
     if not _get_owned_conversation(slug, conversation_id):
         return jsonify(_CONVERSATION_NOT_FOUND), 404
     screens.delete_ia_conversation(slug, conversation_id)
@@ -40,7 +42,7 @@ def ia_conversation_delete(slug, conversation_id):
 
 
 @app.route("/game/<slug>/ia-conversations/<int:conversation_id>/messages", methods=["GET"])
-def ia_conversation_messages(slug, conversation_id):
+def ia_conversation_messages(slug: str, conversation_id: int) -> Response | tuple[Response, int]:
     """Historique complet d'UNE conversation — chargé par
     static/js/ia/ia-chat.js à sa sélection dans la colonne."""
     if not _get_owned_conversation(slug, conversation_id):
@@ -49,7 +51,7 @@ def ia_conversation_messages(slug, conversation_id):
 
 
 @app.route("/game/<slug>/ia-conversations/<int:conversation_id>/messages", methods=["POST"])
-def ia_conversation_send(slug, conversation_id):
+def ia_conversation_send(slug: str, conversation_id: int) -> Response | tuple[Response, int]:
     """Envoie un message dans une conversation — body {message}. Persiste
     le message du créateur et la réponse, renvoie les deux.
 
@@ -79,7 +81,9 @@ def ia_conversation_send(slug, conversation_id):
 
     user_message_id = screens.add_ia_chat_message(slug, conversation_id, "user", message)
     assistant_message_id = screens.add_ia_chat_message(slug, conversation_id, "assistant", reply)
-    return jsonify({
-        "user_message": {"id": user_message_id, "role": "user", "content": message},
-        "assistant_message": {"id": assistant_message_id, "role": "assistant", "content": reply},
-    })
+    return jsonify(
+        {
+            "user_message": {"id": user_message_id, "role": "user", "content": message},
+            "assistant_message": {"id": assistant_message_id, "role": "assistant", "content": reply},
+        }
+    )

routes/onboarding/__init__.py

@@ -1 +1 @@
-from . import onboarding_new
+from . import onboarding_new  # noqa: F401 - enregistre la route definie dans ce module

routes/onboarding/onboarding_new.py

@@ -1,14 +1,16 @@
+from typing import Any
+
 from flask import g, redirect, render_template, request, url_for
+from werkzeug.wrappers import Response
 
 import auth
 import db
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/onboarding", methods=["GET", "POST"])
-def onboarding_new():
+def onboarding_new() -> str | Response:
     """Point d'entrée UNIQUE pour créer un jeu — comportement SYSTÉMATIQUE
     à chaque création, pas une formalité réservée à la toute première
     inscription : chaque projet (celui d'un compte "user" comme n'importe
@@ -49,11 +51,12 @@ def onboarding_new():
 
     return render_template(
         "onboarding/onboarding_new.html",
-        onboarding_types=db.ONBOARDING_TYPES, error=error,
+        onboarding_types=db.ONBOARDING_TYPES,
+        error=error,
     )
 
 
-def _create_project_for_user(user, onboarding_type, name):
+def _create_project_for_user(user: dict[str, Any], onboarding_type: str, name: str) -> str:
     # owner_folder = l'id du compte, jamais son email (voir
     # routes/games/games_new.py, même convention).
     slug = db.create_game(name, owner_folder=str(user["id"]))

routes/play/__init__.py

@@ -1 +1 @@
-from . import game_play
+from . import game_play  # noqa: F401 - enregistre la route definie dans ce module

routes/play/game_play.py

@@ -1,15 +1,12 @@
-import json
-
 from flask import render_template, url_for
 
 import db
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/play")
-def game_play(slug):
+def game_play(slug: str) -> str:
     """Aperçu créateur (connecté, voir core/auth_guard.py) — une seule
     partie partagée (PLAYER_SHARED, le défaut de full_game_payload), comme
     avant l'état par joueur (Phase 1). Distincte de /jouer/<slug>
@@ -17,7 +14,10 @@ def game_play(slug):
     game = db.game_meta(slug)
     payload = screens.full_game_payload(slug)
     return render_template(
-        "play.html", game=game, screens_data=payload["screens"], payload_json=json.dumps(payload),
+        "play.html",
+        game=game,
+        screens_data=payload["screens"],
+        payload_json=db.json_for_script(payload),
         asset_url=lambda filename: url_for("static", filename=filename),
         runtime_payload_url=url_for("runtime_payload", slug=slug),
         flow_node_run_data_url=url_for("flow_node_run_data", slug=slug, node_id=999999),

routes/publish/__init__.py

@@ -1,5 +1,7 @@
-from . import export_scorm
-from . import xapi_settings
-from . import scoring_settings
-from . import scorm_version_settings
-from . import accessibility_declaration
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    accessibility_declaration,
+    export_scorm,
+    scoring_settings,
+    scorm_version_settings,
+    xapi_settings,
+)

routes/publish/accessibility_declaration.py

@@ -1,13 +1,12 @@
 from flask import Response
 
 import db
-from publish.accessibility_declaration import build_accessibility_declaration
-
 from core.flask_app import app
+from publish.accessibility_declaration import build_accessibility_declaration
 
 
 @app.route("/game/<slug>/accessibility-declaration", methods=["GET"])
-def accessibility_declaration_get(slug):
+def accessibility_declaration_get(slug: str) -> Response:
     """Télécharge la déclaration d'accessibilité de ce jeu (voir
     publish/accessibility_declaration.py) — même garde d'accès que
     /game/<slug>/export-scorm (core/auth_guard.py)."""
@@ -15,6 +14,7 @@ def accessibility_declaration_get(slug):
     text = build_accessibility_declaration(game["name"])
     download_name = f"{db.slugify(game['name'])}-declaration-accessibilite.txt"
     return Response(
-        text, mimetype="text/plain; charset=utf-8",
+        text,
+        mimetype="text/plain; charset=utf-8",
         headers={"Content-Disposition": f'attachment; filename="{download_name}"'},
     )

routes/publish/export_scorm.py

@@ -1,27 +1,37 @@
+import contextlib
+import io
 import os
 
-from flask import after_this_request, send_file
+from flask import send_file
+from werkzeug.wrappers import Response
 
 import db
-from publish.build_scorm_package import build_scorm_zip
-
 from core.flask_app import app
+from publish.build_scorm_package import build_scorm_zip
 
 
 @app.route("/game/<slug>/export-scorm", methods=["POST"])
-def export_scorm(slug):
+def export_scorm(slug: str) -> Response:
     """Construit et renvoie le paquet Web/SCORM autonome du jeu (voir
     publish/build_scorm_package.py) — même garde d'accès que
-    /game/<slug>/publish (core/auth_guard.py)."""
-    zip_path, game_name = build_scorm_zip(slug)
+    /game/<slug>/publish (core/auth_guard.py).
 
-    @after_this_request
-    def _cleanup(response):
-        try:
-            os.remove(zip_path)
-        except OSError:
-            pass
-        return response
+    Le zip est lu ENTIÈREMENT en mémoire puis le fichier temporaire est
+    supprimé AVANT de construire la réponse — send_file(chemin, ...) passe
+    par le mode "direct passthrough" de Werkzeug (nécessaire pour les
+    requêtes conditionnelles/par plage), qui ne referme le descripteur du
+    fichier qu'une fois la réponse WSGI entièrement consommée : un
+    os.remove() tenté juste après (ex. via after_this_request) échouait
+    silencieusement sous Windows (PermissionError avalé par le
+    try/except), laissant le zip temporaire — plusieurs Mo par export —
+    orphelin dans le dossier temp indéfiniment. En passant par BytesIO, le
+    fichier physique n'est plus jamais référencé par la réponse elle-même.
+    """
+    zip_path, game_name = build_scorm_zip(slug)
+    with open(zip_path, "rb") as f:
+        zip_bytes = f.read()
+    with contextlib.suppress(OSError):
+        os.remove(zip_path)
 
     download_name = f"{db.slugify(game_name)}-scorm.zip"
-    return send_file(zip_path, as_attachment=True, download_name=download_name, mimetype="application/zip")
+    return send_file(io.BytesIO(zip_bytes), as_attachment=True, download_name=download_name, mimetype="application/zip")

routes/publish/scoring_settings.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scoring-settings", methods=["GET"])
-def scoring_settings_get(slug):
+def scoring_settings_get(slug: str) -> Response:
     """Seuil de réussite de ce jeu (voir db/games/get_success_threshold.py)
     — s'applique indépendamment du réglage xAPI (détermine aussi le
     lesson_status SCORM passed/failed, voir static/js/play/offline/
@@ -15,11 +15,14 @@ def scoring_settings_get(slug):
 
 
 @app.route("/game/<slug>/scoring-settings", methods=["POST"])
-def scoring_settings_set(slug):
+def scoring_settings_set(slug: str) -> Response | tuple[Response, int]:
     """Enregistre le seuil de réussite (0-100) — voir db/games/set_success_threshold.py."""
     body = request.get_json(silent=True) or {}
+    raw_percent = body.get("success_threshold_percent")
     try:
-        percent = int(body.get("success_threshold_percent"))
+        if raw_percent is None:
+            raise ValueError
+        percent = int(raw_percent)
     except (TypeError, ValueError):
         return jsonify({"ok": False, "error": "success_threshold_percent invalide"}), 400
     saved = db.set_success_threshold(slug, percent)

routes/publish/scorm_version_settings.py

@@ -1,19 +1,19 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-from db.games.get_scorm_version import VALID_SCORM_VERSIONS
-
 from core.flask_app import app
+from db.games.get_scorm_version import VALID_SCORM_VERSIONS
 
 
 @app.route("/game/<slug>/scorm-version", methods=["GET"])
-def scorm_version_get(slug):
+def scorm_version_get(slug: str) -> Response:
     """Version SCORM exportée pour ce jeu (voir db/games/get_scorm_version.py)."""
     return jsonify({"scorm_version": db.get_scorm_version(slug)})
 
 
 @app.route("/game/<slug>/scorm-version", methods=["POST"])
-def scorm_version_set(slug):
+def scorm_version_set(slug: str) -> Response | tuple[Response, int]:
     """Enregistre la version SCORM exportée — voir db/games/set_scorm_version.py."""
     body = request.get_json(silent=True) or {}
     version = body.get("scorm_version")

routes/publish/xapi_settings.py

@@ -1,26 +1,28 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/xapi-settings", methods=["GET"])
-def xapi_settings_get(slug):
+def xapi_settings_get(slug: str) -> Response:
     """Réglages xAPI de ce jeu (voir db/games/get_xapi_settings.py) —
     jamais le mot de passe en clair, juste `password_set` (voir la
     modale d'export, templates/base.html, qui pré-remplit endpoint/login
     mais laisse toujours le champ mot de passe vide)."""
     settings = db.get_xapi_settings(slug)
-    return jsonify({
-        "endpoint": settings["endpoint"],
-        "login": settings["login"],
-        "password_set": bool(settings["password"]),
-    })
+    return jsonify(
+        {
+            "endpoint": settings["endpoint"],
+            "login": settings["login"],
+            "password_set": bool(settings["password"]),
+        }
+    )
 
 
 @app.route("/game/<slug>/xapi-settings", methods=["POST"])
-def xapi_settings_set(slug):
+def xapi_settings_set(slug: str) -> Response:
     """Enregistre les réglages xAPI de ce jeu — voir
     db/games/set_xapi_settings.py : un mot de passe absent/vide dans le
     corps JSON laisse celui déjà enregistré inchangé plutôt que de

routes/scenes/__init__.py

@@ -1,13 +1,13 @@
-from . import (
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
     scene_object_add,
-    scene_object_geometry,
-    scene_object_delete,
-    scene_object_personnage_data,
-    scene_object_commands,
-    scene_object_role,
     scene_object_collision,
-    scene_object_name,
+    scene_object_commands,
+    scene_object_delete,
     scene_object_dialogue_box_style,
-    scene_object_quiz_config,
+    scene_object_geometry,
+    scene_object_name,
     scene_object_names_list,
+    scene_object_personnage_data,
+    scene_object_quiz_config,
+    scene_object_role,
 )

routes/scenes/scene_edit_view.py

@@ -1,13 +1,13 @@
-import json
+from typing import Any
 
-from flask import render_template, request, abort, g, url_for
+from flask import abort, g, render_template, request, url_for
 
 import auth
 import db
 import screens
 
 
-def render_scene_edit(slug, screen_id, game):
+def render_scene_edit(slug: str, screen_id: int, game: dict[str, Any]) -> str:
     """Vue de l'éditeur de scène 2D — appelée par routes/screens/
     screen_edit.py (le dispatcher, selon screen["kind"]), PAS une route
     Flask elle-même : même URL/endpoint "screen_edit" pour les deux types
@@ -73,10 +73,7 @@ def render_scene_edit(slug, screen_id, game):
                 quiz_box_config = screens.resolve_quiz_box_config(selected_obj)
 
     _DEFAULT_OBJECT_LABELS = {"personnage": "Personnage", "fond": "Fond"}
-    object_labels = {
-        o["id"]: (o.get("name") or _DEFAULT_OBJECT_LABELS.get(o["kind"], "Décor"))
-        for o in objects
-    }
+    object_labels = {o["id"]: (o.get("name") or _DEFAULT_OBJECT_LABELS.get(o["kind"], "Décor")) for o in objects}
     element_animations_map = {
         o["id"]: screens.resolve_personnage_animations(o) for o in objects if o["kind"] == "personnage"
     }
@@ -134,13 +131,19 @@ def render_scene_edit(slug, screen_id, game):
 
     return render_template(
         "scene_edit.html",
-        game=game, screen=screen, all_screens=all_screens,
-        world_width=world_width, world_height=world_height,
+        game=game,
+        screen=screen,
+        all_screens=all_screens,
+        world_width=world_width,
+        world_height=world_height,
         any_quiz_box_fullscreen=any_quiz_box_fullscreen,
-        objects=objects, selected_id=selected_id, personnage_data=personnage_data,
+        objects=objects,
+        selected_id=selected_id,
+        personnage_data=personnage_data,
         personnage_commands=personnage_commands or screens.DEFAULT_PERSONNAGE_COMMANDS,
         personnage_role=personnage_role or screens.DEFAULT_PERSONNAGE_ROLE,
-        personnage_role_choices=screens.PERSONNAGE_ROLES, personnage_role_labels=screens.PERSONNAGE_ROLE_LABELS,
+        personnage_role_choices=screens.PERSONNAGE_ROLES,
+        personnage_role_labels=screens.PERSONNAGE_ROLE_LABELS,
         collision_settings=collision_settings or screens.DEFAULT_COLLISION_SETTINGS,
         dialogue_box_style=dialogue_box_style or screens.DEFAULT_DIALOGUE_BOX_STYLE,
         dialogue_box_font_weight_choices=screens.FONT_WEIGHT_CHOICES,
@@ -150,49 +153,64 @@ def render_scene_edit(slug, screen_id, game):
         quiz_box_dialog_template_labels=screens.QUIZ_BOX_DIALOG_TEMPLATE_LABELS,
         quiz_box_page_templates=screens.QUIZ_BOX_PAGE_TEMPLATES,
         quiz_box_page_template_labels=screens.QUIZ_BOX_PAGE_TEMPLATE_LABELS,
-        sprite_library=sprite_library, sprite_library_families=sprite_library_families,
-        sprite_library_json=json.dumps(sprite_library),
+        sprite_library=sprite_library,
+        sprite_library_families=sprite_library_families,
+        sprite_library_json=db.json_for_script(sprite_library),
         background_library=background_library,
-        user_assets_fond=user_assets_fond, user_assets_decor=user_assets_decor,
-        user_assets_audio=user_assets_audio, user_assets_video=user_assets_video,
-        element_animations_map_json=json.dumps(element_animations_map),
+        user_assets_fond=user_assets_fond,
+        user_assets_decor=user_assets_decor,
+        user_assets_audio=user_assets_audio,
+        user_assets_video=user_assets_video,
+        element_animations_map_json=db.json_for_script(element_animations_map),
         element_orientation_values=screens.ELEMENT_ORIENTATION_VALUES,
-        element_orientation_labels_json=json.dumps(screens.ELEMENT_ORIENTATION_LABELS),
+        element_orientation_labels_json=db.json_for_script(screens.ELEMENT_ORIENTATION_LABELS),
         element_visibility_values=screens.ELEMENT_VISIBILITY_VALUES,
-        element_visibility_labels_json=json.dumps(screens.ELEMENT_VISIBILITY_LABELS),
-        trigger_events=screens.TRIGGER_EVENTS_2D, action_type_labels=screens.ACTION_TYPE_LABELS_2D,
+        element_visibility_labels_json=db.json_for_script(screens.ELEMENT_VISIBILITY_LABELS),
+        trigger_events=screens.TRIGGER_EVENTS_2D,
+        action_type_labels=screens.ACTION_TYPE_LABELS_2D,
         object_action_properties=screens.OBJECT_ACTION_PROPERTIES,
-        element_action_property_labels_json=json.dumps(dict(screens.OBJECT_ACTION_PROPERTIES)),
+        element_action_property_labels_json=db.json_for_script(dict(screens.OBJECT_ACTION_PROPERTIES)),
         condition_operators=screens.CONDITION_OPERATORS,
-        data_operations=screens.DATA_OPERATIONS, data_operation_labels=screens.DATA_OPERATION_LABELS,
+        data_operations=screens.DATA_OPERATIONS,
+        data_operation_labels=screens.DATA_OPERATION_LABELS,
         score_status_choices=db.SCORE_STATUS_CHOICES,
-        score_status_labels_json=json.dumps(db.SCORE_STATUS_LABELS),
-        data_operation_labels_json=json.dumps(screens.DATA_OPERATION_LABELS),
-        condition_operator_labels_json=json.dumps(screens.CONDITION_OPERATOR_LABELS),
-        action_type_labels_json=json.dumps(screens.ACTION_TYPE_LABELS_2D),
-        elements_labels_json=json.dumps(object_labels), screens_map_json=json.dumps(screens_map),
-        flow_nodes=flow_nodes, flow_edges=flow_edges,
-        flow_nodes_json=json.dumps(flow_nodes), flow_edges_json=json.dumps(flow_edges),
-        flow_blocks_json=json.dumps(flow_blocks), blocks_view=blocks_view,
-        animation_clips=animation_clips, animation_clips_json=json.dumps(animation_clips),
-        animate_css_catalog=screens.ANIMATE_CSS_CATALOG, animate_css_labels_json=json.dumps(screens.ANIMATE_CSS_LABELS),
-        global_variables=global_variables, global_variable_types=db.GLOBAL_VARIABLE_TYPES,
-        custom_events=custom_events, custom_event_usages=custom_event_usages,
-        custom_events_map_json=json.dumps(custom_events_map),
+        score_status_labels_json=db.json_for_script(db.SCORE_STATUS_LABELS),
+        data_operation_labels_json=db.json_for_script(screens.DATA_OPERATION_LABELS),
+        condition_operator_labels_json=db.json_for_script(screens.CONDITION_OPERATOR_LABELS),
+        action_type_labels_json=db.json_for_script(screens.ACTION_TYPE_LABELS_2D),
+        elements_labels_json=db.json_for_script(object_labels),
+        screens_map_json=db.json_for_script(screens_map),
+        flow_nodes=flow_nodes,
+        flow_edges=flow_edges,
+        flow_nodes_json=db.json_for_script(flow_nodes),
+        flow_edges_json=db.json_for_script(flow_edges),
+        flow_blocks_json=db.json_for_script(flow_blocks),
+        blocks_view=blocks_view,
+        animation_clips=animation_clips,
+        animation_clips_json=db.json_for_script(animation_clips),
+        animate_css_catalog=screens.ANIMATE_CSS_CATALOG,
+        animate_css_labels_json=db.json_for_script(screens.ANIMATE_CSS_LABELS),
+        global_variables=global_variables,
+        global_variable_types=db.GLOBAL_VARIABLE_TYPES,
+        custom_events=custom_events,
+        custom_event_usages=custom_event_usages,
+        custom_events_map_json=db.json_for_script(custom_events_map),
         definitions=db.list_definitions(slug),
-        definitions_json=json.dumps({str(d["id"]): screens.data_definition_options(slug, d["id"]) for d in db.list_definitions(slug)}),
-        definitions_names_json=json.dumps({d["id"]: d["name"] for d in db.list_definitions(slug)}),
+        definitions_json=db.json_for_script(
+            {str(d["id"]): screens.data_definition_options(slug, d["id"]) for d in db.list_definitions(slug)}
+        ),
+        definitions_names_json=db.json_for_script({d["id"]: d["name"] for d in db.list_definitions(slug)}),
         # "qui parle" dans un dialogue de déclencheur (voir "ℹ️
         # Informations", static/js/triggers/trigger-editor.js) : les noms
         # donnés à N'IMPORTE QUEL objet de scène (personnage, décor,
         # fond), toutes scènes du jeu confondues.
-        scene_object_names_json=json.dumps(screens.list_named_scene_object_names(slug)),
+        scene_object_names_json=db.json_for_script(screens.list_named_scene_object_names(slug)),
         # Nouveaux déclencheurs/actions (voir screens/rendering/
         # collision_rules.py, screens/rendering/screen_triggers.py) :
         # vocabulaire des nouvelles actions feuilles + assets disponibles
         # pour "son"/"vidéo", posés en JS comme le reste ci-dessus.
-        surbrillance_labels_json=json.dumps(screens.SURBRILLANCE_LABELS),
-        video_mode_labels_json=json.dumps(screens.VIDEO_MODE_LABELS),
-        user_assets_options_json=json.dumps(user_assets_options),
+        surbrillance_labels_json=db.json_for_script(screens.SURBRILLANCE_LABELS),
+        video_mode_labels_json=db.json_for_script(screens.VIDEO_MODE_LABELS),
+        user_assets_options_json=db.json_for_script(user_assets_options),
         screen_triggers=screens.resolve_screen_triggers(screen),
     )

routes/scenes/scene_object_add.py

@@ -1,14 +1,14 @@
-from flask import g, request, redirect, url_for, jsonify, abort
+from flask import abort, g, jsonify, redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import auth
 import screens
-
 from core.flask_app import app
-from core.sprite_gate import forbid_admin_only_character, forbid_admin_only_background
+from core.sprite_gate import forbid_admin_only_background, forbid_admin_only_character
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/scene-objects/add", methods=["POST"])
-def scene_object_add(slug, screen_id):
+def scene_object_add(slug: str, screen_id: int) -> Response:
     """Pose un nouvel objet sur la scène — mirror de routes/elements/
     element_add.py, mais pour _scene_objects (voir screens/scenes/
     add_scene_object.py).
@@ -60,6 +60,7 @@ def scene_object_add(slug, screen_id):
             # n'en a pas besoin (demande explicite : toujours 200×200 à la
             # pose, voir add_scene_object.py::_DECOR_DEFAULT_SIZE).
             import os
+
             path = os.path.join(auth.user_assets_dir(asset["user_id"]), asset["filename"])
             try:
                 with open(path, "rb") as fh:
@@ -75,10 +76,16 @@ def scene_object_add(slug, screen_id):
     # visible sur le dessus/le côté). Un "decor"/"personnage" garde lui sa
     # position de dépôt normale.
     new_id = screens.add_scene_object(
-        slug, screen_id, kind=kind, forge_character=forge_character,
-        background_slug=background_slug, image_url=image_url,
-        image_width=image_width, image_height=image_height,
-        x=(None if kind == "fond" else drop_x), y=(None if kind == "fond" else drop_y),
+        slug,
+        screen_id,
+        kind=kind,
+        forge_character=forge_character,
+        background_slug=background_slug,
+        image_url=image_url,
+        image_width=image_width,
+        image_height=image_height,
+        x=(None if kind == "fond" else drop_x),
+        y=(None if kind == "fond" else drop_y),
     )
     if drop_x is not None and drop_y is not None and kind != "fond":
         # Ramène dans le cadre de la caméra si le dépôt était trop proche
@@ -87,25 +94,42 @@ def scene_object_add(slug, screen_id):
         # _clamp_to_camera pour l'IA, ici pour un dépôt manuel.
         obj_for_clamp = screens.get_scene_object(slug, new_id)
         screen = screens.get_screen(slug, screen_id)
+        assert obj_for_clamp is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+            "new_id vient d'etre cree par screens.add_scene_object juste au-dessus"
+        )
+        assert screen is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+            "screen_id valide : add_scene_object aurait leve IntegrityError sinon (FK scene_id)"
+        )
         max_x = max(0, screen["scene_width"] - obj_for_clamp["width"])
         max_y = max(0, screen["scene_height"] - obj_for_clamp["height"])
         clamped_x = min(max(drop_x, 0), max_x)
         clamped_y = min(max(drop_y, 0), max_y)
         if (clamped_x, clamped_y) != (obj_for_clamp["x"], obj_for_clamp["y"]):
-            screens.update_scene_object_geometry(slug, new_id, clamped_x, clamped_y, obj_for_clamp["width"], obj_for_clamp["height"])
+            screens.update_scene_object_geometry(
+                slug, new_id, clamped_x, clamped_y, obj_for_clamp["width"], obj_for_clamp["height"]
+            )
     if request.headers.get("X-Requested-With") == "fetch":
         obj = screens.get_scene_object(slug, new_id)
-        return jsonify({
-            "id": new_id, "kind": obj["kind"],
-            "x": obj["x"], "y": obj["y"], "width": obj["width"], "height": obj["height"],
-            "rendered_html": screens.render_scene_object(obj),
-            # Relance l'aperçu animé tout de suite (voir personnage-preview.js
-            # ::restartPersonnageIdlePreview) — sans ça, un personnage
-            # fraîchement posé restait figé sur sa première frame jusqu'au
-            # prochain rechargement de page (qui n'arrive plus jamais, voir
-            # addSceneObject() côté JS).
-            "animations": screens.resolve_personnage_animations(obj) if obj["kind"] == "personnage" else None,
-        })
+        assert obj is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+            "new_id vient d'etre cree par screens.add_scene_object plus haut"
+        )
+        return jsonify(
+            {
+                "id": new_id,
+                "kind": obj["kind"],
+                "x": obj["x"],
+                "y": obj["y"],
+                "width": obj["width"],
+                "height": obj["height"],
+                "rendered_html": screens.render_scene_object(obj),
+                # Relance l'aperçu animé tout de suite (voir personnage-preview.js
+                # ::restartPersonnageIdlePreview) — sans ça, un personnage
+                # fraîchement posé restait figé sur sa première frame jusqu'au
+                # prochain rechargement de page (qui n'arrive plus jamais, voir
+                # addSceneObject() côté JS).
+                "animations": screens.resolve_personnage_animations(obj) if obj["kind"] == "personnage" else None,
+            }
+        )
     # Même route que l'éditeur document (/game/<slug>/screens/<id>/edit,
     # endpoint "screen_edit") — c'est CE dispatcher qui bascule vers la
     # vue de scène selon game_type, voir routes/screens/screen_edit.py.

routes/scenes/scene_object_collision.py

@@ -1,12 +1,14 @@
-from flask import request, jsonify
+from typing import Any
+
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/collision", methods=["POST"])
-def scene_object_collision(slug, object_id):
+def scene_object_collision(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Boîte de collision d'un objet de scène (voir "🧱 Collision" dans
     templates/scene_edit.html, static/js/play/conditions.js::
     elementsOverlap pour son usage au jeu)."""
@@ -15,7 +17,7 @@ def scene_object_collision(slug, object_id):
     if not obj:
         return jsonify({"error": "objet introuvable"}), 404
 
-    settings = {"enabled": bool(body.get("enabled", True))}
+    settings: dict[str, Any] = {"enabled": bool(body.get("enabled", True))}
     settings["shape"] = body.get("shape") if body.get("shape") in screens.COLLISION_SHAPES else "rectangle"
     for key in ("width", "height"):
         try:
@@ -31,4 +33,7 @@ def scene_object_collision(slug, object_id):
 
     screens.set_scene_object_collision(slug, object_id, settings)
     obj = screens.get_scene_object(slug, object_id)
+    assert obj is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+        "object_id valide (deja lu ci-dessus, rien ne l'a supprime entre-temps)"
+    )
     return jsonify({"ok": True, "collision": screens.resolve_collision_settings(obj)})

routes/scenes/scene_object_commands.py

@@ -1,12 +1,14 @@
-from flask import request, jsonify
+from typing import Any
+
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/commandes", methods=["POST"])
-def scene_object_commands(slug, object_id):
+def scene_object_commands(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Touches de déplacement/interaction + blocage d'axe d'un personnage
     (voir templates/scene_edit.html, section "Commandes" du panneau
     Personnage, et static/js/play/personnage-controller.js pour leur
@@ -18,7 +20,7 @@ def scene_object_commands(slug, object_id):
         return jsonify({"error": "objet introuvable"}), 404
 
     defaults = screens.DEFAULT_PERSONNAGE_COMMANDS
-    commands = {}
+    commands: dict[str, Any] = {}
     for key in ("haut", "bas", "gauche", "droite", "interagir"):
         # Jamais de .strip() ici : " " (Espace) est une valeur ev.key
         # parfaitement valide côté client (voir personnage-controller.js)

routes/scenes/scene_object_delete.py

@@ -1,12 +1,12 @@
-from flask import redirect, request, url_for, jsonify
+from flask import jsonify, redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/delete", methods=["POST"])
-def scene_object_delete(slug, object_id):
+def scene_object_delete(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Supprime un objet de scène — bouton 🗑️ du panneau de propriétés
     (voir templates/scene_edit.html), toujours pour l'objet SÉLECTIONNÉ (le
     seul dont ce bouton est affiché).

routes/scenes/scene_object_dialogue_box_style.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/dialogue-box-style", methods=["POST"])
-def scene_object_dialogue_box_style(slug, object_id):
+def scene_object_dialogue_box_style(slug: str, object_id: int) -> Response | tuple[Response, int]:
     body = request.get_json(silent=True) or {}
     style = screens.set_scene_object_dialogue_box_style(slug, object_id, body.get("style"))
     if style is None:

routes/scenes/scene_object_geometry.py

@@ -1,20 +1,31 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/geometry", methods=["POST"])
-def scene_object_geometry(slug, object_id):
+def scene_object_geometry(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Mirror exact de routes/elements/element_geometry.py, mais en pixels
     (voir screens/scenes/update_scene_object_geometry.py) — appelé en AJAX
     pendant/à la fin d'un glisser-déposer sur la scène."""
+    # Vérifié AVANT l'update (pas seulement après) : update_scene_object_geometry
+    # ne valide pas object_id elle-même (simple UPDATE ... WHERE id = ?, sans
+    # effet silencieux si la ligne n'existe plus) — un objet supprimé entre
+    # temps (ex. course avec un autre onglet/une suppression concurrente)
+    # aurait sinon fait planter obj["scene_id"] plus bas sur un obj devenu None.
+    obj = screens.get_scene_object(slug, object_id)
+    if obj is None:
+        return jsonify({"error": "objet introuvable"}), 404
     data = request.get_json(force=True)
     screens.update_scene_object_geometry(
-        slug, object_id,
-        x=float(data["x"]), y=float(data["y"]),
-        width=float(data["width"]), height=float(data["height"]),
+        slug,
+        object_id,
+        x=float(data["x"]),
+        y=float(data["y"]),
+        width=float(data["width"]),
+        height=float(data["height"]),
     )
     # Un "fond" agrandi manuellement au-delà du champ de la caméra doit
     # élargir le "monde" tout de suite (voir screens.resolve_scene_world_size)
@@ -22,8 +33,10 @@ def scene_object_geometry(slug, object_id):
     # JS après un redimensionnement manuel (contrairement au tour de Ruby,
     # voir iaChatRefreshAfterTurn() dans static/js/ia/ia-chat.js), rendant
     # injoignable à la souris tout ce qui dépassait la scène nominale.
-    obj = screens.get_scene_object(slug, object_id)
     screen = screens.get_screen(slug, obj["scene_id"])
+    assert screen is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+        "obj existe (verifie plus haut) et _scene_objects.scene_id a ON DELETE CASCADE vers _screens"
+    )
     objects = screens.list_scene_objects(slug, obj["scene_id"])
     world_width, world_height = screens.resolve_scene_world_size(screen, objects)
     return jsonify({"ok": True, "world_width": world_width, "world_height": world_height})

routes/scenes/scene_object_name.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/name", methods=["POST"])
-def scene_object_name(slug, object_id):
+def scene_object_name(slug: str, object_id: int) -> Response:
     data = request.get_json(force=True)
     screens.set_scene_object_name(slug, object_id, data.get("name"))
     return jsonify({"ok": True})

routes/scenes/scene_object_names_list.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-object-names", methods=["GET"])
-def scene_object_names_list(slug):
+def scene_object_names_list(slug: str) -> Response:
     """Noms d'objets de scène à jour, pour repeupler le sélecteur "qui
     parle" de l'éditeur de dialogue (voir SCENE_OBJECT_NAMES_JSON,
     templates/scene_edit.html, triggerSpeakerOptions() dans static/js/

routes/scenes/scene_object_personnage_data.py

@@ -1,13 +1,13 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 from core.sprite_gate import forbid_admin_only_character
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/personnage", methods=["POST"])
-def scene_object_personnage_data(slug, object_id):
+def scene_object_personnage_data(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Mirror exact de routes/elements/element_set_personnage_data.py,
     mais pour un objet de scène — même réponse (animations résolues) pour
     relancer immédiatement l'aperçu animé côté client sans recharger la
@@ -22,4 +22,7 @@ def scene_object_personnage_data(slug, object_id):
         forbid_admin_only_character(body["forge_character"])
     screens.set_scene_object_personnage_data(slug, object_id, body)
     obj = screens.get_scene_object(slug, object_id)
+    assert obj is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+        "object_id valide (deja lu ci-dessus, rien ne l'a supprime entre-temps)"
+    )
     return jsonify({"ok": True, "animations": screens.resolve_personnage_animations(obj)})

routes/scenes/scene_object_quiz_config.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/quiz-config", methods=["POST"])
-def scene_object_quiz_config(slug, object_id):
+def scene_object_quiz_config(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Réglages "❓ Boîte à quiz" (plein écran/minuteur/modèle, voir
     screens/rendering/quiz_box_config.py) — mirror exact de
     routes/scenes/scene_object_dialogue_box_style.py."""
@@ -20,4 +20,7 @@ def scene_object_quiz_config(slug, object_id):
     # coup, plutôt que de deviner quelle balise ajouter/retirer côté
     # client.
     obj = screens.get_scene_object(slug, object_id)
+    assert obj is not None, (  # nosec B101  # noqa: S101 - narrowing de type, sur par construction
+        "object_id valide : set_scene_object_quiz_config a renvoye une config non-None"
+    )
     return jsonify({"config": config, "rendered_html": screens.render_scene_object(obj)})

routes/scenes/scene_object_role.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/role", methods=["POST"])
-def scene_object_role(slug, object_id):
+def scene_object_role(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Rôle d'un personnage (joueur/ennemie/pnj — voir "🏷️ Rôle" dans le
     panneau Personnage, templates/scene_edit.html) : seul un personnage
     "joueur" est déplacé/animé automatiquement au clavier (voir

routes/screens/__init__.py

@@ -1 +1,10 @@
-from . import screens_new, screen_rename, screen_move, screen_delete, screen_edit, screen_set_background_music, screen_set_scene_size, screen_triggers
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    screen_delete,
+    screen_edit,
+    screen_move,
+    screen_rename,
+    screen_set_background_music,
+    screen_set_scene_size,
+    screen_triggers,
+    screens_new,
+)

routes/screens/screen_delete.py

@@ -1,12 +1,12 @@
 from flask import redirect, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/delete", methods=["POST"])
-def screen_delete(slug, screen_id):
+def screen_delete(slug: str, screen_id: int) -> Response:
     referencing = screens.screens_referencing(slug, screen_id)
     if referencing:
         return redirect(url_for("game_dashboard", slug=slug, tab="screens", blocked_screen=screen_id))

routes/screens/screen_edit.py

@@ -2,13 +2,13 @@ from flask import abort
 
 import db
 import screens
-
 from core.flask_app import app
+
 from ..scenes.scene_edit_view import render_scene_edit
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/edit")
-def screen_edit(slug, screen_id):
+def screen_edit(slug: str, screen_id: int) -> str:
     game = db.game_meta(slug)
     screen = screens.get_screen(slug, screen_id)
     if not screen:

routes/screens/screen_move.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/move", methods=["POST"])
-def screen_move(slug, screen_id):
+def screen_move(slug: str, screen_id: int) -> Response:
     direction = -1 if request.form.get("direction") == "up" else 1
     screens.move_screen(slug, screen_id, direction)
     return redirect(url_for("game_dashboard", slug=slug, tab="screens"))

routes/screens/screen_rename.py

@@ -1,12 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/rename", methods=["POST"])
-def screen_rename(slug, screen_id):
+def screen_rename(slug: str, screen_id: int) -> Response:
     new_name = request.form.get("name", "").strip()
     if new_name:
         screens.rename_screen(slug, screen_id, new_name)

routes/screens/screen_set_background_music.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/background-music", methods=["POST"])
-def screen_set_background_music(slug, screen_id):
+def screen_set_background_music(slug: str, screen_id: int) -> Response:
     """Mémorise l'URL de musique de fond de cet écran, en AJAX — même patron
     que screen_set_aspect."""
     body = request.get_json(silent=True) or {}

routes/screens/screen_set_scene_size.py

@@ -1,19 +1,22 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/scene-size", methods=["POST"])
-def screen_set_scene_size(slug, screen_id):
-    """"📐 Agrandir la caméra à la zone visible" (voir templates/
+def screen_set_scene_size(slug: str, screen_id: int) -> Response | tuple[Response, int]:
+    """ "📐 Agrandir la caméra à la zone visible" (voir templates/
     scene_edit.html) — redimensionne la scène/caméra elle-même à la
     taille du "monde" affiché (world_width/world_height, voir
     routes/scenes/scene_edit_view.py), calculée et postée par le client."""
     body = request.get_json(silent=True) or {}
+    raw_width, raw_height = body.get("width"), body.get("height")
     try:
-        width, height = int(body.get("width")), int(body.get("height"))
+        if raw_width is None or raw_height is None:
+            raise ValueError
+        width, height = int(raw_width), int(raw_height)
     except (TypeError, ValueError):
         return jsonify({"error": "largeur/hauteur invalides"}), 400
     screens.set_scene_size(slug, screen_id, width, height)

routes/screens/screen_triggers.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers", methods=["GET"])
-def screen_triggers_get(slug, screen_id):
+def screen_triggers_get(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Déclencheurs D'ÉCRAN de CET écran (voir "Déclencheurs de l'écran",
     screens/rendering/screen_triggers.py) — SANS objet requis, pour de la
     narration/cinématique dès l'affichage."""
@@ -23,7 +23,7 @@ def screen_triggers_get(slug, screen_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers", methods=["POST"])
-def screen_triggers_add(slug, screen_id):
+def screen_triggers_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Ajoute une règle "déclencheur d'écran -> action" — body {rule}, même
     contrat "liste ENTIÈRE" que routes/triggers/triggers.py::triggers_add :
     on recharge les règles existantes de l'écran, on y ajoute la nouvelle,
@@ -44,7 +44,7 @@ def screen_triggers_add(slug, screen_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers", methods=["DELETE"])
-def screen_triggers_clear(slug, screen_id):
+def screen_triggers_clear(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Retire TOUTES les règles d'écran de CET écran."""
     if screens.get_screen(slug, screen_id) is None:
         return jsonify({"error": "écran introuvable"}), 404
@@ -53,7 +53,7 @@ def screen_triggers_clear(slug, screen_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers/<int:index>", methods=["DELETE"])
-def screen_trigger_delete_one(slug, screen_id, index):
+def screen_trigger_delete_one(slug: str, screen_id: int, index: int) -> Response | tuple[Response, int]:
     """Retire UNE SEULE règle d'écran (son index dans la liste) —
     contrairement aux déclencheurs d'objet (un seul par objet en
     pratique), un écran peut porter plusieurs règles "affichage" côte à
@@ -72,7 +72,7 @@ def screen_trigger_delete_one(slug, screen_id, index):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers/action/<leaf_id>", methods=["DELETE"])
-def screen_trigger_remove_action(slug, screen_id, leaf_id):
+def screen_trigger_remove_action(slug: str, screen_id: int, leaf_id: str) -> Response | tuple[Response, int]:
     """Retire UNE action précise d'un déclencheur d'écran — même contrat
     que routes/triggers/triggers.py::trigger_remove_action."""
     if not screens.remove_action_from_screen_trigger(slug, screen_id, leaf_id):
@@ -81,7 +81,7 @@ def screen_trigger_remove_action(slug, screen_id, leaf_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers/action/<leaf_id>/move", methods=["POST"])
-def screen_trigger_move_action(slug, screen_id, leaf_id):
+def screen_trigger_move_action(slug: str, screen_id: int, leaf_id: str) -> Response | tuple[Response, int]:
     """Déplace une action précise d'un cran ("up"/"down") dans sa chaîne,
     pour un déclencheur d'écran — même contrat que
     routes/triggers/triggers.py::trigger_move_action."""
@@ -95,7 +95,7 @@ def screen_trigger_move_action(slug, screen_id, leaf_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers/dialogue", methods=["POST"])
-def screen_trigger_dialogue_update(slug, screen_id):
+def screen_trigger_dialogue_update(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Édition EN LIGNE des répliques d'un dialogue porté par un
     déclencheur d'écran — même contrat que
     routes/triggers/triggers.py::trigger_dialogue_update."""
@@ -116,8 +116,8 @@ def screen_trigger_dialogue_update(slug, screen_id):
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/triggers/append-action", methods=["POST"])
-def screen_trigger_append_action(slug, screen_id):
-    """"+ Ajouter une action" en bout de chaîne, pour un déclencheur
+def screen_trigger_append_action(slug: str, screen_id: int) -> Response | tuple[Response, int]:
+    """ "+ Ajouter une action" en bout de chaîne, pour un déclencheur
     d'écran — même contrat que
     routes/triggers/triggers.py::trigger_append_action."""
     if screens.get_screen(slug, screen_id) is None:

routes/screens/screens_new.py

@@ -1,13 +1,12 @@
-from flask import request, redirect, url_for
+from flask import redirect, request, url_for
+from werkzeug.wrappers import Response
 
-import db
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/new", methods=["POST"])
-def screens_new(slug):
+def screens_new(slug: str) -> Response:
     name = request.form.get("name", "").strip()
     # Un seul moteur d'écran désormais (jeu_2d) — imposé à tout écran créé,
     # quel que soit le projet (voir db/games/game_type_catalog.py).

routes/triggers/__init__.py

@@ -1 +1 @@
-from . import triggers
+from . import triggers  # noqa: F401 - enregistre les routes definies dans ce module

routes/triggers/triggers.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/triggers/objects-catalog", methods=["GET"])
-def triggers_objects_catalog(slug):
+def triggers_objects_catalog(slug: str) -> Response:
     """Catalogue des objets de scène éligibles à un déclencheur, pour la
     grille "choisis un objet" de la modale d'ajout (voir
     screens.list_all_collision_objects)."""
@@ -14,7 +14,7 @@ def triggers_objects_catalog(slug):
 
 
 @app.route("/game/<slug>/triggers", methods=["GET"])
-def triggers_get(slug):
+def triggers_get(slug: str) -> Response:
     """TOUS les déclencheurs du jeu (voir screens.list_all_triggers) — plus
     de recherche inversée par quête, la logique est portée directement par
     chaque déclencheur."""
@@ -22,7 +22,7 @@ def triggers_get(slug):
 
 
 @app.route("/game/<slug>/triggers", methods=["POST"])
-def triggers_add(slug):
+def triggers_add(slug: str) -> Response | tuple[Response, int]:
     """Ajoute un déclencheur sur l'objet choisi — body {object_id, rule},
     `rule` construite par l'assistant "déclencheur -> action" (voir
     openTriggerWizard, static/js/scenes/collision-rules-editor.js) :
@@ -33,8 +33,11 @@ def triggers_add(slug):
     recharge les règles existantes de l'objet, on y ajoute la nouvelle, on
     sauvegarde la liste complète."""
     body = request.get_json(silent=True) or {}
+    raw_object_id = body.get("object_id")
     try:
-        object_id = int(body.get("object_id"))
+        if raw_object_id is None:
+            raise ValueError
+        object_id = int(raw_object_id)
     except (TypeError, ValueError):
         return jsonify({"error": "object_id invalide"}), 400
     obj = screens.get_scene_object(slug, object_id)
@@ -52,7 +55,7 @@ def triggers_add(slug):
 
 
 @app.route("/game/<slug>/triggers/<int:object_id>", methods=["DELETE"])
-def triggers_delete(slug, object_id):
+def triggers_delete(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Retire TOUTES les règles de collision de CET objet — sans quête
     pour distinguer "cette règle-ci" d'une autre, un objet ne porte de
     toute façon en pratique qu'un seul déclencheur à la fois (posé par
@@ -65,7 +68,7 @@ def triggers_delete(slug, object_id):
 
 
 @app.route("/game/<slug>/triggers/<int:object_id>/dialogue", methods=["POST"])
-def trigger_dialogue_update(slug, object_id):
+def trigger_dialogue_update(slug: str, object_id: int) -> Response | tuple[Response, int]:
     """Édition EN LIGNE des répliques d'UN dialogue précis (voir
     screens/rendering/collision_rules.py::"dialogue".dialogue) — body
     {dialogue_id, lines}. 404 si `dialogue_id` ne correspond à aucun
@@ -88,8 +91,8 @@ def trigger_dialogue_update(slug, object_id):
 
 
 @app.route("/game/<slug>/triggers/<int:object_id>/append-action", methods=["POST"])
-def trigger_append_action(slug, object_id):
-    """"+ Ajouter une action" (voir screens/rendering/collision_rules.py::
+def trigger_append_action(slug: str, object_id: int) -> Response | tuple[Response, int]:
+    """ "+ Ajouter une action" (voir screens/rendering/collision_rules.py::
     set_then_action_in_rules, static/js/triggers/trigger-editor.js) —
     body {after_id, action} : `after_id` est le dialogue.id (feuille
     "dialogue") ou id (toute autre feuille) de N'IMPORTE QUEL bloc de la
@@ -112,7 +115,7 @@ def trigger_append_action(slug, object_id):
 
 
 @app.route("/game/<slug>/triggers/<int:object_id>/action/<leaf_id>", methods=["DELETE"])
-def trigger_remove_action(slug, object_id, leaf_id):
+def trigger_remove_action(slug: str, object_id: int, leaf_id: str) -> Response | tuple[Response, int]:
     """Retire UNE action précise (demande explicite : "chaque bloc
     étiquette + action doit être supprimable") — voir screens/rendering/
     collision_rules.py::remove_action_from_rules, même chemin d'écriture
@@ -123,7 +126,7 @@ def trigger_remove_action(slug, object_id, leaf_id):
 
 
 @app.route("/game/<slug>/triggers/<int:object_id>/action/<leaf_id>/move", methods=["POST"])
-def trigger_move_action(slug, object_id, leaf_id):
+def trigger_move_action(slug: str, object_id: int, leaf_id: str) -> Response | tuple[Response, int]:
     """Déplace une action précise d'un cran ("up"/"down", body
     {direction}) dans sa chaîne — demande explicite : "chaque bloc
     étiquette + action doit être déplaçable"."""

routes/uploads/__init__.py

@@ -1 +1,4 @@
-from . import upload_file, uploaded_file
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    upload_file,
+    uploaded_file,
+)

routes/uploads/upload_file.py

@@ -1,15 +1,15 @@
 import os
 import uuid
 
-from flask import request, jsonify, url_for
+from flask import jsonify, request, url_for
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/upload", methods=["POST"])
-def upload_file(slug):
+def upload_file(slug: str) -> Response | tuple[Response, int]:
     """Utilisé par les réglages Image/Vidéo pour héberger un fichier
     envoyé par l'utilisateur (au lieu d'une simple adresse URL) — le
     fichier est stocké dans le dossier du jeu, et l'adresse renvoyée est

routes/uploads/uploaded_file.py

@@ -1,12 +1,12 @@
 import os
 
 from flask import send_from_directory
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/uploads/<path:filename>")
-def uploaded_file(slug, filename):
+def uploaded_file(slug: str, filename: str) -> Response:
     return send_from_directory(os.path.join(db.game_dir(slug), "uploads"), filename)