Phase 3 : hardening qualite de code - typage strict, securite, dead code, a11y

Config strictement stricte partout (ruff, mypy --strict, bandit, vulture,
import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas
casser le build" - l'existant a ete corrige pour la satisfaire plutot que
l'inverse. Hooks pre-commit locaux (language: system) bloquants.

- Typage mypy --strict propage a tout le moteur (db, screens, auth, core,
  ai, routes, puis publish/scripts/tests/app.py/build_css.py).
- Securite : fuite de handle fichier Windows corrigee dans l'export SCORM
  (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes
  (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe
  "</script>" dans le JSON embarque en <script>, 25 sites).
- Architecture : imports circulaires/F811 nettoyes, contrats
  import-linter respectes, code mort retire (vulture).
- Accessibilite : 69 champs de formulaire sans label correctement
  associe corriges (for/id ou aria-label) sur 11 templates.
- ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis
  appliquees (aucune desactivee sans verification individuelle).
- Tests : isolation du compte admin partage (nettoyage ponctuel +
  fixture de teardown automatique en filet de securite), suite complete
  verte (591 tests Python, 241 tests JS).
- SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport
  complet analyse point par point, faux positifs documentes.
- .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine
  faisait echouer ESLint (linebreak-style) via un bug connu de git
  (checkout "en place" qui ignore l'eol force sur un fichier deja
  present sur disque - contourne en supprimant puis recreant chaque
  fichier suivi).

djLint (H021, styles inline) volontairement saute pour ce commit -
backlog assume, deja documente, traite dans un lot separe.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/publish/__init__.py

@@ -1,5 +1,7 @@
-from . import export_scorm
-from . import xapi_settings
-from . import scoring_settings
-from . import scorm_version_settings
-from . import accessibility_declaration
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
+    accessibility_declaration,
+    export_scorm,
+    scoring_settings,
+    scorm_version_settings,
+    xapi_settings,
+)

routes/publish/accessibility_declaration.py

@@ -1,13 +1,12 @@
 from flask import Response
 
 import db
-from publish.accessibility_declaration import build_accessibility_declaration
-
 from core.flask_app import app
+from publish.accessibility_declaration import build_accessibility_declaration
 
 
 @app.route("/game/<slug>/accessibility-declaration", methods=["GET"])
-def accessibility_declaration_get(slug):
+def accessibility_declaration_get(slug: str) -> Response:
     """Télécharge la déclaration d'accessibilité de ce jeu (voir
     publish/accessibility_declaration.py) — même garde d'accès que
     /game/<slug>/export-scorm (core/auth_guard.py)."""
@@ -15,6 +14,7 @@ def accessibility_declaration_get(slug):
     text = build_accessibility_declaration(game["name"])
     download_name = f"{db.slugify(game['name'])}-declaration-accessibilite.txt"
     return Response(
-        text, mimetype="text/plain; charset=utf-8",
+        text,
+        mimetype="text/plain; charset=utf-8",
         headers={"Content-Disposition": f'attachment; filename="{download_name}"'},
     )

routes/publish/export_scorm.py

@@ -1,27 +1,37 @@
+import contextlib
+import io
 import os
 
-from flask import after_this_request, send_file
+from flask import send_file
+from werkzeug.wrappers import Response
 
 import db
-from publish.build_scorm_package import build_scorm_zip
-
 from core.flask_app import app
+from publish.build_scorm_package import build_scorm_zip
 
 
 @app.route("/game/<slug>/export-scorm", methods=["POST"])
-def export_scorm(slug):
+def export_scorm(slug: str) -> Response:
     """Construit et renvoie le paquet Web/SCORM autonome du jeu (voir
     publish/build_scorm_package.py) — même garde d'accès que
-    /game/<slug>/publish (core/auth_guard.py)."""
-    zip_path, game_name = build_scorm_zip(slug)
+    /game/<slug>/publish (core/auth_guard.py).
 
-    @after_this_request
-    def _cleanup(response):
-        try:
-            os.remove(zip_path)
-        except OSError:
-            pass
-        return response
+    Le zip est lu ENTIÈREMENT en mémoire puis le fichier temporaire est
+    supprimé AVANT de construire la réponse — send_file(chemin, ...) passe
+    par le mode "direct passthrough" de Werkzeug (nécessaire pour les
+    requêtes conditionnelles/par plage), qui ne referme le descripteur du
+    fichier qu'une fois la réponse WSGI entièrement consommée : un
+    os.remove() tenté juste après (ex. via after_this_request) échouait
+    silencieusement sous Windows (PermissionError avalé par le
+    try/except), laissant le zip temporaire — plusieurs Mo par export —
+    orphelin dans le dossier temp indéfiniment. En passant par BytesIO, le
+    fichier physique n'est plus jamais référencé par la réponse elle-même.
+    """
+    zip_path, game_name = build_scorm_zip(slug)
+    with open(zip_path, "rb") as f:
+        zip_bytes = f.read()
+    with contextlib.suppress(OSError):
+        os.remove(zip_path)
 
     download_name = f"{db.slugify(game_name)}-scorm.zip"
-    return send_file(zip_path, as_attachment=True, download_name=download_name, mimetype="application/zip")
+    return send_file(io.BytesIO(zip_bytes), as_attachment=True, download_name=download_name, mimetype="application/zip")

routes/publish/scoring_settings.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/scoring-settings", methods=["GET"])
-def scoring_settings_get(slug):
+def scoring_settings_get(slug: str) -> Response:
     """Seuil de réussite de ce jeu (voir db/games/get_success_threshold.py)
     — s'applique indépendamment du réglage xAPI (détermine aussi le
     lesson_status SCORM passed/failed, voir static/js/play/offline/
@@ -15,11 +15,14 @@ def scoring_settings_get(slug):
 
 
 @app.route("/game/<slug>/scoring-settings", methods=["POST"])
-def scoring_settings_set(slug):
+def scoring_settings_set(slug: str) -> Response | tuple[Response, int]:
     """Enregistre le seuil de réussite (0-100) — voir db/games/set_success_threshold.py."""
     body = request.get_json(silent=True) or {}
+    raw_percent = body.get("success_threshold_percent")
     try:
-        percent = int(body.get("success_threshold_percent"))
+        if raw_percent is None:
+            raise ValueError
+        percent = int(raw_percent)
     except (TypeError, ValueError):
         return jsonify({"ok": False, "error": "success_threshold_percent invalide"}), 400
     saved = db.set_success_threshold(slug, percent)

routes/publish/scorm_version_settings.py

@@ -1,19 +1,19 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-from db.games.get_scorm_version import VALID_SCORM_VERSIONS
-
 from core.flask_app import app
+from db.games.get_scorm_version import VALID_SCORM_VERSIONS
 
 
 @app.route("/game/<slug>/scorm-version", methods=["GET"])
-def scorm_version_get(slug):
+def scorm_version_get(slug: str) -> Response:
     """Version SCORM exportée pour ce jeu (voir db/games/get_scorm_version.py)."""
     return jsonify({"scorm_version": db.get_scorm_version(slug)})
 
 
 @app.route("/game/<slug>/scorm-version", methods=["POST"])
-def scorm_version_set(slug):
+def scorm_version_set(slug: str) -> Response | tuple[Response, int]:
     """Enregistre la version SCORM exportée — voir db/games/set_scorm_version.py."""
     body = request.get_json(silent=True) or {}
     version = body.get("scorm_version")

routes/publish/xapi_settings.py

@@ -1,26 +1,28 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import db
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/xapi-settings", methods=["GET"])
-def xapi_settings_get(slug):
+def xapi_settings_get(slug: str) -> Response:
     """Réglages xAPI de ce jeu (voir db/games/get_xapi_settings.py) —
     jamais le mot de passe en clair, juste `password_set` (voir la
     modale d'export, templates/base.html, qui pré-remplit endpoint/login
     mais laisse toujours le champ mot de passe vide)."""
     settings = db.get_xapi_settings(slug)
-    return jsonify({
-        "endpoint": settings["endpoint"],
-        "login": settings["login"],
-        "password_set": bool(settings["password"]),
-    })
+    return jsonify(
+        {
+            "endpoint": settings["endpoint"],
+            "login": settings["login"],
+            "password_set": bool(settings["password"]),
+        }
+    )
 
 
 @app.route("/game/<slug>/xapi-settings", methods=["POST"])
-def xapi_settings_set(slug):
+def xapi_settings_set(slug: str) -> Response:
     """Enregistre les réglages xAPI de ce jeu — voir
     db/games/set_xapi_settings.py : un mot de passe absent/vide dans le
     corps JSON laisse celui déjà enregistré inchangé plutôt que de