Phase 3 : hardening qualite de code - typage strict, securite, dead code, a11y

Config strictement stricte partout (ruff, mypy --strict, bandit, vulture,
import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas
casser le build" - l'existant a ete corrige pour la satisfaire plutot que
l'inverse. Hooks pre-commit locaux (language: system) bloquants.

- Typage mypy --strict propage a tout le moteur (db, screens, auth, core,
  ai, routes, puis publish/scripts/tests/app.py/build_css.py).
- Securite : fuite de handle fichier Windows corrigee dans l'export SCORM
  (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes
  (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe
  "</script>" dans le JSON embarque en <script>, 25 sites).
- Architecture : imports circulaires/F811 nettoyes, contrats
  import-linter respectes, code mort retire (vulture).
- Accessibilite : 69 champs de formulaire sans label correctement
  associe corriges (for/id ou aria-label) sur 11 templates.
- ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis
  appliquees (aucune desactivee sans verification individuelle).
- Tests : isolation du compte admin partage (nettoyage ponctuel +
  fixture de teardown automatique en filet de securite), suite complete
  verte (591 tests Python, 241 tests JS).
- SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport
  complet analyse point par point, faux positifs documentes.
- .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine
  faisait echouer ESLint (linebreak-style) via un bug connu de git
  (checkout "en place" qui ignore l'eol force sur un fichier deja
  present sur disque - contourne en supprimant puis recreant chaque
  fichier suivi).

djLint (H021, styles inline) volontairement saute pour ce commit -
backlog assume, deja documente, traite dans un lot separe.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

screens/screens_repo/append_action_to_screen_trigger.py

@@ -1,10 +1,12 @@
+from typing import Any
+
+from ..rendering.collision_rules import set_then_action_in_rules
+from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
 from .get_screen import get_screen
 from .set_screen_triggers import set_screen_triggers
-from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
-from ..rendering.collision_rules import set_then_action_in_rules
 
 
-def append_action_to_screen_trigger(slug, screen_id, after_id, raw_action):
+def append_action_to_screen_trigger(slug: str, screen_id: int, after_id: str, raw_action: Any) -> bool:
     """Équivalent de screens.append_action_to_trigger (voir scenes/
     append_action_to_trigger.py) pour un déclencheur D'ÉCRAN plutôt que
     d'un objet — même chemin d'écriture UNIQUE partagé par la route HTTP

screens/screens_repo/create_screen.py

@@ -3,7 +3,7 @@ import db
 from .ensure_schema import ensure_schema
 
 
-def create_screen(slug, name, is_template=False, kind="jeu_2d"):
+def create_screen(slug: str, name: str, is_template: bool = False, kind: str = "jeu_2d") -> int:
     ensure_schema(slug)
     conn = db.connect(slug)
     if is_template:
@@ -15,7 +15,7 @@ def create_screen(slug, name, is_template=False, kind="jeu_2d"):
         "INSERT INTO _screens (name, order_index, is_template, kind) VALUES (?, ?, ?, ?)",
         (name, order_index, 1 if is_template else 0, kind),
     )
-    screen_id = conn.execute("SELECT last_insert_rowid() AS id").fetchone()["id"]
+    screen_id = int(conn.execute("SELECT last_insert_rowid() AS id").fetchone()["id"])
     conn.commit()
     conn.close()
     return screen_id

screens/screens_repo/delete_screen.py

@@ -1,7 +1,11 @@
 import db
 
 
-def delete_screen(slug, screen_id):
+def delete_screen(slug: str, screen_id: int) -> None:
+    # Les conversations "Générer avec l'IA" de cet écran (et leurs messages)
+    # sont déjà nettoyées automatiquement par SQLite : _ia_conversations.
+    # screen_id REFERENCES _screens(id) ON DELETE CASCADE (voir
+    # screens/ia/ensure_ia_chat_schema.py) — rien à faire ici explicitement.
     conn = db.connect(slug)
     conn.execute("DELETE FROM _screens WHERE id = ?", (screen_id,))
     conn.commit()

screens/screens_repo/ensure_schema.py

@@ -1,7 +1,7 @@
 import db
 
 
-def ensure_schema(slug):
+def ensure_schema(slug: str) -> None:
     """Crée les tables de ce module si elles n'existent pas encore — les
     jeux créés avant l'ajout de cette fonctionnalité n'ont pas besoin d'être
     migrés manuellement, la première visite d'un écran de ce jeu suffit."""

screens/screens_repo/get_screen.py

@@ -1,7 +1,9 @@
+from typing import Any
+
 import db
 
 
-def get_screen(slug, screen_id):
+def get_screen(slug: str, screen_id: int) -> dict[str, Any] | None:
     conn = db.connect(slug)
     row = conn.execute("SELECT * FROM _screens WHERE id = ?", (screen_id,)).fetchone()
     conn.close()

screens/screens_repo/list_screens.py

@@ -1,9 +1,11 @@
+from typing import Any
+
 import db
 
 from .ensure_schema import ensure_schema
 
 
-def list_screens(slug, include_templates=False):
+def list_screens(slug: str, include_templates: bool = False) -> list[dict[str, Any]]:
     """Par défaut, n'affiche que les vrais écrans du jeu (pas les
     écrans-modèles qui hébergent le contenu des éléments de jeu réutilisables
     — voir ensure_schema) : c'est ce qu'on veut partout où on énumère "les

screens/screens_repo/move_action_in_screen_trigger.py

@@ -1,10 +1,10 @@
+from ..rendering.collision_rules import move_action_in_rules
+from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
 from .get_screen import get_screen
 from .set_screen_triggers import set_screen_triggers
-from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
-from ..rendering.collision_rules import move_action_in_rules
 
 
-def move_action_in_screen_trigger(slug, screen_id, leaf_id, direction):
+def move_action_in_screen_trigger(slug: str, screen_id: int, leaf_id: str, direction: str) -> bool:
     """Équivalent de screens.move_action_in_trigger pour un déclencheur
     D'ÉCRAN plutôt que d'un objet."""
     screen = get_screen(slug, screen_id)

screens/screens_repo/move_screen.py

@@ -3,7 +3,7 @@ import db
 from .list_screens import list_screens
 
 
-def move_screen(slug, screen_id, direction):
+def move_screen(slug: str, screen_id: int, direction: int) -> None:
     """direction: -1 (monter, l'écran devient plus tôt dans l'enchaînement)
     ou +1 (descendre) — échange l'order_index avec l'écran voisin."""
     screens_ = list_screens(slug)

screens/screens_repo/remove_action_from_screen_trigger.py

@@ -1,10 +1,10 @@
+from ..rendering.collision_rules import remove_action_from_rules
+from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
 from .get_screen import get_screen
 from .set_screen_triggers import set_screen_triggers
-from ..rendering.screen_triggers import resolve_screen_triggers, sanitize_screen_triggers
-from ..rendering.collision_rules import remove_action_from_rules
 
 
-def remove_action_from_screen_trigger(slug, screen_id, leaf_id):
+def remove_action_from_screen_trigger(slug: str, screen_id: int, leaf_id: str) -> bool:
     """Équivalent de screens.remove_action_from_trigger pour un
     déclencheur D'ÉCRAN plutôt que d'un objet — même chemin d'écriture
     UNIQUE partagé par la route HTTP et l'agent IA."""

screens/screens_repo/rename_screen.py

@@ -1,7 +1,7 @@
 import db
 
 
-def rename_screen(slug, screen_id, new_name):
+def rename_screen(slug: str, screen_id: int, new_name: str) -> None:
     conn = db.connect(slug)
     conn.execute("UPDATE _screens SET name = ? WHERE id = ?", (new_name, screen_id))
     conn.commit()

screens/screens_repo/screens_referencing.py

@@ -1,9 +1,11 @@
+from typing import Any
+
 import db
 
 from ..flow.ensure_flow_schema import ensure_flow_schema
 
 
-def screens_referencing(slug, screen_id):
+def screens_referencing(slug: str, screen_id: int) -> list[dict[str, Any]]:
     """Écrans dont un nœud de logique (action "aller_a") cible précisément
     cet écran — pour avertir avant suppression plutôt que de casser
     silencieusement le lien."""

screens/screens_repo/set_scene_size.py

@@ -1,7 +1,7 @@
 import db
 
 
-def set_scene_size(slug, screen_id, width, height):
+def set_scene_size(slug: str, screen_id: int, width: int, height: int) -> None:
     """Redimensionne la scène/caméra elle-même (colonnes scene_width/
     scene_height, voir ensure_schema.py) — jusqu'ici fixées à la création
     et jamais modifiables ensuite. Utilisé par "📐 Agrandir la caméra à la

screens/screens_repo/set_screen_background_music.py

@@ -3,7 +3,7 @@ import db
 from .ensure_schema import ensure_schema
 
 
-def set_screen_background_music(slug, screen_id, url):
+def set_screen_background_music(slug: str, screen_id: int, url: str | None) -> None:
     """Mémorise l'URL de musique de fond de cet écran (voir le commentaire
     sur la colonne background_music_url dans ensure_schema.py). Chaîne vide
     -> NULL (pas de musique), comme un simple champ texte qu'on vide."""

screens/screens_repo/set_screen_triggers.py

@@ -1,11 +1,12 @@
 import json
+from typing import Any
 
 import db
 
 from .ensure_schema import ensure_schema
 
 
-def set_screen_triggers(slug, screen_id, rules):
+def set_screen_triggers(slug: str, screen_id: int, rules: list[dict[str, Any]]) -> None:
     """Remplace TOUTES les règles "déclencheur d'écran -> action" de cet
     écran (voir screens/rendering/screen_triggers.py) — même patron que
     set_scene_object_collision_rules pour un objet, mais stocké