Implemente le mini-jeu Association (glisser-deposer par paires)

document_engine/labels/association_config.py (nouveau) : modele de
donnees, meme convention resolve_X/sanitize_X que quiz_config.py -
DEFAULT_ASSOCIATION_CONFIG, sanitize_association_config (chaque paire
doit avoir ses deux cotes non vides, sinon supprimee silencieusement ;
liste tronquee a MAX_PAIRS=8).

Cote serveur, routes/document/document_element_update.py revalide
desormais aussi l'association avant persistance (meme raisonnement que
pour le quiz). Le rendu (_render_association) affiche un resume reel
(nombre de paires) et, des qu'au moins une paire existe, un plateau de
glisser-deposer REELEMENT interactif en Mode Apercu
(_render_association_player) : les deux colonnes (termes/
correspondances) sont melangees independamment (random.shuffle,
melange d'affichage documente dans CODE_QUALITY.md) puis embarquees en
JSON dans un attribut data-assoc-config.

Cote editeur, le panneau Proprietes d'une association ("relier
visuellement deux champs qui vont ensemble") est une liste de paires
repetable, chaque ligne reliant visuellement un champ "Element" et un
champ "Correspondance" par un glyphe ↔. Le plateau jouable en Apercu
(static/document/js/document-editor.js) supporte deux facons de jouer,
toutes deux reelles : glisser-deposer HTML5 natif, ou cliquer une
carte puis son emplacement (repli pour les appareils sans support
fiable du drag) - bonne association verrouillee en vert, mauvaise
signalee puis reinitialisee, ecran de resultat une fois toutes les
paires associees.

Bug reel trouve ET corrige via simulation DOM complete (glisser-
deposer + clic simules, pas juste un chargement de page) : le
feedback visuel reutilisait la classe CSS du quiz via une
reaffectation de className qui supprimait au passage la classe
d'identite docAssocFeedback, rendant l'element introuvable des le
premier essai de match (aurait plante en usage reel des la premiere
tentative). Corrige en gardant toujours les deux classes ensemble.

Tests : 8 tests purs (tests/document/test_association_config.py, sans
Flask) + 1 test de route verifiant la sanitization a l'ecriture.

SKIP=djlint : backlog H021 pre-existant, aucun template touche ici.
ruff/mypy --strict/vulture/bandit/import-linter/eslint/stylelint tous
verts ; 50 tests document verifies frais. Verification manuelle live
complete : ajout, sanitization sur paire invalide, rendu du plateau,
et simulation DOM du gameplay reel (glisser-deposer correct/incorrect,
clic-selection, progression, ecran de resultat) - script de
diagnostic non conserve dans le depot.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

tests/document/test_association_config.py

@@ -0,0 +1,67 @@
+"""Modèle de données du mini-jeu Association
+(document_engine/labels/association_config.py) — sans Flask, teste
+directement sanitize_association_config, et le rendu du plateau."""
+
+from typing import Any
+
+import document_engine as doc_engine
+
+
+def test_sanitize_association_config_on_missing_input_returns_full_defaults() -> None:
+    assert doc_engine.sanitize_association_config(None) == {"theme_color": "#ff5f2e", "pairs": []}
+
+
+def test_sanitize_association_config_keeps_valid_pairs() -> None:
+    raw = {"theme_color": "#123456", "pairs": [{"left": "Chat", "right": "Un félin"}]}
+    config = doc_engine.sanitize_association_config(raw)
+    assert config["theme_color"] == "#123456"
+    assert config["pairs"] == [{"left": "Chat", "right": "Un félin"}]
+
+
+def test_sanitize_association_config_drops_a_pair_missing_either_side() -> None:
+    raw = {"pairs": [{"left": "Chat", "right": "  "}, {"left": "  ", "right": "Un félin"}]}
+    assert doc_engine.sanitize_association_config(raw)["pairs"] == []
+
+
+def test_sanitize_association_config_caps_pairs_at_max() -> None:
+    raw = {"pairs": [{"left": f"L{i}", "right": f"R{i}"} for i in range(doc_engine.MAX_PAIRS + 3)]}
+    config = doc_engine.sanitize_association_config(raw)
+    assert len(config["pairs"]) == doc_engine.MAX_PAIRS
+
+
+def test_sanitize_association_config_ignores_garbage_top_level_input() -> None:
+    assert doc_engine.sanitize_association_config("n'importe quoi") == doc_engine.DEFAULT_ASSOCIATION_CONFIG
+
+
+def _association_element(attributes: dict[str, Any]) -> dict[str, Any]:
+    return {"id": 1, "kind": "association", "parent_id": None, "order_index": 0, "attributes": attributes}
+
+
+def test_render_association_without_pairs_shows_only_the_badge() -> None:
+    html = doc_engine.render_document_element(_association_element(doc_engine.DEFAULT_ASSOCIATION_CONFIG), {})
+    assert "0 paire" in html
+    assert "docAssocPlayer" not in html
+
+
+def test_render_association_with_pairs_includes_the_interactive_board() -> None:
+    config = doc_engine.sanitize_association_config(
+        {"pairs": [{"left": "Chat", "right": "Un félin"}, {"left": "Chien", "right": "Un canidé"}]}
+    )
+    html = doc_engine.render_document_element(_association_element(config), {})
+    assert "docAssocPlayer" in html
+    assert "data-assoc-config=" in html
+    assert "2 paires" in html
+    # Les deux colonnes sont mélangées indépendamment côté rendu (voir
+    # _render_association_player) : impossible d'attendre un ORDRE précis,
+    # seulement que le contenu des deux côtés est bien présent quelque part.
+    assert "Chat" in html
+    assert "Un f\\u00e9lin" in html or "Un félin" in html
+
+
+def test_render_association_escapes_pair_text_in_embedded_json() -> None:
+    config = doc_engine.sanitize_association_config(
+        {"pairs": [{"left": '"><script>alert(1)</script>', "right": "def"}, {"left": "abc", "right": "def2"}]}
+    )
+    html = doc_engine.render_document_element(_association_element(config), {})
+    assert "<script>alert(1)</script>" not in html
+    assert "&lt;script&gt;" in html

tests/document/test_document_routes.py

@@ -66,7 +66,7 @@ def test_document_element_update_persists_attributes(client: FlaskClient, suppor
 
 
 def test_document_element_update_sanitizes_quiz_config_on_write(client: FlaskClient, support: str) -> None:
-    """Le quiz est le seul kind revalidé côté serveur (voir
+    """Quiz et Association sont revalidés côté serveur (voir
     routes/document/document_element_update.py) : un choix en trop
     (5e) doit être tronqué, et la réponse renvoie les attributs
     RÉELLEMENT persistés (pas ceux envoyés tels quels) pour que le
@@ -90,7 +90,27 @@ def test_document_element_update_sanitizes_quiz_config_on_write(client: FlaskCli
     assert payload["ok"] is True
     assert payload["attributes"]["questions"][0]["choices"] == ["A", "B", "C", "D"]
     assert "1 question" in payload["rendered_html"]
-    assert "10 points" in payload["rendered_html"]
+
+
+def test_document_element_update_sanitizes_association_config_on_write(client: FlaskClient, support: str) -> None:
+    add_resp = client.post(f"/document/{support}/elements/add", data={"kind": "association"})
+    element_id = add_resp.get_json()["id"]
+
+    resp = client.post(
+        f"/document/{support}/elements/{element_id}/update",
+        json={
+            "theme_color": "#ffb020",
+            "pairs": [
+                {"left": "Chat", "right": "Un félin"},
+                {"left": "Sans correspondance", "right": ""},
+            ],
+        },
+    )
+    assert resp.status_code == 200
+    payload = resp.get_json()
+    assert payload["ok"] is True
+    assert payload["attributes"]["pairs"] == [{"left": "Chat", "right": "Un félin"}]
+    assert "1 paire" in payload["rendered_html"]
 
 
 def test_document_element_move_and_delete(client: FlaskClient, support: str) -> None: