Depuis /profile :
- "Codes de récupération 2FA" : régénère les 10 codes (invalide les 10
précédents d'un coup, voir auth.generate_recovery_codes) et les affiche
une seule fois via le même modal qu'à l'inscription (session flash,
core/recovery_codes_flash.py) — mot de passe actuel requis.
- "Adresse email" : change l'adresse (mêmes règles qu'à l'inscription —
format valide, unicité — voir auth/email_validation.py, désormais
partagé avec create_user.py au lieu d'être dupliqué). Pour un compte
"user", le dossier de son unique projet porte le nom de son adresse
(project_slug = slugify(email)) : il est renommé pour suivre le
changement (db/games/move_game.py, même logique d'unicité par suffixe
que create_game()), sans quoi project_slug ne correspondrait plus à
aucun dossier réel. Un "admin" n'a pas de project_slug dédié : rien
n'est renommé pour ce rôle.
18 nouveaux tests (tests/test_profile.py) : mauvais mot de passe refusé
pour les deux actions, mauvais format/email déjà pris refusés, dossier
bien renommé et project_slug mis à jour, connexion possible avec la
nouvelle adresse, anciens codes de récupération bien invalidés après
régénération, modal jamais réaffiché deux fois.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
