Met en place les fondations du template Bulma décrit dans
regles/FORGE_ENGINE_TEMPLATE_BULMA.md : palette orange/ambre Forge
(--accent:#ff5f2e/--accent-2:#ffb020), typographie, rayons — appliqués
en recompilant Bulma lui-même plutôt qu'en le surchargeant après coup en
CSS, pour recolorer automatiquement ses composants internes (tags,
notifications, dropdowns...) sans avoir à les surcharger un par un.
- Bulma 0.9.4 vendoré en local (styles/bulma/, source Sass classique
$variable + @import) — PAS 1.0.2 (la version jusqu'ici en CDN) : 1.0.2
utilise le nouveau système de modules @use/@forward, que libsass (choisi
pour rester 100% Python, sans Node/npm) ne sait pas compiler (testé :
il ignore silencieusement le @use au lieu de le traiter). 0.9.4 est la
dernière version compatible avec libsass et couvre à l'identique tous
les composants utilisés ici (boutons, tableaux, onglets, modales,
formulaires, navbar).
- requirements.txt : +libsass (pip pur, aucun binaire/Node.js).
- styles/forge-theme.scss (nouveau, point d'entrée) : variables Sass
Bulma ($primary, $radius...) posées avant l'import, tokens Forge exposés
en :root (--forge-bg, --accent, --gradient, --status-*...) avec des
alias vers les noms de variables déjà utilisés par tout le CSS custom
existant (--bg/--panel/--border/--text/--danger...) — pas besoin de
renommer les ~600 lignes de règles déjà écrites, seules leurs VALEURS
changent.
- styles/forge-custom.scss : ancien static/style.css, structurellement
inchangé — seuls les hex/rgba en dur qui échappaient aux variables
(ancien accent bleu #5b8cff, danger #e2685f, couleurs de types de
nœuds du graphe de logique, fond du QR code recovery...) sont
remplacés par les tokens de la charte.
- build_css.py (nouveau) : compile styles/forge-theme.scss en
static/style.css via libsass — un seul fichier, un seul <link>
inchangé dans les templates, à relancer manuellement après toute
modification sous styles/.
- base.html/play.html : suppression du <link> CDN Bulma (auto-hébergé
désormais), ajout d'un favicon (absent jusqu'ici) et du vrai logo Forge
dans la navbar (assets/*.svg copiés dans static/branding/, seul dossier
réellement servi par Flask).
197 tests toujours verts (aucune assertion sur des valeurs CSS).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Première des deux grandes fonctionnalités demandées (authentification
d'abord, export HTML/CSS/JS autonome ensuite) :
- Inscription (nom, prénom, email UNIQUE, mot de passe) avec schéma
visuel du mot de passe (jauge + liste de critères qui passent au vert
en direct — auth/password_strength.py, mêmes règles vérifiées côté
serveur qu'affichées côté client).
- Double authentification (TOTP, compatible Google Authenticator/Authy)
OBLIGATOIRE dès l'inscription : QR code (SVG, sans dépendance Pillow)
à scanner puis code à confirmer avant que le compte soit utilisable —
voir auth/create_user.py (totp_confirmed) et routes/auth/register_2fa.py.
- Connexion en 2 temps (mot de passe puis code TOTP), déconnexion.
- Isolation par utilisateur : un compte "user" est limité à un SEUL
projet, dont le dossier est nommé d'après son adresse email (slugifiée)
et créé automatiquement dès la 2FA confirmée — aucune page de gestion
multi-jeux pour lui (redirigé directement vers son propre tableau de
bord). Le rôle "admin" reste illimité, comme le moteur l'a toujours été
(le TOUT PREMIER compte jamais créé sur une base de comptes vide devient
automatiquement admin — voir auth/is_first_user.py — pas de mot de
passe par défaut à faire circuler : s'inscrire en premier suffit).
Un compte "user" ne peut pas non plus supprimer son unique projet
(aucune façon d'en recréer un ensuite).
- Garde d'accès globale (core/auth_guard.py, un seul before_request) :
toute page exige une connexion, sans avoir touché individuellement aux
~80 routes déjà existantes du moteur.
tests/conftest.py isole complètement les tests de la vraie base de
comptes (FORGE_USERS_DB_PATH/FORGE_SECRET_KEY_PATH vers un dossier
temporaire propre à la session de tests) et authentifie automatiquement
la fixture `client` partagée en tant que compte admin de test — les 155
tests déjà existants continuent de passer SANS AUCUNE modification de
leur côté, exactement comme avant l'authentification. 10 nouveaux tests
dédiés (tests/test_auth.py) : inscription/mots de passe/2FA/connexion/
isolation par projet/blocage de suppression, vérifiés en conditions
réelles (vrai client de test Flask, vraie base SQLite, vrais codes TOTP
calculés avec pyotp). 165 tests au total, tous au vert.
Nouvelles dépendances : pyotp, qrcode (requirements.txt).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
