feat(admin): construire la file de modération et ses décisions

[Nascimento95]

Résultat et problème

L'équipe n'avait aucun moyen de relire un parcours soumis. Cette PR ajoute la file de modération (A-02) : la liste, la fiche d'un parcours et les décisions, côté API et côté admin.

PR en brouillon : deux critères d'acceptation sur quatre sont tenus ; les deux autres dépendent de données qui n'existent pas encore dans l'API (voir « Limites »).

Ce qui est fait :

• packages/shared : les 7 motifs de refus et leurs libellés français et anglais, les schémas de la file, de la fiche et des décisions, le code already_decided.
• apps/api : table moderation_actions ; GET /admin/moderation (filtres statut, ville, retard, révision ; recherche ; tri ; pages) ; GET /admin/routes/:id (fiche, auteur, historique, place dans la file) ; publish, request-changes, reject, unpublish, chacune écrite dans moderation_actions et admin_actions dans une seule transaction ; 409 already_decided avec la décision prise quand un autre membre a tranché.
• apps/admin : la file (ancienneté, retard en rouge avec icône et texte lu, pastille « À corriger », filtres, tri et recherche gardés dans l'adresse, états vide, chargement, erreur) ; la fiche en page dédiée (« Parcours 1 sur 14 », avertissements, parcours tel qu'il sera publié, plan et étapes, auteur, historique) ; la charte à cocher, « Publier » actif quand les 6 règles sont cochées, « Demander des modifications » et « Refuser » avec leurs fenêtres, toasts, passage au parcours suivant.
• packages/ui : champ de recherche, filtre à menu, case à cocher, avatar à initiale, confirmation non destructive.

Limites :

• Notification de l'auteur (critère 1) : non faite, il n'y a pas de table notifications. Chaque décision est journalisée, son message est gardé, mais rien n'est envoyé.
• Révisions (critère 3) : la table route_revisions et la soumission d'un parcours viennent de Gérer PUT /routes/:id/steps, submit, statuts et lien privé #48, pas commencé. L'affichage est prêt (ligne « Révision », filtre « Révisions », bloc « Changements depuis la version publiée »), mais l'API répond qu'aucun parcours n'est une révision : une seule expression à remplacer dans moderation/queue.ts et moderation/detail.ts. Le format de revisionChanges a été défini d'après la planche et pourra bouger avec Gérer PUT /routes/:id/steps, submit, statuts et lien privé #48.
• Créateur certifié : même principe, le sceau s'affiche quand isCertified est vrai, ce que l'API ne dit jamais tant que la certification n'existe pas (Migration profil : colonnes users (bio…), tables user_anecdotes, anecdote_questions, user_featured_routes, seuils de certification dans settings #126).
• Ancienneté en file : mesurée sur routes.updated_at, faute d'événement de soumission.
• Signalements reçus de l'auteur : 0 tant que route_reports n'existe pas (Migration : table route_reports et notifications.kind report_resolved #184) ; « Voir son compte » mène à une page introuvable tant que A-06 n'est pas fait (Admin : utilisateurs et rôles (A-06) #341).
• Aucun parcours ne peut encore être soumis par l'app : pour les tests, des parcours sont passés pending à la main dans la base locale.
• Écarts avec la planche de la fiche : plan schématique des étapes sans fond de carte (pas de Mapbox côté web) ; retour à la file et « Parcours 1 sur 14 » en haut de page et non dans la barre d'en-tête ; pas d'heure d'arrivée ni d'horaires (le départ conseillé n'est pas en base, Migration éditeur : départ conseillé, À prévoir, Comment venir, réservation et lien affilié, mode par trajet #176), pas de « Lien affilié », pas de langue d'écriture, pas de « Ouvrir l'aperçu dans l'app ».
• Les photos sont servies depuis leur adresse d'origine : img-src de la CSP de l'admin accepte toute image https, à resserrer quand elles seront dans le stockage de Widoo.
• La pagination est un décalage rendu opaque, pas un curseur par clé : la file est courte et triée par plusieurs colonnes.

Fixes #53
Écrans : A-02
Dépendance : empilée sur #363 (socle admin, #52).

Comment vérifier

Montage local de #363, puis passer des parcours en attente dans la base locale (update routes set status = 'pending' where …) et se connecter avec un compte moderator ou admin.

Testé par Marco le 2026-10-12, en local avec l'émulateur Auth, face aux planches A-02 du wiki :

• la file : 4 parcours, le plus ancien en tête, « 3 j » en rouge, « À corriger », « Première soumission », « 1 à 4 sur 4 » ;
• les filtres « Plus de 72 h », « Révisions » (liste vide) et « Ville », le tri par colonne et la recherche, avec l'adresse qui suit ;
• la fiche : avertissements, plan et étapes, « Lieu jamais vérifié », carte de l'auteur ;
• « Publier » grisé jusqu'aux 6 règles cochées ; « Demander des modifications » bloqué sans message ; toast et passage au parcours suivant ;
• le rendu de « Révision », du sceau certifié et du bloc des changements, sur des valeurs forcées en local puis retirées.

Vérifié en base locale après ces décisions : une ligne dans moderation_actions et une dans admin_actions par décision, avec l'état avant et après.

Non vérifié à l'écran : la fenêtre « Refuser » jusqu'à l'envoi, et un parcours rouvert après décision (couverts par les tests de l'API). Rien n'a été testé contre un environnement déployé.

• pnpm lint && pnpm typecheck && pnpm test verts en local
• Testé sur iOS / Android (préciser) — sans objet

Formatage mécanique : non

Risque

Niveau : 2 — migration additive (moderation_actions et son type énuméré), nouveaux endpoints authentifiés, règle de modération.

Taille : deux commits juste au-dessus de 400 lignes utiles. 82fcd73 (419) : les composants de la liste, son conteneur et ses textes. 0ad9a3f (415) : la colonne de décision, ses deux fenêtres, son hook et le conteneur de la fiche. Fichiers générés à part : migration 0016_add_moderation_actions.sql et son instantané.

Revue OWASP (Top 10) :

• Contrôle d'accès : toutes les routes passent par requireAdminSection('moderation') ; un éditeur reçoit 403 sur la file, la fiche et les décisions, sans rien écrire (testé).
• Intégrité et concurrence : une décision verrouille la ligne du parcours (select … for update), vérifie son statut, puis écrit le statut et les deux journaux dans la même transaction ; deux décisions simultanées donnent un 200 et un 409, une seule ligne dans chaque journal (testé avec deux requêtes en parallèle).
• Injection : requêtes paramétrées ; % et _ de la recherche sont échappés ; filtres et tri validés par un schéma strict, un filtre inconnu est refusé (400).
• Entrées non fiables : le message à l'auteur est du texte brut borné à 1 000 caractères, sans balise ni caractère de contrôle hors saut de ligne ; le motif est une valeur de la taxonomie ; l'admin affiche ces textes sans HTML.
• Journalisation : chaque décision garde l'auteur, l'action, l'état avant et après, le motif et le message.
• Configuration : img-src https: ajouté à la CSP de l'admin (voir Limites).

Nouvelle dépendance : aucune.

Retour arrière

Le revert de la PR suffit pour le code. La migration 0016 est additive : après un revert, la table moderation_actions et le type moderation_action restent en base sans effet ; un parcours déjà publié, refusé ou dépublié par une décision garde son statut.

<img width="736" height="852" alt="Capture d’écran 2569-10-13 à 13 22 12" src="https://github.com/user-attachments/assets/07800634-b1f8-4163-a883-9f1d3cd85360"

/>

[IlanAMG]

Revue du 13 octobre 2026 — session d'Ilan, relecture par un agent du code à la tête a1931e0. Rien n'a été lancé pour cette relecture ; Ilan fait sa recette visuelle en local à part.

Solide : rôle vérifié par l'API sur toutes les routes (éditeur refusé), décision prise sous verrou dans une transaction (409 sur un parcours déjà décidé), entrées validées, migration additive, recherche de l'app limitée à published.

À corriger avant la sortie de brouillon

1. Textes qui annoncent une notification qui n'existe pas : apps/admin/src/messages/fr.ts, lignes 301, 303 et 309 (« L'auteur reçoit le motif et votre message… », « L'auteur le lit dans l'app. ») et le toast « Demande envoyée ». Rien n'est envoyé à l'auteur.
2. Migration : même piège que le socle (feat(admin): poser le socle, la connexion, les rôles et le journal #363). 0004_add_moderation_actions (when 1791798381842) est antérieure à 0003_add_direction_cache de main : à régénérer après le rebase, pas à renommer.
3. Un parcours « À corriger » passe en rouge « en retard » : moderation/queue.ts compte le retard sur les deux statuts, alors que le compteur de la navigation ne compte que pending (admin/counters.ts).
4. Message refusé sans explication s'il contient <, > ou une tabulation : le schéma le rejette et le toast dit seulement « La décision n'a pas pu être enregistrée. » (useModerationDecision.ts).
5. Compteur du menu : rafraîchi toutes les 60 s seulement, pas après une décision.

Écarts avec les planches A-02

• Après « Publier », l'écran saute au parcours suivant ; la planche montre un état « Publié à l'instant ».
• « Refuser » : liste déroulante au lieu des 7 motifs avec leur explication, sans compteur de caractères.
• À 1 024 px, la colonne Ville reste.

En attente d'une décision d'Ilan

• Notification à l'auteur : dans cette PR, ou sortie du ticket.
• Premium : la fiche affiche « Premium », mais publier n'écrit pas routes.access (à faire ici ou dans Appliquer les parcours Premium, le déblocage à l'unité et la limite anti-spam dans l'API #66).
• « Publier » sans confirmation, alors qu'aucun écran ne permet encore de dépublier.

Relevé aussi, mineur : l'ancienneté repart de zéro à chaque changement de updated_at (limite déjà annoncée) ; moderation/detail.ts sert aussi un brouillon ou un parcours privé à qui connaît son identifiant ; onDelete: 'cascade' efface l'historique de modération d'un parcours supprimé ; img-src https: dans la CSP de l'admin.

[Nascimento95]

Branche rebasée sur le socle mis à jour (#363, tête 03d6216), donc sur main : la migration de la modération est régénérée par db:generate et devient 0006_add_moderation_actions, après 0005_add_admin_actions ; les when du journal sont croissants. Aucun autre changement de code. pnpm lint && pnpm typecheck && pnpm test verts en local (431 tests API, dont la garde de toutes les routes /admin/*, 95 admin). Les autres points de la revue du 13 octobre restent à traiter.

[Nascimento95]

Quatre points de la revue du 13 octobre corrigés (0fb7169, 985f2af) :

• Faux retard : seul un parcours pending est en retard, dans la file, le filtre « Plus de 72 h », le compteur de la file et l'en-tête de la fiche ; test d'API ajouté.
• Textes : les fenêtres et le toast ne promettent plus d'envoi à l'auteur (« gardé dans l'historique ; l'auteur n'est pas encore averti automatiquement »).
• Message refusé : un validation_error affiche « texte brut uniquement, sans < ni >, ni tabulation, 1 000 caractères au plus », avec un indice sous le champ.
• Compteur du menu : relu à chaque changement de page, donc juste après une décision.

Vérification humaine : Marco a testé le 2026-10-14 en local (file à trois parcours, dont un « À corriger » de 4 jours non rouge, filtre « Plus de 72 h », message avec < refusé et expliqué, demande de modifications, refus, compteur du menu).

Restent : les écarts avec A-02 (état « Publié à l'instant », les 7 motifs au refus, colonne Ville à 1 024 px) et les trois décisions d'Ilan.

[Nascimento95]

Les trois écarts avec les planches A-02 relevés dans la revue du 13 octobre sont corrigés :

• Publié à l'instant : après « Publier », la fiche reste ; la colonne de décision affiche « Publié à l'instant », « par {prénom}, les 6 règles vérifiées », puis « Parcours suivant » et « Voir dans Lieux et parcours » ; le compteur du menu est relu aussitôt. La phrase « {prénom} est prévenue » de la planche n'est pas reprise : aucune notification n'existe encore.
• Refuser : les 7 motifs en deux colonnes avec leur explication, « Message à {prénom} », erreur « Écrivez un message à l'auteur. » dans le champ, sans compteur de caractères. Pour une révision, le texte dit que la version publiée reste en ligne (non testable : aucune révision n'existe encore). Composant RadioGroup ajouté à packages/ui.
• 1 024 px : sous 1 280 px la colonne Ville disparaît et la ville passe sous le titre (« Paris, première soumission »).

Vérification humaine : Marco a testé le 2026-10-14 en local, face aux planches A-02 (refus, publié, liste à 1 024 px) : publication et panneau « Publié à l'instant », refus avec motifs et message vide, colonne Ville selon la largeur. Lint, types et tests verts en local (95 tests admin, 37 UI).

Restent les trois décisions d'Ilan : notification à l'auteur, « Premium » à la publication, confirmation avant « Publier ».

[Nascimento95]

Branche remise à jour sur le socle rebasé sur main (#363, tête a850abb) : la migration de la modération est régénérée par db:generate en 0015_add_moderation_actions, après 0014_add_admin_actions ; when du journal croissants, base de test recréée de zéro.

Adaptations au rebase : le schéma, httpError (avec details pour already_decided) et le client API reprennent ceux de main ; moderation_actions.actor_id est classé dans le test d'export des données ; les tests des corps invalides attendent 422, la convention de main (D-071), au lieu de 400. Lint, types et tests verts en local.

[Nascimento95]

Branche remise à jour sur le socle rebasé (#363) : la migration de la modération est régénérée en 0016_add_moderation_actions, après 0015_add_admin_actions ; when du journal croissants. Un test du retard est rendu indépendant des autres fichiers de test (le compteur couvre toute la file : « au moins les nôtres »). Lint, types et tests verts en local.