Lot 5 : changement de magasin instantané et contrôle des droits

Grille
- Corrige le lot 4 : au changement de magasin, les chiffres et le tri
  affichés suivent tout de suite (nouvelle liste), la sélection est gardée.
- Lignes toujours chargées « Nos 2 magasins » ; changement de magasin sans
  aller-retour serveur (URL mise à jour par l'historique du navigateur).
- Complément de l'API FF par magasin servi à part (/api/grid/rows/store-patch),
  appliqué à son arrivée, calcul identique à l'ancien (lib/store-patch.ts).
- La recherche ne reconstruit plus toutes les lignes à chaque frappe ; la
  sélection n'est remise à zéro qu'au changement de fournisseur.

Sécurité
- lib/authz.ts : session relue en base (cache 1 min), rôle de la base
  prioritaire ; variantes pour actions, routes et pages.
- Paramètres réservés aux administrateurs ; session vérifiée dans les actions
  Grille, Commandes, Historique et les routes ; diagnostics réservés admin.
- Mots de passe et clés d'IA plus envoyés au navigateur ; champ vide = mot de
  passe conservé ; plus de mot de passe dans le localStorage ; l'enregistrement
  de la base n'efface plus les clés d'IA.
- admin/admin créé seulement si aucun utilisateur ; fichier de secours utilisé
  uniquement si la base est injoignable ; data/ ignoré par git.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AcA129WzGTH6zxPHFBGWmn

src/app/(dashboard)/admin/synchronisation/page.tsx

@@ -1,4 +1,6 @@
 import type { Metadata } from "next";
+import { redirect } from "next/navigation";
+import { verifierAdmin } from "@/lib/authz";
 import { SynchronisationClient } from "./client";
 
 export const metadata: Metadata = { title: "Synchronisation" };
@@ -6,9 +8,10 @@ export const metadata: Metadata = { title: "Synchronisation" };
 /**
  * Paramétrage de la synchronisation nocturne des fournisseurs.
  *
- * L'accès admin est déjà imposé par le middleware (préfixe /admin) ; les routes
- * /api/admin/sync revérifient le rôle côté serveur.
+ * L'accès admin est déjà imposé par le middleware (préfixe /admin), sur le rôle
+ * du jeton ; la page le revérifie en base, comme les routes /api/admin/sync.
  */
-export default function SynchronisationPage() {
+export default async function SynchronisationPage() {
+    if (!(await verifierAdmin()).ok) redirect("/dashboard");
     return <SynchronisationClient />;
 }

src/app/(dashboard)/settings/client.tsx

@@ -30,7 +30,7 @@ import { useDbSettingsStore } from "@/features/settings/store/use-db-settings-st
 import {
     testDatabaseConnection,
     saveDatabaseSettings,
-    getSavedDatabaseConfig,
+    getParametresAffichables,
     saveQlikSettings,
     testQlikConnection,
     saveFfApiSettings,
@@ -45,12 +45,13 @@ import { ServerLogs } from "@/features/settings/components/server-logs";
 /**
  * Configuration enregistrée, lue UNE fois pour toute la page : trois sections
  * (connexion, API FF, Qlik) la demandaient chacune au montage, et les actions
- * serveur s'exécutent les unes après les autres.
+ * serveur s'exécutent les unes après les autres. Elle ne contient aucun mot de
+ * passe : seulement l'indication qu'il y en a un d'enregistré.
  */
-let savedConfigPromise: ReturnType<typeof getSavedDatabaseConfig> | null = null;
-function loadSavedConfig(force = false): ReturnType<typeof getSavedDatabaseConfig> {
+let savedConfigPromise: ReturnType<typeof getParametresAffichables> | null = null;
+function loadSavedConfig(force = false): ReturnType<typeof getParametresAffichables> {
     if (force || !savedConfigPromise) {
-        savedConfigPromise = getSavedDatabaseConfig().catch((e) => {
+        savedConfigPromise = getParametresAffichables().catch((e) => {
             savedConfigPromise = null;
             throw e;
         });
@@ -142,6 +143,13 @@ function ResultatTest({ test }: { test: EtatTest }) {
     return null;
 }
 
+/** Texte indicatif d'un champ mot de passe, selon qu'un mot de passe est déjà enregistré. */
+function placeholderMotDePasse(enregistre: boolean): string {
+    return enregistre ? "•••••• (inchangé)" : "••••••••";
+}
+
+const AIDE_MOT_DE_PASSE_ENREGISTRE = "Laissez vide pour conserver le mot de passe enregistré.";
+
 // ── PostgreSQL ───────────────────────────────────────────────────────────────
 
 function SectionPostgres({ recharger }: { recharger: () => Promise<void> }) {
@@ -152,9 +160,12 @@ function SectionPostgres({ recharger }: { recharger: () => Promise<void> }) {
         user, setUser,
         password, setPassword,
         ssl, setSsl,
-        getDatabaseUrl,
+        motDePasseEnregistre, setMotDePasseEnregistre,
     } = useDbSettingsStore();
 
+    // Mot de passe vide : le serveur reprend celui qui est enregistré.
+    const champs = () => ({ host, port, database, user, password: password || undefined, ssl });
+
     const [test, setTest] = useState<EtatTest>({ etat: "idle" });
     const [enregistrement, setEnregistrement] = useState(false);
     const [rechargement, setRechargement] = useState(false);
@@ -162,7 +173,7 @@ function SectionPostgres({ recharger }: { recharger: () => Promise<void> }) {
     const tester = async () => {
         setTest({ etat: "en-cours" });
         try {
-            const res = await testDatabaseConnection(getDatabaseUrl());
+            const res = await testDatabaseConnection(champs());
             setTest(res.success ? { etat: "ok" } : { etat: "erreur", message: res.error || "Erreur de connexion inconnue." });
         } catch (e) {
             setTest({ etat: "erreur", message: messageErreur(e) });
@@ -172,9 +183,14 @@ function SectionPostgres({ recharger }: { recharger: () => Promise<void> }) {
     const enregistrer = async () => {
         setEnregistrement(true);
         try {
-            const res = await saveDatabaseSettings(getDatabaseUrl());
-            if (res.success) toast.succes("Connexion à la base PostgreSQL enregistrée.");
-            else toast.erreur(`Enregistrement impossible : ${res.error ?? "erreur inconnue"}`);
+            const res = await saveDatabaseSettings(champs());
+            if (res.success) {
+                toast.succes("Connexion à la base PostgreSQL enregistrée.");
+                if (password) {
+                    setPassword("");
+                    setMotDePasseEnregistre(true);
+                }
+            } else toast.erreur(`Enregistrement impossible : ${res.error ?? "erreur inconnue"}`);
         } catch (e) {
             toast.erreur(`Enregistrement impossible : ${messageErreur(e)}`);
         } finally {
@@ -223,8 +239,8 @@ function SectionPostgres({ recharger }: { recharger: () => Promise<void> }) {
                         <Input id="pg-utilisateur" className="w-full font-mono" placeholder="postgres" value={user}
                             onChange={(e) => setUser(e.target.value)} autoComplete="off" />
                     </Champ>
-                    <Champ id="pg-mdp" label="Mot de passe">
-                        <Input id="pg-mdp" type="password" className="w-full font-mono" placeholder="••••••••"
+                    <Champ id="pg-mdp" label="Mot de passe" aide={motDePasseEnregistre ? AIDE_MOT_DE_PASSE_ENREGISTRE : undefined}>
+                        <Input id="pg-mdp" type="password" className="w-full font-mono" placeholder={placeholderMotDePasse(motDePasseEnregistre)}
                             value={password || ""} onChange={(e) => setPassword(e.target.value)} autoComplete="new-password" />
                     </Champ>
                 </div>
@@ -283,8 +299,8 @@ function SectionFfApi() {
     useEffect(() => {
         loadSavedConfig()
             .then((cfg) => {
-                setSavedUrl(cfg?.ffApiBaseUrl ?? null);
-                if (cfg?.ffApiBaseUrl) setUrl(cfg.ffApiBaseUrl);
+                setSavedUrl(cfg.ffApiBaseUrl || null);
+                if (cfg.ffApiBaseUrl) setUrl(cfg.ffApiBaseUrl);
             })
             .catch(() => { /* réglage optionnel ; l'échec de lecture est signalé par la page */ });
     }, []);
@@ -418,7 +434,9 @@ function SectionFfApi() {
 function SectionQlik() {
     const [host, setHost] = useState("");
     const [user, setUser] = useState("");
+    // Toujours vide au chargement : le mot de passe enregistré ne quitte pas le serveur.
     const [password, setPassword] = useState("");
+    const [motDePasseEnregistre, setMotDePasseEnregistre] = useState(false);
     const [showPwd, setShowPwd] = useState(false);
     const [saving, setSaving] = useState(false);
     const [test, setTest] = useState<EtatTest>({ etat: "idle" });
@@ -426,10 +444,9 @@ function SectionQlik() {
     useEffect(() => {
         loadSavedConfig()
             .then((c) => {
-                if (!c) return;
-                setHost(c.qlikHost ?? "");
-                setUser(c.qlikUser ?? "");
-                setPassword(c.qlikPassword ?? "");
+                setHost(c.qlik.host);
+                setUser(c.qlik.user);
+                setMotDePasseEnregistre(c.qlik.motDePasseEnregistre);
             })
             .catch(() => { /* l'échec de lecture est signalé par la page */ });
     }, []);
@@ -437,9 +454,14 @@ function SectionQlik() {
     const handleSave = async () => {
         setSaving(true);
         try {
-            const res = await saveQlikSettings(host.trim(), user.trim(), password);
-            if (res.success) toast.succes("Identifiants Qlik enregistrés.");
-            else toast.erreur(`Enregistrement impossible : ${res.error || "erreur inconnue"}`);
+            const res = await saveQlikSettings(host.trim(), user.trim(), password || undefined);
+            if (res.success) {
+                toast.succes("Identifiants Qlik enregistrés.");
+                if (password) {
+                    setPassword("");
+                    setMotDePasseEnregistre(true);
+                }
+            } else toast.erreur(`Enregistrement impossible : ${res.error || "erreur inconnue"}`);
         } catch (e) {
             toast.erreur(`Enregistrement impossible : ${messageErreur(e)}`);
         } finally {
@@ -450,14 +472,15 @@ function SectionQlik() {
     const handleTest = async () => {
         setTest({ etat: "en-cours" });
         try {
-            const res = await testQlikConnection(host.trim(), user.trim(), password);
+            const res = await testQlikConnection(host.trim(), user.trim(), password || undefined);
             setTest(res.success ? { etat: "ok" } : { etat: "erreur", message: res.error || "Échec de la connexion." });
         } catch (e) {
             setTest({ etat: "erreur", message: messageErreur(e) });
         }
     };
 
-    const testImpossible = !user || !password;
+    // Mot de passe vide accepté s'il y en a un d'enregistré : le serveur le reprend.
+    const testImpossible = !user || (!password && !motDePasseEnregistre);
 
     return (
         <Card>
@@ -488,9 +511,9 @@ function SectionQlik() {
                         <Input id="qlik-utilisateur" type="text" placeholder="FFSCH" value={user}
                             onChange={(e) => setUser(e.target.value)} className="w-full font-mono" autoComplete="off" />
                     </Champ>
-                    <Champ id="qlik-mdp" label="Mot de passe">
+                    <Champ id="qlik-mdp" label="Mot de passe" aide={motDePasseEnregistre ? AIDE_MOT_DE_PASSE_ENREGISTRE : undefined}>
                         <div className="relative">
-                            <Input id="qlik-mdp" type={showPwd ? "text" : "password"} placeholder="••••••••" value={password}
+                            <Input id="qlik-mdp" type={showPwd ? "text" : "password"} placeholder={placeholderMotDePasse(motDePasseEnregistre)} value={password}
                                 onChange={(e) => setPassword(e.target.value)} className="w-full pr-10 font-mono" autoComplete="new-password" />
                             <Button
                                 type="button"
@@ -542,24 +565,21 @@ export function ParametresClient({ onglet: ongletDemande }: { onglet?: string })
     const setUser = useDbSettingsStore((s) => s.setUser);
     const setPassword = useDbSettingsStore((s) => s.setPassword);
     const setSsl = useDbSettingsStore((s) => s.setSsl);
+    const setMotDePasseEnregistre = useDbSettingsStore((s) => s.setMotDePasseEnregistre);
 
     const reloadFromServer = useCallback(async (force = false) => {
-        const config = await loadSavedConfig(force);
-        if (config?.url) {
-            // Parser l'URL pour remettre dans le store
-            try {
-                const url = new URL(config.url.replace("postgres://", "http://")); // URL parser helper
-                setHost(url.hostname);
-                setPort(url.port || "5432");
-                setDatabase(url.pathname.slice(1).split("?")[0]);
-                setUser(url.username);
-                setPassword(decodeURIComponent(url.password));
-                setSsl(config.url.includes("sslmode=require"));
-            } catch (e) {
-                console.error("Failed to parse saved URL", e);
-            }
+        const { db } = await loadSavedConfig(force);
+        // Le mot de passe n'est jamais renvoyé : champ vide = conserver celui enregistré.
+        setPassword("");
+        setMotDePasseEnregistre(db?.motDePasseEnregistre ?? false);
+        if (db) {
+            setHost(db.host);
+            setPort(db.port);
+            setDatabase(db.database);
+            setUser(db.user);
+            setSsl(db.ssl);
         }
-    }, [setDatabase, setHost, setPassword, setPort, setSsl, setUser]);
+    }, [setDatabase, setHost, setMotDePasseEnregistre, setPassword, setPort, setSsl, setUser]);
 
     useEffect(() => {
         // `isMounted` sert à éviter un écart d'hydratation (réglages PostgreSQL

src/app/(dashboard)/settings/page.tsx

@@ -1,4 +1,6 @@
 import type { Metadata } from "next";
+import { redirect } from "next/navigation";
+import { verifierAdmin } from "@/lib/authz";
 import { ParametresClient } from "./client";
 
 export const metadata: Metadata = { title: "Paramètres" };
@@ -11,6 +13,9 @@ export const metadata: Metadata = { title: "Paramètres" };
  * lien se partage et survive au rechargement, puis rend la page cliente.
  */
 export default async function SettingsPage(props: { searchParams: Promise<{ onglet?: string }> }) {
+    // Le middleware filtre déjà sur le rôle du jeton ; ici, rôle relu en base.
+    if (!(await verifierAdmin()).ok) redirect("/dashboard");
+
     const { onglet } = await props.searchParams;
     return <ParametresClient onglet={onglet} />;
 }

src/app/api/admin/grid-warmup/route.ts

@@ -1,5 +1,5 @@
 import { NextRequest, NextResponse } from "next/server";
-import { auth } from "@/lib/auth";
+import { adminOuReponse } from "@/lib/authz";
 import { pgGetFournisseurs } from "@/lib/pg-ff-client";
 import { getProductRows } from "@/features/grid/api/get-product-rows";
 import { listGridSuppliers } from "@/lib/grid-store";
@@ -45,15 +45,6 @@ function publicJob(j: WarmupJob | null) {
     return j;
 }
 
-async function requireAdmin(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    if ((session.user as { role?: string } | undefined)?.role !== "admin") {
-        return NextResponse.json({ error: "Forbidden" }, { status: 403 });
-    }
-    return null;
-}
-
 async function runWarmup(j: WarmupJob, staleHours: number): Promise<void> {
     try {
         const fournisseurs = await pgGetFournisseurs();
@@ -102,8 +93,8 @@ async function runWarmup(j: WarmupJob, staleHours: number): Promise<void> {
 
 /** GET /api/admin/grid-warmup — avancement du préchauffage. */
 export async function GET() {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
     return NextResponse.json({ success: true, ...publicJob(job) });
 }
 
@@ -112,8 +103,8 @@ export async function GET() {
  * Démarre le préchauffage en arrière-plan et répond immédiatement.
  */
 export async function POST(req: NextRequest) {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     if (job?.status === "running") {
         return NextResponse.json({ success: true, ...publicJob(job) });

src/app/api/admin/sync/fournisseurs/route.ts

@@ -1,22 +1,13 @@
 import { NextRequest, NextResponse } from "next/server";
 import { z } from "zod";
 import { asc, eq, inArray, sql } from "drizzle-orm";
-import { auth } from "@/lib/auth";
+import { adminOuReponse } from "@/lib/authz";
 import { db } from "@/db";
 import { syncFournisseurs } from "@/db/schema";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
 
-async function requireAdmin(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    if ((session.user as { role?: string } | undefined)?.role !== "admin") {
-        return NextResponse.json({ error: "Forbidden" }, { status: 403 });
-    }
-    return null;
-}
-
 /**
  * GET — la liste complète des fournisseurs paramétrés, avec l'état de leur
  * dernière synchronisation.
@@ -25,8 +16,8 @@ async function requireAdmin(): Promise<NextResponse | null> {
  * besoin de la vue d'ensemble pour décider qui cadencer.
  */
 export async function GET() {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     const rows = await db
         .select()
@@ -65,8 +56,8 @@ const patchSchema = z.object({
  * trompeur, alors même qu'il vient d'être rouvert volontairement.
  */
 export async function PATCH(req: NextRequest) {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     let body: unknown;
     try {

src/app/api/admin/sync/route.ts

@@ -1,6 +1,6 @@
 import { NextRequest, NextResponse } from "next/server";
 import { z } from "zod";
-import { auth } from "@/lib/auth";
+import { adminOuReponse } from "@/lib/authz";
 import { readSyncSettings, saveSyncSettings } from "@/features/admin/api/sync-settings";
 import {
     getSyncSchedulerState,
@@ -15,19 +15,10 @@ export const dynamic = "force-dynamic";
 // Un lancement manuel peut enchaîner plusieurs fournisseurs.
 export const maxDuration = 300;
 
-async function requireAdmin(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    if ((session.user as { role?: string } | undefined)?.role !== "admin") {
-        return NextResponse.json({ error: "Forbidden" }, { status: 403 });
-    }
-    return null;
-}
-
 /** GET — réglages, état courant, et prochaine ouverture de fenêtre. */
 export async function GET() {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     const settings = await readSyncSettings();
     const maintenant = new Date();
@@ -55,8 +46,8 @@ const settingsSchema = z.object({
 
 /** PATCH — met à jour les réglages. */
 export async function PATCH(req: NextRequest) {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     let body: unknown;
     try {
@@ -87,8 +78,8 @@ const actionSchema = z.object({
 
 /** POST — démarre un round manuellement, l'arrête, ou resynchronise la liste. */
 export async function POST(req: NextRequest) {
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     let body: unknown;
     try {

src/app/api/commandes-auto/route.ts

@@ -1,4 +1,5 @@
 import { NextRequest, NextResponse } from "next/server";
+import { sessionOuReponse } from "@/lib/authz";
 
 const FF_API_BASE = process.env.FF_API_BASE_URL ?? "https://api.ffnancy.fr";
 
@@ -9,6 +10,9 @@ const FF_API_BASE = process.env.FF_API_BASE_URL ?? "https://api.ffnancy.fr";
  * Transfère les query params site et codefou si présents.
  */
 export async function GET(req: NextRequest) {
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
     try {
         const { searchParams } = req.nextUrl;
         const params = new URLSearchParams();

src/app/api/diag/route.ts

@@ -1,6 +1,7 @@
 import { NextRequest, NextResponse } from "next/server";
 import { db } from "@/db";
 import { sql } from "drizzle-orm";
+import { adminOuReponse } from "@/lib/authz";
 
 const FF_API_BASE = process.env.FF_API_BASE_URL ?? "https://api.ffnancy.fr";
 
@@ -31,6 +32,9 @@ async function probe(url: string) {
 }
 
 export async function GET(req: NextRequest) {
+    const acces = await adminOuReponse();
+    if (acces instanceof Response) return acces;
+
     const { searchParams } = new URL(req.url);
 
     // Date range: 12 derniers mois
@@ -55,7 +59,7 @@ export async function GET(req: NextRequest) {
 
     if (!firstCodein) {
         try {
-            const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${codefou}&limit=1`, { cache: "no-store" });
+            const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${encodeURIComponent(codefou)}&limit=1`, { cache: "no-store" });
             const data = await res.json();
             const list = Array.isArray(data) ? data : (Object.values(data).find(v => Array.isArray(v)) as unknown[] ?? []);
             if (list.length > 0) firstCodein = (list[0] as Record<string, unknown>).codein as string ?? null;
@@ -80,13 +84,13 @@ export async function GET(req: NextRequest) {
         referentiel_forced,
     ] = await Promise.all([
         probe(`${FF_API_BASE}/api/fournisseurs?limit=2`),
-        probe(`${FF_API_BASE}/api/articles?codefou=${codefou}&limit=2`),
-        probe(`${FF_API_BASE}/api/mouvements/articles?codefou=${codefou}&dateDebut=${dateDebut}&dateFin=${dateFin}&limit=2`),
+        probe(`${FF_API_BASE}/api/articles?codefou=${encodeURIComponent(codefou)}&limit=2`),
+        probe(`${FF_API_BASE}/api/mouvements/articles?codefou=${encodeURIComponent(codefou)}&dateDebut=${dateDebut}&dateFin=${dateFin}&limit=2`),
         // Test mensuel avec no_id auto-résolu
         firstCodein
             ? (async () => {
                 try {
-                    const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${codefou}&limit=1`, { cache: "no-store" });
+                    const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${encodeURIComponent(codefou)}&limit=1`, { cache: "no-store" });
                     const data = await res.json();
                     const list = Array.isArray(data) ? data : (Object.values(data).find(v => Array.isArray(v)) as unknown[] ?? []);
                     const noid = list[0] ? (list[0] as Record<string, unknown>).no_id as string : null;
@@ -99,7 +103,7 @@ export async function GET(req: NextRequest) {
         firstCodein
             ? (async () => {
                 try {
-                    const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${codefou}&limit=5`, { cache: "no-store" });
+                    const res = await fetch(`${FF_API_BASE}/api/articles?codefou=${encodeURIComponent(codefou)}&limit=5`, { cache: "no-store" });
                     const data = await res.json();
                     const list = Array.isArray(data) ? data : (Object.values(data).find(v => Array.isArray(v)) as unknown[] ?? []);
                     const art = (list[4] ?? list[0]) as Record<string, unknown> | undefined;

src/app/api/diag/stock-fournisseur/route.ts

@@ -1,5 +1,6 @@
 import { NextResponse } from "next/server";
 import { pgDiagFournisseurDerniereEntree } from "@/lib/pg-ff-client";
+import { adminOuReponse } from "@/lib/authz";
 
 export const dynamic = "force-dynamic";
 
@@ -13,6 +14,9 @@ export const dynamic = "force-dynamic";
  * blanche `MVTART_FOU_CANDIDATES` si le nom diffère.
  */
 export async function GET() {
+    const acces = await adminOuReponse();
+    if (acces instanceof Response) return acces;
+
     try {
         return NextResponse.json(await pgDiagFournisseurDerniereEntree());
     } catch (e) {

src/app/api/export/excel/route.ts

@@ -1,6 +1,7 @@
 import { NextRequest, NextResponse } from "next/server";
 import ExcelJS from "exceljs";
 import { z } from "zod";
+import { sessionOuReponse } from "@/lib/authz";
 
 const ExportSchema = z.object({
     nomFournisseur: z.string(),
@@ -19,6 +20,9 @@ const ExportSchema = z.object({
 });
 
 export async function POST(req: NextRequest) {
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
     const body = await req.json();
     const parsed = ExportSchema.safeParse(body);
     if (!parsed.success) {

src/app/api/export/modified-gammes/route.ts

@@ -1,6 +1,7 @@
 import { NextRequest, NextResponse } from "next/server";
 import ExcelJS from "exceljs";
 import { z } from "zod";
+import { sessionOuReponse } from "@/lib/authz";
 
 const ExportModifiedGammesSchema = z.object({
     nomFournisseur: z.string(),
@@ -13,6 +14,9 @@ const ExportModifiedGammesSchema = z.object({
 });
 
 export async function POST(req: NextRequest) {
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
     const body = await req.json();
     const parsed = ExportModifiedGammesSchema.safeParse(body);
     if (!parsed.success) {

src/app/api/ff-status/route.ts

@@ -1,5 +1,6 @@
 import { NextResponse } from "next/server";
-import { testFfApiConnection } from "@/features/settings/actions";
+import { diagnostiquerApiFf } from "@/features/settings/ff-api-diagnostic";
+import { sessionOuReponse } from "@/lib/authz";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
@@ -13,7 +14,10 @@ export const dynamic = "force-dynamic";
  * détail, impossible à distinguer d'une simple erreur d'URL.
  */
 export async function GET() {
-    const res = await testFfApiConnection();
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
+    const res = await diagnostiquerApiFf();
     if (!res.success) {
         return NextResponse.json(
             { error: "API FF Nancy non disponible", url: res.url, detail: res.error },

src/app/api/grid/rows/route.ts

@@ -1,5 +1,6 @@
 import { NextRequest } from "next/server";
 import { getProductRows } from "@/features/grid/api/get-product-rows";
+import { sessionOuReponse } from "@/lib/authz";
 import type { GridFilters } from "@/types/grid";
 
 export const dynamic = "force-dynamic";
@@ -11,6 +12,9 @@ function writeNdjson(controller: ReadableStreamDefaultController<Uint8Array>, va
 }
 
 export async function GET(request: NextRequest) {
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
     const searchParams = request.nextUrl.searchParams;
     const codeFournisseur = searchParams.get("fournisseur");
 

src/app/api/grid/rows/store-patch/route.ts

@@ -0,0 +1,34 @@
+import { NextRequest } from "next/server";
+import { getStorePatch } from "@/features/grid/api/get-product-rows";
+import { MAGASINS } from "@/lib/magasins";
+import { sessionOuReponse } from "@/lib/authz";
+
+export const dynamic = "force-dynamic";
+
+/**
+ * GET /api/grid/rows/store-patch?fournisseur=…&magasin=…
+ *
+ * Complément de l'API FF pour un magasin (cf. `features/grid/lib/store-patch.ts`).
+ * La Grille charge toujours les lignes « tous magasins » et applique ce
+ * complément à son arrivée : le changement de magasin n'attend plus rien.
+ */
+export async function GET(request: NextRequest) {
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
+
+    const codeFournisseur = request.nextUrl.searchParams.get("fournisseur");
+    const magasin = request.nextUrl.searchParams.get("magasin") ?? "";
+    // Un code inconnu ferait de chaque article un candidat : autant d'appels
+    // inutiles à l'API FF. « Tous magasins » n'a pas de complément.
+    if (!codeFournisseur || !MAGASINS.some((m) => m.code === magasin)) {
+        return Response.json({ error: "Paramètres fournisseur et magasin requis." }, { status: 400 });
+    }
+
+    try {
+        const patch = await getStorePatch(codeFournisseur, magasin);
+        return Response.json(patch, { headers: { "Cache-Control": "no-store" } });
+    } catch (error) {
+        console.error(`[store-patch] ${codeFournisseur}/${magasin} KO:`, (error as Error).message?.slice(0, 200));
+        return Response.json({ error: "Complément indisponible." }, { status: 502 });
+    }
+}

src/app/api/logs/route.ts

@@ -11,24 +11,15 @@
  */
 
 import { NextRequest, NextResponse } from "next/server";
-import { auth } from "@/lib/auth";
+import { adminOuReponse } from "@/lib/authz";
 import { listCaptures, readCapture } from "@/lib/log-capture";
 
 export const runtime = "nodejs";
 export const dynamic = "force-dynamic";
 
-async function requireAdmin(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    if ((session.user as { role?: string } | undefined)?.role !== "admin") {
-        return NextResponse.json({ error: "Forbidden" }, { status: 403 });
-    }
-    return null;
-}
-
 export async function GET(req: NextRequest) {
-    const refus = await requireAdmin();
-    if (refus) return refus;
+    const refus = await adminOuReponse();
+    if (refus instanceof Response) return refus;
 
     const id = req.nextUrl.searchParams.get("id");
     if (!id) {

src/app/api/produits/opportunites/route.ts

@@ -1,5 +1,5 @@
 import { NextRequest, NextResponse } from "next/server";
-import { auth } from "@/lib/auth";
+import { sessionOuReponse } from "@/lib/authz";
 import { pgGetOpportunitesFamille } from "@/lib/pg-ff-client";
 import { buildLast12MonthsRange } from "@/lib/api-ff-client";
 
@@ -12,14 +12,10 @@ export const dynamic = "force-dynamic";
  * et performance locale (quantités par magasin). Chargé à la demande depuis la
  * fiche produit : la requête agrège `mvtart` sur 12 mois pour toute la famille,
  * on ne veut pas la payer au chargement de la page.
- *
- * Le middleware Next ne protège pas `/api/*` : contrôle de session explicite.
  */
 export async function GET(req: NextRequest) {
-    const session = await auth();
-    if (!session) {
-        return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    }
+    const acces = await sessionOuReponse();
+    if (acces instanceof Response) return acces;
 
     const raw = req.nextUrl.searchParams.get("nomNoId");
     const nomNoId = Number(raw);

src/app/api/produits/search/route.ts

@@ -1,5 +1,5 @@
 import { NextRequest, NextResponse } from "next/server";
-import { auth } from "@/lib/auth";
+import { sessionOuReponse } from "@/lib/authz";
 import { demarrerRecherche, etatRecherche } from "@/features/produits/api/search-produits";
 
 // Les réponses sont immédiates (le travail Qlik tourne en tâche de fond), mais on
@@ -21,23 +21,18 @@ export const dynamic = "force-dynamic";
  * d'erreur **HTML** — le client échouait alors sur « Unexpected token '<' … is
  * not valid JSON ». Même schéma que `POST /api/qlik/sync`.
  *
- * Le middleware Next ne protège pas `/api/*` : contrôle de session explicite.
+ * Contrôle de session explicite en plus du middleware : il répond ici en JSON,
+ * et relit le compte en base (cf. lib/authz).
  */
 
-async function requireSession(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    return null;
-}
-
 function lireTerme(req: NextRequest): string | null {
     const q = (req.nextUrl.searchParams.get("q") ?? "").trim();
     return q.length >= 3 ? q : null;
 }
 
 export async function POST(req: NextRequest) {
-    const denied = await requireSession();
-    if (denied) return denied;
+    const denied = await sessionOuReponse();
+    if (denied instanceof Response) return denied;
 
     const q = lireTerme(req);
     if (!q) return NextResponse.json({ error: "Saisissez au moins 3 caractères" }, { status: 400 });
@@ -54,8 +49,8 @@ export async function POST(req: NextRequest) {
 }
 
 export async function GET(req: NextRequest) {
-    const denied = await requireSession();
-    if (denied) return denied;
+    const denied = await sessionOuReponse();
+    if (denied instanceof Response) return denied;
 
     const q = lireTerme(req);
     if (!q) return NextResponse.json({ error: "Saisissez au moins 3 caractères" }, { status: 400 });

src/app/api/qlik/sync/route.ts

@@ -1,5 +1,5 @@
 import { NextRequest, NextResponse } from "next/server";
-import { auth } from "@/lib/auth";
+import { adminOuReponse, sessionOuReponse } from "@/lib/authz";
 import { fetchNetworkMetricsPlaywright } from "@/lib/qlik-playwright";
 import { upsertNetworkMetrics } from "@/lib/qlik-network-cache";
 import { pgGetArticlesByFournisseur } from "@/lib/pg-ff-client";
@@ -121,34 +121,6 @@ function idleJob(fournisseur: string, codeCentrale?: string) {
     };
 }
 
-/**
- * Vérifie l'auth admin. Renvoie une réponse 403/401 si refusée, sinon null.
- */
-async function requireAdmin(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) {
-        return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    }
-    if ((session.user as { role?: string } | undefined)?.role !== "admin") {
-        return NextResponse.json({ error: "Forbidden" }, { status: 403 });
-    }
-    return null;
-}
-
-/**
- * Vérifie qu'une session existe (sans exiger le rôle admin).
- *
- * Utilisé par le mode produit : le middleware Next ne couvre PAS les routes
- * `/api/*`, le contrôle doit donc être fait ici explicitement.
- */
-async function requireSession(): Promise<NextResponse | null> {
-    const session = await auth();
-    if (!session) {
-        return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
-    }
-    return null;
-}
-
 /**
  * Regex de validation d'un code centrale "raisonnable".
  *
@@ -337,8 +309,8 @@ export async function GET(req: NextRequest) {
 
     // Mode produit : ouvert à tout utilisateur connecté.
     if (codeCentrale) {
-        const denied = await requireSession();
-        if (denied) return denied;
+        const denied = await sessionOuReponse();
+        if (denied instanceof Response) return denied;
         const job = jobs.get(jobKeyForProduct(codeCentrale));
         if (!job) {
             return NextResponse.json({ success: true, ...idleJob("", codeCentrale) });
@@ -347,8 +319,8 @@ export async function GET(req: NextRequest) {
     }
 
     // Mode fournisseur : admin uniquement (inchangé).
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     if (!fournisseur) {
         return NextResponse.json({ error: "Param 'fournisseur' ou 'codeCentrale' requis" }, { status: 400 });
@@ -371,8 +343,8 @@ export async function POST(req: NextRequest) {
 
     // ─── Mode produit : 1 code centrale, ouvert à tout utilisateur connecté ───
     if (codeCentraleParam) {
-        const denied = await requireSession();
-        if (denied) return denied;
+        const denied = await sessionOuReponse();
+        if (denied instanceof Response) return denied;
 
         // Même validation que la sync fournisseur (trim, rejet des vides / "-" /
         // codes hors charset) pour ne jamais envoyer de saleté à l'Engine Qlik.
@@ -414,8 +386,8 @@ export async function POST(req: NextRequest) {
     }
 
     // ─── Mode fournisseur : admin uniquement (inchangé) ──────────────────────
-    const denied = await requireAdmin();
-    if (denied) return denied;
+    const denied = await adminOuReponse();
+    if (denied instanceof Response) return denied;
 
     const fournisseur = req.nextUrl.searchParams.get("fournisseur");
     if (!fournisseur) {

src/app/api/test-db/route.ts

@@ -2,8 +2,12 @@ import { NextResponse } from 'next/server';
 import { db } from '@/db';
 import { sql } from 'drizzle-orm';
 import { pgGetStockForCodeins } from '@/lib/pg-ff-client';
+import { adminOuReponse } from '@/lib/authz';
 
 export async function GET(request: Request) {
+    const acces = await adminOuReponse();
+    if (acces instanceof Response) return acces;
+
     try {
         const { searchParams } = new URL(request.url);
         const codein = searchParams.get('codein') || '334152';
@@ -24,7 +28,9 @@ export async function GET(request: Request) {
             stock: Object.fromEntries(map),
             fou: fouResult.rows,
         });
-    } catch (e: any) {
-        return NextResponse.json({ error: e.message, stack: e.stack }, { status: 500 });
+    } catch (e) {
+        // Pas de pile d'appels dans la réponse : elle reste dans les journaux du serveur.
+        console.error('[api/test-db]', e);
+        return NextResponse.json({ error: (e as Error).message }, { status: 500 });
     }
 }