Lot 5 : changement de magasin instantané et contrôle des droits

Grille
- Corrige le lot 4 : au changement de magasin, les chiffres et le tri
  affichés suivent tout de suite (nouvelle liste), la sélection est gardée.
- Lignes toujours chargées « Nos 2 magasins » ; changement de magasin sans
  aller-retour serveur (URL mise à jour par l'historique du navigateur).
- Complément de l'API FF par magasin servi à part (/api/grid/rows/store-patch),
  appliqué à son arrivée, calcul identique à l'ancien (lib/store-patch.ts).
- La recherche ne reconstruit plus toutes les lignes à chaque frappe ; la
  sélection n'est remise à zéro qu'au changement de fournisseur.

Sécurité
- lib/authz.ts : session relue en base (cache 1 min), rôle de la base
  prioritaire ; variantes pour actions, routes et pages.
- Paramètres réservés aux administrateurs ; session vérifiée dans les actions
  Grille, Commandes, Historique et les routes ; diagnostics réservés admin.
- Mots de passe et clés d'IA plus envoyés au navigateur ; champ vide = mot de
  passe conservé ; plus de mot de passe dans le localStorage ; l'enregistrement
  de la base n'efface plus les clés d'IA.
- admin/admin créé seulement si aucun utilisateur ; fichier de secours utilisé
  uniquement si la base est injoignable ; data/ ignoré par git.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AcA129WzGTH6zxPHFBGWmn

src/features/settings/store/use-db-settings-store.ts

@@ -8,29 +8,33 @@ export interface DatabaseSettings {
     port: string;
     database: string;
     user: string;
+    /** Saisie en cours uniquement : jamais enregistré dans le navigateur. */
     password?: string;
     ssl: boolean;
 }
 
 interface DatabaseSettingsState extends DatabaseSettings {
+    /** Un mot de passe est enregistré sur le serveur (lu au chargement de la page, jamais mémorisé). */
+    motDePasseEnregistre: boolean;
     setHost: (host: string) => void;
     setPort: (port: string) => void;
     setDatabase: (database: string) => void;
     setUser: (user: string) => void;
     setPassword: (password: string) => void;
     setSsl: (ssl: boolean) => void;
-    getDatabaseUrl: () => string;
+    setMotDePasseEnregistre: (motDePasseEnregistre: boolean) => void;
 }
 
 export const useDbSettingsStore = create<DatabaseSettingsState>()(
     persist(
-        (set, get) => ({
+        (set) => ({
             host: "localhost",
             port: "5432",
             database: "collectflow",
             user: "postgres",
             password: "",
             ssl: false,
+            motDePasseEnregistre: false,
 
             setHost: (host) => set({ host }),
             setPort: (port) => set({ port }),
@@ -38,16 +42,19 @@ export const useDbSettingsStore = create<DatabaseSettingsState>()(
             setUser: (user) => set({ user }),
             setPassword: (password) => set({ password }),
             setSsl: (ssl) => set({ ssl }),
-
-            getDatabaseUrl: () => {
-                const { user, password, host, port, database, ssl } = get();
-                const auth = password ? `${user}:${password}` : user;
-                const url = `postgres://${auth}@${host}:${port}/${database}${ssl ? "?sslmode=require" : ""}`;
-                return url;
-            },
+            setMotDePasseEnregistre: (motDePasseEnregistre) => set({ motDePasseEnregistre }),
         }),
         {
             name: "collectflow-db-settings",
+            // Le mot de passe reste sur le serveur : seuls les autres champs sont mémorisés.
+            partialize: ({ host, port, database, user, ssl }) => ({ host, port, database, user, ssl }),
+            // Version 1 : les versions précédentes enregistraient le mot de passe en clair.
+            version: 1,
+            migrate: (persisted) => {
+                const reste = { ...(persisted as Partial<DatabaseSettings> | undefined) };
+                delete reste.password;
+                return reste as DatabaseSettingsState;
+            },
         }
     )
 );