Lot 5 : changement de magasin instantané et contrôle des droits

Grille
- Corrige le lot 4 : au changement de magasin, les chiffres et le tri
  affichés suivent tout de suite (nouvelle liste), la sélection est gardée.
- Lignes toujours chargées « Nos 2 magasins » ; changement de magasin sans
  aller-retour serveur (URL mise à jour par l'historique du navigateur).
- Complément de l'API FF par magasin servi à part (/api/grid/rows/store-patch),
  appliqué à son arrivée, calcul identique à l'ancien (lib/store-patch.ts).
- La recherche ne reconstruit plus toutes les lignes à chaque frappe ; la
  sélection n'est remise à zéro qu'au changement de fournisseur.

Sécurité
- lib/authz.ts : session relue en base (cache 1 min), rôle de la base
  prioritaire ; variantes pour actions, routes et pages.
- Paramètres réservés aux administrateurs ; session vérifiée dans les actions
  Grille, Commandes, Historique et les routes ; diagnostics réservés admin.
- Mots de passe et clés d'IA plus envoyés au navigateur ; champ vide = mot de
  passe conservé ; plus de mot de passe dans le localStorage ; l'enregistrement
  de la base n'efface plus les clés d'IA.
- admin/admin créé seulement si aucun utilisateur ; fichier de secours utilisé
  uniquement si la base est injoignable ; data/ ignoré par git.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AcA129WzGTH6zxPHFBGWmn

src/lib/auth.ts

@@ -24,7 +24,7 @@ export const { handlers, auth, signIn, signOut } = NextAuth({
                 try {
                     console.log(`[AUTH] Checking user "${credentials.username}"...`);
                     
-                    let user: any = null;
+                    let user: { id: number | string; username: string; passwordHash: string; role: string } | undefined;
 
                     // Try DB first
                     try {
@@ -33,12 +33,10 @@ export const { handlers, auth, signIn, signOut } = NextAuth({
                             .where(eq(users.username, credentials.username as string));
                         user = dbUser;
                         console.log(`[AUTH] DB check: User found: ${!!user}`);
-                    } catch (dbErr) {
+                    } catch {
+                        // Base injoignable uniquement : un compte absent de la base ne doit
+                        // pas pouvoir se connecter avec le fichier de secours (admin/admin).
                         console.warn("[AUTH] DB unreachable, falling back to JSON.");
-                    }
-
-                    // Fallback to JSON if DB failed or user not found
-                    if (!user) {
                         const fallbackUsers = getFallbackUsers();
                         user = fallbackUsers.find(u => u.username === credentials.username);
                         console.log(`[AUTH] JSON check: User found: ${!!user}`);