Mot de passe temporaire à la création d'un membre, visible admin, changement forcé

- Nouveau membre créé avec email : un mot de passe temporaire aléatoire
  (~69 bits, sans caractères ambigus) est généré et haché ; il est retourné
  à l'admin et reste lisible en clair (users.temp_password) tant que le
  membre ne l'a pas changé
- Colonnes users.temp_password / must_change_password (migration
  ALTER TABLE IF NOT EXISTS, appliquée au démarrage par le bootstrap)
- POST /api/admin/members/:id/reset-access : régénère l'accès (création
  s'il n'existait pas, ou réinitialisation si le membre a perdu son mot
  de passe) ; login/me exposent mustChangePassword ; change-password
  efface systématiquement le mot de passe temporaire et lève le blocage
- Frontend : colonne « Accès » dans la liste des membres (mot de passe
  visible + copier + réinitialiser, ou « Défini », ou « Créer l'accès »),
  modal de confirmation après création/réinitialisation, écran de
  changement de mot de passe obligatoire avant tout accès au portail ou
  au back-office

Vérifié : cycle complet (création → mot de passe visible côté admin →
connexion → changement forcé → effacement automatique → réinitialisation
admin en cas de perte) via 21 tests e2e dédiés + parcours navigateur ;
34 tests existants toujours au vert.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Fkg15RCxNgUys4ru73He2o

server/src/routes/admin.js

@@ -11,6 +11,7 @@ import {
   idParam,
 } from '../schemas.js';
 import { imageUpload, saveImage, deleteImage } from '../uploads.js';
+import { ensureMemberAccess, AccessError } from '../memberAccess.js';
 
 export const adminRouter = Router();
 
@@ -19,8 +20,13 @@ adminRouter.use(requireAuth('admin'));
 const MEMBER_SQL = `
   SELECT m.id, m.nom, m.secteur, m.categorie_id, c.name AS categorie, m.dirigeant,
          m.adhesion, m.email, m.tel, m.site, m.presentation, m.valide,
-         m.logo_path, m.photo_path
-    FROM members m LEFT JOIN categories c ON c.id = m.categorie_id`;
+         m.logo_path, m.photo_path,
+         (u.id IS NOT NULL) AS has_login,
+         COALESCE(u.must_change_password, false) AS must_change_password,
+         CASE WHEN u.must_change_password THEN u.temp_password ELSE NULL END AS temp_password
+    FROM members m
+    LEFT JOIN categories c ON c.id = m.categorie_id
+    LEFT JOIN users u ON u.member_id = m.id`;
 
 const RENC_SQL = `
   SELECT r.id, r.titre, r.date_renc, r.heure, r.lieu, r.description, r.places,
@@ -73,7 +79,22 @@ adminRouter.post('/members', validate(adminMemberSchema), async (req, res, next)
       [d.nom, d.secteur, d.categorie_id ?? null, d.dirigeant, new Date().getFullYear(),
        d.email || null, d.tel, d.site, d.presentation, d.valide ?? true]
     );
-    res.status(201).json({ id: result.rows[0].id });
+    const id = result.rows[0].id;
+    // A login account (with a temporary password) is only created when an
+    // email is provided — it's the login identifier.
+    let tempPassword = null;
+    let accessError = null;
+    if (d.email) {
+      try {
+        tempPassword = await ensureMemberAccess(id, d.email);
+      } catch (err) {
+        if (!(err instanceof AccessError)) throw err;
+        // Member created, but the email already belongs to another login —
+        // surface it without failing the whole creation.
+        accessError = err.message;
+      }
+    }
+    res.status(201).json({ id, tempPassword, accessError });
   } catch (err) {
     next(err);
   }
@@ -109,6 +130,21 @@ adminRouter.post('/members/:id/toggle-valide', validate(idParam, 'params'), asyn
   }
 });
 
+// Creates the member's login if it doesn't have one yet, or resets its
+// password (e.g. the member lost it) — either way returns a fresh
+// temporary password that must be changed at next login.
+adminRouter.post('/members/:id/reset-access', validate(idParam, 'params'), async (req, res, next) => {
+  try {
+    const member = await query('SELECT email FROM members WHERE id = $1', [req.params.id]);
+    if (member.rowCount === 0) return res.status(404).json({ error: 'Membre introuvable' });
+    const tempPassword = await ensureMemberAccess(req.params.id, member.rows[0].email);
+    res.json({ tempPassword });
+  } catch (err) {
+    if (err instanceof AccessError) return res.status(err.status).json({ error: err.message });
+    next(err);
+  }
+});
+
 // ---------- Rencontres ----------
 adminRouter.get('/rencontres', async (_req, res, next) => {
   try {