Application complète SLUC Business Club (React + Express + PostgreSQL, Docker)

Implémente l'intégralité de la maquette « SLUC Business Club.dc.html » :
- Site public : accueil (héro administrable, carrousel membres, agenda avec
  inscription en ligne, rencontres passées, demande d'adhésion), annuaire
  avec recherche/filtres/fiche détaillée, page association
- Espace membre : connexion, édition de fiche avec aperçu direct, upload
  logo/photo, statut d'adhésion par saison, changement de mot de passe
- Espace admin : tableau de bord, membres (validation par saison),
  rencontres (CRUD + inscrits + impression + export Excel), inscriptions,
  catégories, contenu du site

Architecture : 3 conteneurs Docker Compose — PostgreSQL 16 (réseau interne,
rôle applicatif restreint), API Express (non-root, read-only fs), nginx
non privilégié (frontend React + reverse-proxy + CSP stricte).

Sécurité : requêtes 100 % paramétrées, bcrypt + JWT httpOnly SameSite=Strict,
vérification d'Origin (CSRF), validation zod, rate limiting, uploads vérifiés
par octets magiques avec noms aléatoires, aucun secret committé.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Fkg15RCxNgUys4ru73He2o

server/src/routes/auth.js

@@ -0,0 +1,71 @@
+import { Router } from 'express';
+import bcrypt from 'bcryptjs';
+import { query } from '../db.js';
+import { issueSession, clearSession, requireAuth } from '../middleware/auth.js';
+import { loginLimiter } from '../middleware/security.js';
+import { validate } from '../middleware/validate.js';
+import { loginSchema, changePasswordSchema } from '../schemas.js';
+
+export const authRouter = Router();
+
+const publicUser = (u) => ({ id: u.id, email: u.email, role: u.role, memberId: u.member_id });
+
+authRouter.post('/login', loginLimiter, validate(loginSchema), async (req, res, next) => {
+  try {
+    const { email, password } = req.data;
+    const result = await query(
+      'SELECT id, email, password_hash, role, member_id FROM users WHERE email = $1',
+      [email]
+    );
+    // Always run a bcrypt comparison to keep timing uniform
+    const user = result.rows[0];
+    const hash = user?.password_hash?.startsWith('$2') ? user.password_hash : '$2a$12$invalidinvalidinvalidinvalidinvalidinvalidinvalidinva';
+    const ok = await bcrypt.compare(password, hash);
+    if (!user || !ok || !user.password_hash.startsWith('$2')) {
+      return res.status(401).json({ error: 'Email ou mot de passe incorrect.' });
+    }
+    issueSession(res, { sub: user.id, role: user.role, memberId: user.member_id });
+    res.json({ user: publicUser(user) });
+  } catch (err) {
+    next(err);
+  }
+});
+
+authRouter.post('/logout', (_req, res) => {
+  clearSession(res);
+  res.json({ ok: true });
+});
+
+authRouter.get('/me', async (req, res, next) => {
+  try {
+    if (!req.user) return res.json({ user: null });
+    const result = await query(
+      'SELECT id, email, role, member_id FROM users WHERE id = $1',
+      [req.user.sub]
+    );
+    if (result.rowCount === 0) return res.json({ user: null });
+    res.json({ user: publicUser(result.rows[0]) });
+  } catch (err) {
+    next(err);
+  }
+});
+
+authRouter.post(
+  '/change-password',
+  requireAuth(),
+  validate(changePasswordSchema),
+  async (req, res, next) => {
+    try {
+      const { currentPassword, newPassword } = req.data;
+      const result = await query('SELECT password_hash FROM users WHERE id = $1', [req.user.sub]);
+      if (result.rowCount === 0) return res.status(401).json({ error: 'Session invalide' });
+      const ok = await bcrypt.compare(currentPassword, result.rows[0].password_hash);
+      if (!ok) return res.status(401).json({ error: 'Mot de passe actuel incorrect.' });
+      const hash = await bcrypt.hash(newPassword, 12);
+      await query('UPDATE users SET password_hash = $1 WHERE id = $2', [hash, req.user.sub]);
+      res.json({ ok: true });
+    } catch (err) {
+      next(err);
+    }
+  }
+);