From fb06bf0062ceb1d01d86e4e6ce1db74bf57cb1ee Mon Sep 17 00:00:00 2001
From: Johan LEROY <johan@beehelp.fr>
Date: Fri, 18 Sep 2026 12:23:50 +0200
Subject: [PATCH] =?UTF-8?q?chore(ci):=20isole=20l'audit=20de=20s=C3=A9curi?=
 =?UTF-8?q?t=C3=A9=20et=20le=20fait=20porter=20sur=20le=20verrou?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

L'audit backend était la dernière étape du job de vérification : un lint
ou un test en échec suffisait à le sauter, et `pip-audit` sans argument
auditait l'environnement courant, donc aussi les 28 paquets injectés par
son propre `--with`. Il audite maintenant l'export du verrou, dans un job
dédié, en symétrie avec le frontend.

Côté frontend, `npm audit` lit le verrou et n'a besoin ni de `npm ci` ni
du job `build`. Le workflow déclare enfin ses permissions, comme
backend.yml et ml.yml.
---
 .github/workflows/backend.yml  | 25 +++++++++++++++++++++++--
 .github/workflows/frontend.yml | 17 +++++++----------
 2 files changed, 30 insertions(+), 12 deletions(-)

diff --git a/.github/workflows/backend.yml b/.github/workflows/backend.yml
index dbe77f6..4fe2016 100644
--- a/.github/workflows/backend.yml
+++ b/.github/workflows/backend.yml
@@ -57,5 +57,26 @@ jobs:
       - name: Tests et couverture
         run: uv run pytest --cov-fail-under=85
 
-      - name: Audit de sécurité des dépendances
-        run: uv run --with pip-audit pip-audit
+  security-audit:
+    name: Audit des dépendances
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: apps/backend
+
+    steps:
+      - name: Récupère le dépôt
+        uses: actions/checkout@v4
+
+      - name: Installe uv
+        uses: astral-sh/setup-uv@v5
+        with:
+          enable-cache: true
+          cache-dependency-glob: apps/backend/uv.lock
+
+      # L'audit porte sur le verrou, pas sur l'environnement : sinon pip-audit auditerait
+      # aussi les paquets que son propre `--with` injecte, hors dépendances du projet.
+      - name: Audite les dépendances livrées
+        # Piège : sans `shell: bash`, un échec de `uv export` serait masqué par le pipe.
+        shell: bash
+        run: uv export --frozen --no-dev --no-emit-project --no-hashes | uvx pip-audit --requirement /dev/stdin --no-deps
diff --git a/.github/workflows/frontend.yml b/.github/workflows/frontend.yml
index 55db548..a5ae2e8 100644
--- a/.github/workflows/frontend.yml
+++ b/.github/workflows/frontend.yml
@@ -1,5 +1,4 @@
 name: Frontend
-# Pipeline à choix multiple
 
 on:
   push:
@@ -10,8 +9,9 @@ on:
     paths:
       - "apps/frontend/**"
       - ".github/workflows/frontend.yml"
-# Ordre de lancement des jobs
-# build -> test -> sonarqube -> deploy
+
+permissions:
+  contents: read
 
 jobs:
   build:
@@ -30,18 +30,15 @@ jobs:
         working-directory: apps/frontend
 
   security-audit:
-    needs: build
+    name: Audit des dépendances
     runs-on: ubuntu-latest
     steps:
       - uses: actions/checkout@v6
       - uses: actions/setup-node@v6
         with:
           node-version: 24
-          cache: npm
-          cache-dependency-path: apps/frontend/package-lock.json
-      - run: npm ci
-        working-directory: apps/frontend
-      - run: npm audit --audit-level=high
+      # Seuil high : une vulnérabilité moderate de devDependency ne doit pas bloquer une livraison.
+      - run: npm audit --audit-level=high --package-lock-only
         working-directory: apps/frontend
 
   test:
@@ -63,7 +60,7 @@ jobs:
         with:
           name: frontend-coverage
           path: apps/frontend/coverage/frontend/lcov.info
-        
+
   sonarqube:
     needs: [build, test]
     name: SonarQube