ci: alignement sur le standard qualite (Larastan, couverture, SonarQube) et deploiement SSH

- ci.yml: ajout analyse statique PHPStan/Larastan, couverture PHPUnit (clover+junit) et analyse SonarQube conditionnelle
- deploy.yml: deploiement continu par SSH (git reset + docker compose up --build + migrations + cache), conteneur cesizen-app
- phpstan.neon (niveau 5), grumphp.yml (hooks qualite locaux), sonar-project.properties, docker-compose.sonar.yml
- ajout larastan/larastan et phpro/grumphp en require-dev

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -1,89 +1,93 @@
-# ─────────────────────────────────────────────────────────────
-#  Intégration Continue (CI) — CESIZen / Application Web Laravel
-#  Déclenché à chaque push et chaque pull request.
-#  Objectif : garantir la qualité et la sécurité du code AVANT
-#  tout déploiement (tests, style, audit de vulnérabilités).
-# ─────────────────────────────────────────────────────────────
-name: CI - Web (Laravel)
+name: CI - Intégration continue
+
+# Intégration continue : à chaque push et chaque pull request, on vérifie
+# automatiquement la qualité du code (Laravel Pint, analyse statique Larastan)
+# puis on exécute les tests automatisés (PHPUnit) avec couverture. Un
+# déploiement (voir deploy.yml) ne doit se faire que si cette étape est au vert.
+#
+# NB : l'application Laravel vit dans le sous-dossier WEB/ (monorepo).
 
 on:
   push:
-    branches: [main, develop]
+    branches: [main]
     paths:
       - 'WEB/**'
       - '.gitea/workflows/ci.yml'
   pull_request:
-    branches: [main, develop]
+    branches: [main]
     paths:
       - 'WEB/**'
 
-# Empêche deux exécutions concurrentes sur la même branche
-concurrency:
-  group: ci-${{ github.ref }}
-  cancel-in-progress: true
-
 jobs:
   quality-and-tests:
     runs-on: ubuntu-latest
+
+    # Toutes les commandes s'exécutent dans le dossier de l'app Laravel.
     defaults:
       run:
         working-directory: WEB
 
-    steps:
-      # 1. Récupération du code source
-      - name: Checkout du dépôt
-        uses: actions/checkout@v4
+    # Jetons SonarQube, définis dans les secrets du dépôt Gitea.
+    # Exposés au niveau du job pour pouvoir conditionner l'étape d'analyse
+    # (elle ne s'exécute que si un jeton est configuré).
+    env:
+      SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
+      SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}
 
-      # 2. Installation de l'environnement PHP
-      - name: Installation de PHP 8.3
+    steps:
+      - name: Récupération du code
+        uses: actions/checkout@v4
+        with:
+          # Historique complet : SonarQube en a besoin pour dater le code
+          # et calculer correctement le "nouveau code".
+          fetch-depth: 0
+
+      - name: Installation de PHP 8.2
         uses: shivammathur/setup-php@v2
         with:
-          php-version: '8.3'
-          extensions: pdo_mysql, mbstring, exif, pcntl, bcmath, gd, intl, zip
-          coverage: none
-          tools: composer:v2
+          php-version: '8.2'
+          extensions: pdo_mysql, pdo_sqlite, sqlite3, mbstring, exif, pcntl, bcmath, gd, intl, zip
+          # pcov : moteur de couverture rapide, requis pour le rapport SonarQube.
+          coverage: pcov
 
-      # 3. Cache des dépendances Composer (accélère les builds)
-      - name: Cache Composer
+      - name: Cache des dépendances Composer
         uses: actions/cache@v4
         with:
           path: WEB/vendor
           key: composer-${{ hashFiles('WEB/composer.lock') }}
-          restore-keys: composer-
 
-      # 4. Installation des dépendances PHP
-      - name: Installation des dépendances Composer
-        run: composer install --no-interaction --prefer-dist --no-progress
+      - name: Installation des dépendances
+        run: composer install --no-interaction --prefer-dist --optimize-autoloader
 
-      # 5. Préparation de l'environnement de test
-      - name: Préparation de l'environnement
+      - name: Préparation de l'environnement de test
         run: |
           cp .env.example .env
           php artisan key:generate
 
-      # 6. Vérification du style de code (bonne pratique — grille : qualité du code)
-      - name: Analyse du style (Laravel Pint)
-        run: ./vendor/bin/pint --test
+      - name: Vérification du style de code (Laravel Pint)
+        run: vendor/bin/pint --test
 
-      # 7. Audit de sécurité des dépendances PHP (CVE connues).
-      #    Étape informative : elle signale les vulnérabilités connues sans
-      #    bloquer la livraison (certaines dépendent d'un correctif amont).
-      - name: Audit de sécurité Composer
-        run: composer audit --no-interaction
-        continue-on-error: true
+      - name: Analyse statique (Larastan / PHPStan)
+        run: vendor/bin/phpstan analyse --configuration=phpstan.neon --memory-limit=512M --no-progress
 
-      # 8. Installation et audit des dépendances front (Vite/npm)
-      - name: Installation des dépendances Node
-        run: npm ci
+      - name: Exécution des tests + couverture (PHPUnit)
+        # phpunit.xml définit déjà l'environnement de test (sqlite en mémoire).
+        # On génère le rapport de couverture (clover) et le rapport de tests
+        # (junit) consommés ensuite par SonarQube.
+        run: |
+          mkdir -p coverage
+          vendor/bin/phpunit \
+            --coverage-clover=coverage/clover.xml \
+            --log-junit=coverage/junit.xml
 
-      - name: Audit de sécurité npm
-        run: npm audit --audit-level=high
-        continue-on-error: true # informatif : ne bloque pas le build
-
-      # 9. Build des assets front (vérifie que la compilation passe)
-      - name: Build des assets (Vite)
-        run: npm run build
-
-      # 10. Exécution de la suite de tests automatisés (PHPUnit)
-      - name: Tests automatisés
-        run: php artisan test --env=testing
+      - name: Analyse SonarQube
+        # Ne s'exécute que si le secret SONAR_TOKEN est configuré dans Gitea,
+        # sinon l'étape est ignorée (la CI reste verte tant que le serveur
+        # SonarQube n'est pas branché).
+        if: ${{ env.SONAR_TOKEN != '' }}
+        uses: sonarsource/sonarqube-scan-action@v5
+        with:
+          # L'app (et sonar-project.properties) se trouve dans WEB/.
+          projectBaseDir: WEB
+        # Le scanner lit sonar-project.properties et utilise SONAR_HOST_URL /
+        # SONAR_TOKEN exposés au niveau du job.

.gitea/workflows/deploy.yml

@@ -1,79 +1,70 @@
-# ─────────────────────────────────────────────────────────────
-#  Déploiement Continu (CD) — CESIZen / Application Web Laravel
-#  Déclenché après un merge sur `main` (ou un tag de version).
-#  Chaîne : build image Docker → push vers le Container Registry
-#  de Gitea → déclenchement du webhook Portainer (redéploiement).
-# ─────────────────────────────────────────────────────────────
-name: CD - Déploiement Web (Production)
+name: CD - Déploiement continu
+
+# Déploiement continu : après un push sur main, une fois la CI passée,
+# on se connecte en SSH au serveur de production et on met à jour l'application
+# (git reset, rebuild des conteneurs, migrations, mise en cache).
+#
+# L'application Laravel vit dans le sous-dossier WEB/ (monorepo) ; le conteneur
+# PHP de production s'appelle « cesizen-app » (cf. WEB/docker-compose.yml).
+#
+# Secrets à définir dans Gitea (Settings > Actions > Secrets du dépôt) :
+#   - SSH_HOST        : IP ou domaine du serveur
+#   - SSH_USER        : utilisateur SSH
+#   - SSH_PRIVATE_KEY : clé privée SSH autorisée sur le serveur
+#   - SSH_PORT        : port SSH (optionnel, 22 par défaut)
+#   - DEPLOY_PATH     : chemin du dépôt cloné sur le serveur (ex: /home/sam/CESIZen)
 
 on:
   push:
     branches: [main]
-    paths:
-      - 'WEB/**'
-      - '.gitea/workflows/deploy.yml'
-    tags:
-      - 'v*'
-  workflow_dispatch: {} # permet un déclenchement manuel depuis l'UI Gitea
-
-env:
-  # Registre de conteneurs intégré à Gitea
-  REGISTRY: gitea.sam-coffre.duckdns.org
-  IMAGE_NAME: ${{ github.repository_owner }}/cesizen-web
 
 jobs:
-  build-and-deploy:
+  deploy:
     runs-on: ubuntu-latest
 
     steps:
-      # 1. Récupération du code source
-      - name: Checkout du dépôt
-        uses: actions/checkout@v4
-
-      # 2. Préparation de Docker Buildx
-      - name: Configuration de Docker Buildx
-        uses: docker/setup-buildx-action@v3
-
-      # 3. Authentification sur le Container Registry Gitea
-      #    Les identifiants sont stockés dans les secrets du dépôt.
-      - name: Connexion au registre Gitea
-        uses: docker/login-action@v3
+      - name: Déploiement sur le serveur via SSH
+        uses: appleboy/ssh-action@v1.2.0
         with:
-          registry: ${{ env.REGISTRY }}
-          username: ${{ secrets.REGISTRY_USERNAME }}
-          password: ${{ secrets.REGISTRY_TOKEN }}
+          host: ${{ secrets.SSH_HOST }}
+          username: ${{ secrets.SSH_USER }}
+          key: ${{ secrets.SSH_PRIVATE_KEY }}
+          port: ${{ secrets.SSH_PORT }}
+          script: |
+            set -e
+            cd "${{ secrets.DEPLOY_PATH }}"
 
-      # 4. Calcul des tags de l'image (latest + SHA court + tag Git)
-      - name: Définition des tags
-        id: meta
-        run: |
-          echo "sha=$(echo ${{ github.sha }} | cut -c1-7)" >> "$GITHUB_OUTPUT"
+            DEPLOY_UID=$(id -u)
 
-      # 5. Build et push de l'image (contexte = dossier WEB)
-      - name: Build & Push de l'image Docker
-        uses: docker/build-push-action@v6
-        with:
-          context: ./WEB
-          file: ./WEB/Dockerfile
-          push: true
-          tags: |
-            ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:latest
-            ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}:${{ steps.meta.outputs.sha }}
-          cache-from: type=gha
-          cache-to: type=gha,mode=max
+            # L'utilisateur de déploiement doit posséder storage/ & bootstrap/cache
+            # AVANT toute opération git (un déploiement précédent a pu les passer à
+            # www-data, ce qui bloquerait git). chown via le conteneur (= root).
+            docker exec -u 0 cesizen-app chown -R "${DEPLOY_UID}:www-data" \
+              /var/www/storage /var/www/bootstrap/cache || true
 
-      # 6. Déclenchement du redéploiement Portainer
-      #    Portainer re-pull l'image `latest` et recrée le conteneur.
-      #    L'URL du webhook est un secret (ne jamais l'exposer en clair).
-      - name: Redéploiement via webhook Portainer
-        run: |
-          echo "Déclenchement du redéploiement Portainer..."
-          curl --fail --silent --show-error -X POST "${{ secrets.PORTAINER_WEBHOOK_URL }}"
-          echo "Redéploiement demandé avec succès."
+            # Récupération propre de la dernière version : on ÉCRASE toute modif
+            # locale parasite (le serveur est une copie de déploiement, aucune
+            # édition manuelle n'est censée y vivre). Les fichiers non suivis
+            # (.env, cert.pem…) ne sont PAS touchés par reset --hard.
+            git fetch origin main
+            git reset --hard origin/main
 
-      # 7. (Optionnel) Vérification de disponibilité post-déploiement
-      - name: Health check
-        run: |
-          sleep 20
-          curl --fail --silent --show-error https://cesizen.sam-coffre.duckdns.org/up \
-            || echo "::warning::Le health check /up n'a pas répondu — vérifier le conteneur."
+            # Reconstruction et redémarrage des conteneurs (compose dans WEB/)
+            cd WEB
+            docker compose up -d --build
+
+            # Migrations de la base de données (sans interaction)
+            docker exec cesizen-app php artisan migrate --force
+
+            # Mise en cache de la configuration et des routes (performances en prod)
+            docker exec cesizen-app php artisan config:cache
+            docker exec cesizen-app php artisan route:cache
+            docker exec cesizen-app php artisan view:cache
+
+            # Correction des permissions sur les dossiers écrits par Laravel.
+            # Propriétaire = utilisateur de déploiement (pour les futurs git reset),
+            # groupe = www-data avec écriture de groupe + setgid (héritage du groupe).
+            docker exec -u 0 cesizen-app sh -c "\
+              chown -R ${DEPLOY_UID}:www-data /var/www/storage /var/www/bootstrap/cache && \
+              chmod -R ug+rwX /var/www/storage /var/www/bootstrap/cache && \
+              find /var/www/storage /var/www/bootstrap/cache -type d -exec chmod g+s {} +"