ci: alignement sur le standard qualite (Larastan, couverture, SonarQube) et deploiement SSH

- ci.yml: ajout analyse statique PHPStan/Larastan, couverture PHPUnit (clover+junit) et analyse SonarQube conditionnelle
- deploy.yml: deploiement continu par SSH (git reset + docker compose up --build + migrations + cache), conteneur cesizen-app
- phpstan.neon (niveau 5), grumphp.yml (hooks qualite locaux), sonar-project.properties, docker-compose.sonar.yml
- ajout larastan/larastan et phpro/grumphp en require-dev

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -1,89 +1,93 @@
-# ─────────────────────────────────────────────────────────────
-#  Intégration Continue (CI) — CESIZen / Application Web Laravel
-#  Déclenché à chaque push et chaque pull request.
-#  Objectif : garantir la qualité et la sécurité du code AVANT
-#  tout déploiement (tests, style, audit de vulnérabilités).
-# ─────────────────────────────────────────────────────────────
-name: CI - Web (Laravel)
+name: CI - Intégration continue
+
+# Intégration continue : à chaque push et chaque pull request, on vérifie
+# automatiquement la qualité du code (Laravel Pint, analyse statique Larastan)
+# puis on exécute les tests automatisés (PHPUnit) avec couverture. Un
+# déploiement (voir deploy.yml) ne doit se faire que si cette étape est au vert.
+#
+# NB : l'application Laravel vit dans le sous-dossier WEB/ (monorepo).
 
 on:
   push:
-    branches: [main, develop]
+    branches: [main]
     paths:
       - 'WEB/**'
       - '.gitea/workflows/ci.yml'
   pull_request:
-    branches: [main, develop]
+    branches: [main]
     paths:
       - 'WEB/**'
 
-# Empêche deux exécutions concurrentes sur la même branche
-concurrency:
-  group: ci-${{ github.ref }}
-  cancel-in-progress: true
-
 jobs:
   quality-and-tests:
     runs-on: ubuntu-latest
+
+    # Toutes les commandes s'exécutent dans le dossier de l'app Laravel.
     defaults:
       run:
         working-directory: WEB
 
-    steps:
-      # 1. Récupération du code source
-      - name: Checkout du dépôt
-        uses: actions/checkout@v4
+    # Jetons SonarQube, définis dans les secrets du dépôt Gitea.
+    # Exposés au niveau du job pour pouvoir conditionner l'étape d'analyse
+    # (elle ne s'exécute que si un jeton est configuré).
+    env:
+      SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
+      SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}
 
-      # 2. Installation de l'environnement PHP
-      - name: Installation de PHP 8.3
+    steps:
+      - name: Récupération du code
+        uses: actions/checkout@v4
+        with:
+          # Historique complet : SonarQube en a besoin pour dater le code
+          # et calculer correctement le "nouveau code".
+          fetch-depth: 0
+
+      - name: Installation de PHP 8.2
         uses: shivammathur/setup-php@v2
         with:
-          php-version: '8.3'
-          extensions: pdo_mysql, mbstring, exif, pcntl, bcmath, gd, intl, zip
-          coverage: none
-          tools: composer:v2
+          php-version: '8.2'
+          extensions: pdo_mysql, pdo_sqlite, sqlite3, mbstring, exif, pcntl, bcmath, gd, intl, zip
+          # pcov : moteur de couverture rapide, requis pour le rapport SonarQube.
+          coverage: pcov
 
-      # 3. Cache des dépendances Composer (accélère les builds)
-      - name: Cache Composer
+      - name: Cache des dépendances Composer
         uses: actions/cache@v4
         with:
           path: WEB/vendor
           key: composer-${{ hashFiles('WEB/composer.lock') }}
-          restore-keys: composer-
 
-      # 4. Installation des dépendances PHP
-      - name: Installation des dépendances Composer
-        run: composer install --no-interaction --prefer-dist --no-progress
+      - name: Installation des dépendances
+        run: composer install --no-interaction --prefer-dist --optimize-autoloader
 
-      # 5. Préparation de l'environnement de test
-      - name: Préparation de l'environnement
+      - name: Préparation de l'environnement de test
         run: |
           cp .env.example .env
           php artisan key:generate
 
-      # 6. Vérification du style de code (bonne pratique — grille : qualité du code)
-      - name: Analyse du style (Laravel Pint)
-        run: ./vendor/bin/pint --test
+      - name: Vérification du style de code (Laravel Pint)
+        run: vendor/bin/pint --test
 
-      # 7. Audit de sécurité des dépendances PHP (CVE connues).
-      #    Étape informative : elle signale les vulnérabilités connues sans
-      #    bloquer la livraison (certaines dépendent d'un correctif amont).
-      - name: Audit de sécurité Composer
-        run: composer audit --no-interaction
-        continue-on-error: true
+      - name: Analyse statique (Larastan / PHPStan)
+        run: vendor/bin/phpstan analyse --configuration=phpstan.neon --memory-limit=512M --no-progress
 
-      # 8. Installation et audit des dépendances front (Vite/npm)
-      - name: Installation des dépendances Node
-        run: npm ci
+      - name: Exécution des tests + couverture (PHPUnit)
+        # phpunit.xml définit déjà l'environnement de test (sqlite en mémoire).
+        # On génère le rapport de couverture (clover) et le rapport de tests
+        # (junit) consommés ensuite par SonarQube.
+        run: |
+          mkdir -p coverage
+          vendor/bin/phpunit \
+            --coverage-clover=coverage/clover.xml \
+            --log-junit=coverage/junit.xml
 
-      - name: Audit de sécurité npm
-        run: npm audit --audit-level=high
-        continue-on-error: true # informatif : ne bloque pas le build
-
-      # 9. Build des assets front (vérifie que la compilation passe)
-      - name: Build des assets (Vite)
-        run: npm run build
-
-      # 10. Exécution de la suite de tests automatisés (PHPUnit)
-      - name: Tests automatisés
-        run: php artisan test --env=testing
+      - name: Analyse SonarQube
+        # Ne s'exécute que si le secret SONAR_TOKEN est configuré dans Gitea,
+        # sinon l'étape est ignorée (la CI reste verte tant que le serveur
+        # SonarQube n'est pas branché).
+        if: ${{ env.SONAR_TOKEN != '' }}
+        uses: sonarsource/sonarqube-scan-action@v5
+        with:
+          # L'app (et sonar-project.properties) se trouve dans WEB/.
+          projectBaseDir: WEB
+        # Le scanner lit sonar-project.properties et utilise SONAR_HOST_URL /
+        # SONAR_TOKEN exposés au niveau du job.