feat(sites) : API CRUD + rattachement User<->Site + admin (ticket 2/4)

Exposition de Site via API Platform (5 operations RBAC sites.view/sites.manage),
relation User.sites (M2M user_site EAGER) + User.currentSite (M2O nullable,
ON DELETE SET NULL). Endpoint PATCH /api/me/current-site via ressource
virtuelle + processor (SiteNotAuthorizedException → 403). UserRbacProcessor
etendu avec gardes post-persist : auto-reset si currentSite retire, auto-select
premier site si null + sites non vide.

Page /admin/sites (DataTable + drawer creation/edition + modale suppression).
UserRbacDrawer etendu avec section "Sites autorises". Colonne "Sites" ajoutee
dans la table /admin/users (liste des noms separes par virgule). Sidebar
entree Sites (module: sites, permission: sites.view).

Refactor adresse : split full_address en street + complement (nullable) + getter
computed Site::getFullAddress() multi-lignes. Migration ALTER dediee pour
compat devs ayant deja joue le ticket 1. Fixtures avec vraies adresses
(Chatellerault/Fontenet/Pommevic).

Doctrine : inversedBy synchrone User.sites <-> Site.users pour maintenir la
collection inverse en memoire. User::switchCurrentSite() porte la garde
domaine (throw SiteNotAuthorizedException), aligne sur Role::ensureDeletable.
Helper skipIfSitesModuleDisabled centralise dans AbstractApiTestCase.

Tests : 182/182 (182/182 aussi module desactive, 2 skipped). 29 nouveaux tests
PHPUnit (CRUD API, switch currentSite, cascade DB, /api/me enrichi, extension
/rbac, gardes structurelles fullAddress/currentSite ignores, anti-cycle
Site.users). 11 tests Vitest sur la validation hex couleur.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

src/Module/Sites/Infrastructure/ApiPlatform/Resource/CurrentSiteResource.php

@@ -0,0 +1,53 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Sites\Infrastructure\ApiPlatform\Resource;
+
+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Patch;
+use App\Module\Sites\Domain\Entity\Site;
+use App\Module\Sites\Infrastructure\ApiPlatform\State\Processor\CurrentSiteProcessor;
+use Symfony\Component\Serializer\Attribute\Groups;
+
+/**
+ * Ressource API Platform virtuelle (non mappee Doctrine) qui porte
+ * l'operation `PATCH /api/me/current-site` : basculement du site courant
+ * de l'utilisateur authentifie.
+ *
+ * `read: false` informe API Platform qu'il ne doit pas tenter de charger
+ * une entite existante via un Provider — l'operation denormalise le payload
+ * directement dans cette ressource, puis CurrentSiteProcessor prend le relais.
+ *
+ * `shortName: 'CurrentSite'` : evite toute collision avec l'entite `Site`
+ * dans le routage et la documentation OpenAPI.
+ *
+ * Securite : l'autorisation "ROLE_USER" suffit au niveau voter — la verification
+ * fine (le site demande fait-il partie des sites autorises de l'user ?)
+ * est faite par CurrentSiteProcessor, car elle dependence de l'user
+ * authentifie, pas d'une permission statique.
+ */
+#[ApiResource(
+    shortName: 'CurrentSite',
+    operations: [
+        new Patch(
+            uriTemplate: '/me/current-site',
+            security: "is_granted('ROLE_USER')",
+            normalizationContext: ['groups' => ['me:read']],
+            denormalizationContext: ['groups' => ['current-site:write']],
+            processor: CurrentSiteProcessor::class,
+            read: false,
+            priority: 1,
+        ),
+    ],
+)]
+final class CurrentSiteResource
+{
+    /**
+     * Site cible du switch, denormalise depuis l'IRI envoye dans le body :
+     * `{ "site": "/api/sites/{id}" }`. Resolu automatiquement par
+     * l'IriConverter d'API Platform en instance de `Site`.
+     */
+    #[Groups(['current-site:write'])]
+    public ?Site $site = null;
+}

src/Module/Sites/Infrastructure/ApiPlatform/State/Processor/CurrentSiteProcessor.php

@@ -0,0 +1,72 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Sites\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use App\Module\Core\Domain\Entity\User;
+use App\Module\Sites\Domain\Exception\SiteNotAuthorizedException;
+use App\Module\Sites\Infrastructure\ApiPlatform\Resource\CurrentSiteResource;
+use Doctrine\ORM\EntityManagerInterface;
+use LogicException;
+use Symfony\Bundle\SecurityBundle\Security;
+use Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException;
+use Symfony\Component\HttpKernel\Exception\BadRequestHttpException;
+
+/**
+ * Processor de l'operation `PATCH /api/me/current-site`.
+ *
+ * Flux :
+ *  1. Recupere l'user authentifie via Security.
+ *  2. Extrait le site cible depuis la ressource denormalisee.
+ *  3. Valide que le site fait partie des `sites` de l'user — sinon leve
+ *     SiteNotAuthorizedException convertie immediatement en 403.
+ *  4. Positionne `currentSite`, flush, retourne l'user pour normalisation
+ *     par API Platform via les groupes `me:read` (payload identique a /api/me).
+ *
+ * @implements ProcessorInterface<CurrentSiteResource, User>
+ */
+final class CurrentSiteProcessor implements ProcessorInterface
+{
+    public function __construct(
+        private readonly Security $security,
+        private readonly EntityManagerInterface $entityManager,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof CurrentSiteResource) {
+            throw new LogicException(sprintf(
+                'CurrentSiteProcessor attend une instance de %s, %s recu.',
+                CurrentSiteResource::class,
+                get_debug_type($data),
+            ));
+        }
+
+        $user = $this->security->getUser();
+        if (!$user instanceof User) {
+            // security: "is_granted('ROLE_USER')" sur l'operation doit deja
+            // bloquer ce cas — garde defensive si la config change.
+            throw new AccessDeniedHttpException('Authentification requise pour changer de site courant.');
+        }
+
+        $targetSite = $data->site;
+        if (null === $targetSite) {
+            throw new BadRequestHttpException('Le champ "site" est requis.');
+        }
+
+        try {
+            $user->switchCurrentSite($targetSite);
+        } catch (SiteNotAuthorizedException $e) {
+            // Traduction HTTP immediate (pas de listener kernel necessaire) :
+            // aligne sur le pattern RoleProcessor → SystemRoleDeletionException.
+            throw new AccessDeniedHttpException($e->getMessage(), $e);
+        }
+
+        $this->entityManager->flush();
+
+        return $user;
+    }
+}