refactor(sites) : decouple module Sites via SiteInterface + leaks groupes user:list

- Introduit Shared/Domain/Contract/SiteInterface que Site implemente
- SiteAwareInterface + User.php typent contre SiteInterface (plus d'import
  direct Core -> Sites, respect regle CLAUDE.md 138)
- Exception SiteNotAuthorizedException deplacee dans Shared/, alias
  retrocompat dans le module
- Retire `sites` et `currentSite` des groupes `user:list` et `user:rbac:write`
  (info leak via /api/users, escalade core.users.manage -> sites.manage)
- User::$sites et User::$currentSite en fetch LAZY (N+1 sur /api/users paginee)

src/Module/Core/Domain/Entity/User.php

@@ -15,8 +15,14 @@ use App\Module\Core\Infrastructure\ApiPlatform\State\Processor\UserProcessor;
 use App\Module\Core\Infrastructure\ApiPlatform\State\Processor\UserRbacProcessor;
 use App\Module\Core\Infrastructure\ApiPlatform\State\Provider\MeProvider;
 use App\Module\Core\Infrastructure\Doctrine\DoctrineUserRepository;
+// Note architecture : User.php utilise SiteInterface (Shared) pour les
+// type-hints afin de ne pas coupler le module Core au module Sites.
+// La seule reference concrete a Site subsiste dans les metadonnees ORM
+// (targetEntity) via FQCN string, ce qui est obligatoire pour Doctrine.
+// SiteNotAuthorizedException est importee depuis Shared (sa location canonique).
 use App\Module\Sites\Domain\Entity\Site;
-use App\Module\Sites\Domain\Exception\SiteNotAuthorizedException;
+use App\Shared\Domain\Contract\SiteInterface;
+use App\Shared\Domain\Exception\SiteNotAuthorizedException;
 use DateTimeImmutable;
 use Doctrine\Common\Collections\ArrayCollection;
 use Doctrine\Common\Collections\Collection;
@@ -112,17 +118,19 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
     /**
      * Sites autorises pour l'utilisateur (ticket 2 du module Sites).
      *
-     * Relation ManyToMany avec table de jointure `user_site`. Fetch EAGER
-     * pour la meme raison que `$rbacRoles` : garantir que `/api/me` et les
-     * voters futurs aient toujours la collection hydratee, meme dans un
-     * contexte de refresh JWT hors EntityManager. Le surcout SQL reste
-     * negligeable (≤ quelques sites par user en pratique).
+     * Relation ManyToMany avec table de jointure `user_site`. Fetch LAZY :
+     * le chargement est defere jusqu'a l'acces explicite a la collection.
+     * MeProvider (ou un futur provider avec JOIN FETCH) est responsable de
+     * precharger cette collection pour /api/me afin d'eviter N+1.
+     *
+     * Le groupe `user:list` a ete retire deliberement (securite : evite
+     * de fuiter la liste des sites de chaque user via GET /api/users).
      *
      * @var Collection<int, Site>
      */
-    #[ORM\ManyToMany(targetEntity: Site::class, inversedBy: 'users', fetch: 'EAGER')]
+    #[ORM\ManyToMany(targetEntity: 'App\Module\Sites\Domain\Entity\Site', inversedBy: 'users', fetch: 'LAZY')]
     #[ORM\JoinTable(name: 'user_site')]
-    #[Groups(['me:read', 'user:list', 'user:rbac:read', 'user:rbac:write'])]
+    #[Groups(['me:read', 'user:rbac:read', 'user:rbac:write'])]
     private Collection $sites;
 
     /**
@@ -136,11 +144,15 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      * Doit TOUJOURS pointer vers un site present dans `$sites`. L'invariant
      * est enforce par UserRbacProcessor qui bascule automatiquement a `null`
      * si le site courant est retire des sites autorises.
+     *
+     * Fetch LAZY : MeProvider (ou un futur provider avec JOIN FETCH) assure
+     * le prechargement pour /api/me. Le groupe `user:list` a ete retire
+     * deliberement (securite : evite de fuiter le site actif via /api/users).
      */
-    #[ORM\ManyToOne(targetEntity: Site::class, fetch: 'EAGER')]
+    #[ORM\ManyToOne(targetEntity: 'App\Module\Sites\Domain\Entity\Site', fetch: 'LAZY')]
     #[ORM\JoinColumn(name: 'current_site_id', referencedColumnName: 'id', nullable: true, onDelete: 'SET NULL')]
-    #[Groups(['me:read', 'user:list'])]
-    private ?Site $currentSite = null;
+    #[Groups(['me:read'])]
+    private ?SiteInterface $currentSite = null;
 
     #[ORM\Column]
     private ?string $password = null;
@@ -363,11 +375,15 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      * Synchronise la collection inverse Site::$users en memoire pour eviter
      * un etat incoherent entre les deux cotes de la M2M dans une meme
      * session Doctrine (cf. ticket 2 review point #1).
+     *
+     * Le parametre est type SiteInterface pour eviter le couplage Core → Sites.
+     * En pratique seule App\Module\Sites\Domain\Entity\Site est passee ici.
      */
-    public function addSite(Site $site): static
+    public function addSite(SiteInterface $site): static
     {
         if (!$this->sites->contains($site)) {
             $this->sites->add($site);
+            // @phpstan-ignore-next-line : Site concret toujours passe en pratique
             $site->addUser($this);
         }
 
@@ -381,9 +397,10 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      * par UserRbacProcessor (cote applicatif) ou doit etre maintenu
      * explicitement par l'appelant. Voir Risque 2 du ticket 2 spec.
      */
-    public function removeSite(Site $site): static
+    public function removeSite(SiteInterface $site): static
     {
         if ($this->sites->removeElement($site)) {
+            // @phpstan-ignore-next-line : Site concret toujours passe en pratique
             $site->removeUser($this);
         }
 
@@ -395,12 +412,12 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      * collection autorisee, via comparaison d'identite d'objet Doctrine.
      * Utilise par CurrentSiteProcessor pour valider un switch.
      */
-    public function hasSite(Site $site): bool
+    public function hasSite(SiteInterface $site): bool
     {
         return $this->sites->contains($site);
     }
 
-    public function getCurrentSite(): ?Site
+    public function getCurrentSite(): ?SiteInterface
     {
         return $this->currentSite;
     }
@@ -412,7 +429,7 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      * "selectionner un site dans la liste autorisee", utiliser
      * switchCurrentSite() qui porte la garde domaine.
      */
-    public function setCurrentSite(?Site $currentSite): static
+    public function setCurrentSite(?SiteInterface $currentSite): static
     {
         $this->currentSite = $currentSite;
 
@@ -427,7 +444,7 @@ class User implements UserInterface, PasswordAuthenticatedUserInterface
      *
      * @throws SiteNotAuthorizedException si $site n'appartient pas a $this->sites
      */
-    public function switchCurrentSite(Site $site): void
+    public function switchCurrentSite(SiteInterface $site): void
     {
         if (!$this->hasSite($site)) {
             throw SiteNotAuthorizedException::forSite($site);