test(commercial) : cover RG-1.01..1.29 except role-gated (M1) + polish stack (#38)

Dernier wagon de la stack back M1. ERP-60 = polish stack + couverture de tests PHPUnit NON dépendante des rôles métier (cf. spec § 7 / § 8.1).

## Phase 0 — polish stack (déjà mergé dans les branches basses via rebase)
- ERP-59 : route sidebar `/clients` (au lieu de `/commercial/clients`), cohérente avec `/suppliers`.
- One-liner pagination Client abandonné : `pagination_client_enabled: true` est déjà le défaut global → `?pagination=false` marche déjà sur `/api/clients` (décision P7).

## Phase 1 — tests (combler les trous, zéro duplication)
8 nouvelles suites couvrant les RG non encore testées par ERP-55/56/57/58 :
- `ClientFormulaireMainTest` — RG-1.02 (téléphone secondaire, max 2).
- `ClientAddressTest` — RG-1.06/07/08 + RG-1.11 (CHECK BDD prospect/billing).
- `ClientUniquenessTest` — RG-1.15/1.17 (Q4 : SIREN/email NON uniques).
- `ClientArchiveTest` — **RG-1.23 : 409 restauration en conflit (gap P1)**.
- `ClientAuditTest` — RG-1.27 (created* figés / updatedBy modificateur) + iban/bic présents dans le diff audité.
- `ClientMigrationTest` — index partiel unique `uq_client_company_name_active` (1 seul) ; pas d'index siren/email.
- `ClientSecurityTest` — 401 anonyme + 403 sans `commercial.clients.view`.
- `ClientPatchStrictTest` — RG-1.28 (403 strict mix de groupes, fonctionnel).

Cahier de test complet (mapping de TOUTES les RG → test) : `docs/specs/M1-clients/cahier-test-back-M1.md`.

## Délégué à ERP-74 (#493)
Matrice RBAC différenciée (bureau/compta/commerciale/usine) + RG-1.04 fonctionnel — exigent les rôles métier seedés après le merge de la stack.

## Gaps documentés (cahier)
- RG-1.29 validation écriture (catégorie type sur adresse → 422) non implémentée back (hors § 8.1, ticket test-only).
- Violations CHECK adresse → rejet (≥400) sans mapping fin 422 (amélioration possible).

## Vérifs
`make db-reset && make php-cs-fixer-allow-risky && make test` → **421 tests OK, 1386 assertions, 0 risky**. Nouveaux tests : 17, 71 assertions.

---------

Co-authored-by: Matthieu <contact@malio.fr>
Reviewed-on: #38
Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>
Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>

tests/Module/Commercial/Api/ClientAddressTest.php

@@ -0,0 +1,149 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Commercial\Api;
+
+use App\Module\Sites\Domain\Entity\Site;
+
+/**
+ * Tests fonctionnels de l'onglet Adresse — combler les trous (ERP-60).
+ *
+ * RG-1.09 (code postal) et RG-1.10 (>= 1 site) sont DEJA couverts par
+ * ClientSubResourceApiTest (ERP-57) et ne sont pas reduplique ici. Ce fichier
+ * cible les contraintes CHECK BDD non encore testees :
+ *  - RG-1.06 / RG-1.07 / RG-1.08 : `chk_client_address_prospect_exclusive`
+ *    (is_prospect exclusif de is_delivery / is_billing) ;
+ *  - RG-1.11 : `chk_client_address_billing_email` (billing_email obligatoire
+ *    ssi is_billing).
+ *
+ * Note : ces regles sont portees par des CHECK Postgres (pas d'Assert ni de
+ * regle Processor au M1). On verifie donc que la combinaison invalide est
+ * REJETEE par le serveur (statut >= 400), sans coupler le test au code exact :
+ * une violation CHECK non mappee remonte aujourd'hui en erreur serveur ; un
+ * mapping fin vers 422 serait une amelioration ulterieure (hors perimetre
+ * ERP-60, test-only).
+ *
+ * RG-1.29 (filtrage du type de categorie SECTEUR/AUTRE sur une adresse) n'est
+ * PAS testee : la validation d'ecriture correspondante n'est pas implementee
+ * cote back au M1 (et ne figure pas dans la liste § 8.1). Documentee comme gap
+ * dans le cahier de test #478.
+ *
+ * @internal
+ */
+final class ClientAddressTest extends AbstractCommercialApiTestCase
+{
+    private const string LD = 'application/ld+json';
+
+    /**
+     * RG-1.06 / RG-1.07 : une adresse de prospection ne peut pas etre une
+     * adresse de livraison (CHECK chk_client_address_prospect_exclusive).
+     */
+    public function testProspectAddressCannotBeDelivery(): void
+    {
+        $this->skipIfSitesModuleDisabled();
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Prospect Delivery');
+
+        $response = $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'isProspect' => true,
+                'isDelivery' => true,
+                'postalCode' => '86100',
+                'city'       => 'Châtellerault',
+                'street'     => '1 rue du Test',
+                'sites'      => [$this->firstSiteIri()],
+            ],
+        ]);
+
+        self::assertGreaterThanOrEqual(400, $response->getStatusCode());
+    }
+
+    /**
+     * RG-1.06 / RG-1.08 : une adresse de prospection ne peut pas etre une
+     * adresse de facturation (meme CHECK). On fournit billingEmail pour que la
+     * seule violation possible soit l'exclusivite prospect/billing.
+     */
+    public function testProspectAddressCannotBeBilling(): void
+    {
+        $this->skipIfSitesModuleDisabled();
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Prospect Billing');
+
+        $response = $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'isProspect'   => true,
+                'isBilling'    => true,
+                'billingEmail' => 'facturation@test.fr',
+                'postalCode'   => '86100',
+                'city'         => 'Châtellerault',
+                'street'       => '1 rue du Test',
+                'sites'        => [$this->firstSiteIri()],
+            ],
+        ]);
+
+        self::assertGreaterThanOrEqual(400, $response->getStatusCode());
+    }
+
+    /**
+     * RG-1.11 : une adresse de facturation exige un billingEmail
+     * (CHECK chk_client_address_billing_email).
+     */
+    public function testBillingAddressRequiresBillingEmail(): void
+    {
+        $this->skipIfSitesModuleDisabled();
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Billing No Email');
+
+        $response = $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'isBilling'  => true,
+                'postalCode' => '86100',
+                'city'       => 'Châtellerault',
+                'street'     => '1 rue du Test',
+                'sites'      => [$this->firstSiteIri()],
+            ],
+        ]);
+
+        self::assertGreaterThanOrEqual(400, $response->getStatusCode());
+    }
+
+    /**
+     * RG-1.11 (sens inverse) : une adresse NON facturable ne peut pas porter un
+     * billingEmail (meme CHECK).
+     */
+    public function testNonBillingAddressRejectsBillingEmail(): void
+    {
+        $this->skipIfSitesModuleDisabled();
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Non Billing With Email');
+
+        $response = $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'isBilling'    => false,
+                'billingEmail' => 'parasite@test.fr',
+                'postalCode'   => '86100',
+                'city'         => 'Châtellerault',
+                'street'       => '1 rue du Test',
+                'sites'        => [$this->firstSiteIri()],
+            ],
+        ]);
+
+        self::assertGreaterThanOrEqual(400, $response->getStatusCode());
+    }
+
+    /**
+     * Retourne l'IRI du premier site seede (fixtures Sites).
+     */
+    private function firstSiteIri(): string
+    {
+        $site = $this->getEm()->getRepository(Site::class)->findOneBy([]);
+        self::assertNotNull($site, 'Aucun site seede : impossible de tester les adresses.');
+
+        return '/api/sites/'.$site->getId();
+    }
+}