fix : retours métier ERP-193 (4 répertoires) (#139)

Lot de retours métier **ERP-193** (« Fix tous les retours starseed »), transverse aux 4 répertoires (clients, fournisseurs, prestataires, transporteurs).

## Contenu

- **Pagination** : défaut à 25 items/page sur les 4 répertoires.
- **Libellé** : colonne « Dernière activité » → « Dernière modification ».
- **Consultation** : masquage des onglets vides (coquilles « à venir » + onglets de données sans donnée).
- **Chiffre d'affaires** : plafonné à 999 999 999 999,99 (clamp front + `Assert\LessThanOrEqual` back).
- **Date de création** : interdiction des dates futures (`:max` MalioDate + `Assert\LessThanOrEqual('today')` back).
- **Caractères spéciaux** : blocage des caractères parasites (`²³§~#|…`) dans les champs texte via une allow-list par profil (nom de personne / texte libre / adresse / code alphanumérique) — filtrage front à la frappe + `Assert\Regex` back autoritaire. Email/IBAN/BIC/TVA conservent leurs validateurs de format.
- **UI** : champs en consultation et onglets validés grisés (`readonly` → `disabled`).
- **UI** : boutons « Archiver » en rouge (variant `danger`).

## Tests

- Back : nouveaux tests RG (plafond CA, dates futures, caractères spéciaux) + garde-fou contraintes — suite complète verte (813 tests).
- Front : nouveaux tests unitaires (sanitizers, helpers date/montant) — 615 tests verts, eslint clean.

---------

Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>
Reviewed-on: #139
Co-authored-by: tristan <tristan@yuno.malio.fr>
Co-committed-by: tristan <tristan@yuno.malio.fr>

tests/Architecture/EntityConstraintsHaveFrenchMessageTest.php

@@ -99,6 +99,7 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
         Assert\Positive::class,
         Assert\NegativeOrZero::class,
         Assert\Negative::class,
+        Assert\LessThanOrEqual::class,
     ];
 
     public function testEveryConstraintHasAnExplicitFrenchMessage(): void
@@ -306,7 +307,9 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
             Assert\Length::class => new Assert\Length(max: 1),
             Assert\Count::class  => new Assert\Count(min: 1),
             Assert\Regex::class  => new Assert\Regex(pattern: '/^x$/'),
-            default              => new $class(),
+            // AbstractComparison exige value|propertyPath des l'instanciation.
+            Assert\LessThanOrEqual::class => new Assert\LessThanOrEqual(value: 0),
+            default                       => new $class(),
         };
 
         $value = $bare->{$prop} ?? null;

tests/Module/Commercial/Api/FoundedAtFutureTest.php

@@ -0,0 +1,85 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Commercial\Api;
+
+use DateTimeImmutable;
+
+/**
+ * Validation back-autoritative de la date de creation (foundedAt) sur Client ET
+ * Fournisseur — retour metier ERP-193 : une date dans le futur est refusee.
+ *
+ * Le front (MalioDate `:max`) plafonne deja le calendrier a aujourd'hui, mais le
+ * back reste la couche autoritaire : `Assert\LessThanOrEqual('today')` rejette une
+ * date future (ISO valide) avec une 422 portee sur `foundedAt` (mappable inline par
+ * useFormErrors). Une date passee ou egale a aujourd'hui reste acceptee.
+ *
+ * @internal
+ */
+final class FoundedAtFutureTest extends AbstractSupplierApiTestCase
+{
+    /** Client : date de creation future -> 422 portee sur foundedAt. */
+    public function testClientFoundedAtFuturEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Founded Future SARL');
+
+        $body = $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['foundedAt' => $this->futureDate()],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('foundedAt', $this->violationsByPath($body));
+    }
+
+    /** Client : date de creation passee -> acceptee (200). */
+    public function testClientFoundedAtPasseEst200(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Founded Past SARL');
+
+        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['foundedAt' => '2000-06-15'],
+        ]);
+
+        self::assertResponseStatusCodeSame(200);
+    }
+
+    /** Fournisseur : date de creation future -> 422 portee sur foundedAt. */
+    public function testSupplierFoundedAtFuturEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedSupplier('Founded Future Fournisseur SARL');
+
+        $body = $client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['foundedAt' => $this->futureDate()],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('foundedAt', $this->violationsByPath($body));
+    }
+
+    /** Fournisseur : date de creation passee -> acceptee (200). */
+    public function testSupplierFoundedAtPasseEst200(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedSupplier('Founded Past Fournisseur SARL');
+
+        $client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['foundedAt' => '2000-06-15'],
+        ]);
+
+        self::assertResponseStatusCodeSame(200);
+    }
+
+    /** Date ISO clairement dans le futur. */
+    private function futureDate(): string
+    {
+        return new DateTimeImmutable('+1 year')->format('Y-m-d');
+    }
+}

tests/Module/Commercial/Api/RevenueAmountCapTest.php

@@ -0,0 +1,81 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Commercial\Api;
+
+/**
+ * Validation back-autoritative du plafond du chiffre d'affaires (revenueAmount,
+ * onglet Information) sur Client ET Fournisseur — retour metier ERP-193.
+ *
+ * Le CA est plafonne a 999 999 999 999,99 (12 chiffres). La colonne decimal(15,2)
+ * tolererait plus, mais le metier borne la saisie : au-dela, 422 porte sur
+ * `revenueAmount` (mappable inline par useFormErrors). La valeur exactement egale
+ * au plafond reste acceptee. Le front clampe deja la saisie (amountInput.ts), mais
+ * le back reste la couche autoritaire.
+ *
+ * @internal
+ */
+final class RevenueAmountCapTest extends AbstractSupplierApiTestCase
+{
+    /** Plafond metier : 12 chiffres + 2 decimales. */
+    private const string MAX = '999999999999.99';
+
+    /** Client : CA au-dela du plafond -> 422 porte sur revenueAmount. */
+    public function testClientRevenueAmountAuDelaDuPlafondEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('CA Cap Client SARL');
+
+        $body = $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['revenueAmount' => '1000000000000.00'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('revenueAmount', $this->violationsByPath($body));
+    }
+
+    /** Client : CA exactement au plafond -> accepte (200). */
+    public function testClientRevenueAmountAuPlafondEst200(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('CA Max Client SARL');
+
+        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['revenueAmount' => self::MAX],
+        ]);
+
+        self::assertResponseStatusCodeSame(200);
+    }
+
+    /** Fournisseur : CA au-dela du plafond -> 422 porte sur revenueAmount. */
+    public function testSupplierRevenueAmountAuDelaDuPlafondEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedSupplier('CA Cap Fournisseur SARL');
+
+        $body = $client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['revenueAmount' => '1000000000000.00'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('revenueAmount', $this->violationsByPath($body));
+    }
+
+    /** Fournisseur : CA exactement au plafond -> accepte (200). */
+    public function testSupplierRevenueAmountAuPlafondEst200(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedSupplier('CA Max Fournisseur SARL');
+
+        $client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['revenueAmount' => self::MAX],
+        ]);
+
+        self::assertResponseStatusCodeSame(200);
+    }
+}

tests/Module/Commercial/Api/TextInputSanitizationTest.php

@@ -0,0 +1,93 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Commercial\Api;
+
+/**
+ * Validation back-autoritative des caracteres autorises dans les champs texte
+ * (retour metier ERP-193) : on rejette les caracteres parasites « ²³§~#| … » via
+ * une allow-list par profil (App\Shared\Domain\Validation\TextInputPattern). Le
+ * front filtre deja a la frappe, mais le back reste l'autorite : une 422 portee
+ * sur le champ fautif (mappable inline par useFormErrors).
+ *
+ * On couvre les clients (M1) et les fournisseurs (M2) — meme socle de profils.
+ *
+ * @internal
+ */
+final class TextInputSanitizationTest extends AbstractSupplierApiTestCase
+{
+    /** Raison sociale avec exposants ²³ et § -> 422 sur companyName. */
+    public function testClientCompanyNameAvecParasitesEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Parasite Client SARL');
+
+        $body = $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['companyName' => 'ACME²³§'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('companyName', $this->violationsByPath($body));
+    }
+
+    /** Raison sociale legitime « Dupont & Fils » (esperluette) -> acceptee (200). */
+    public function testClientCompanyNameLegitimeEst200(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Legit Client SARL');
+
+        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['companyName' => 'Dupont & Fils (Pôle n°2)'],
+        ]);
+
+        self::assertResponseStatusCodeSame(200);
+    }
+
+    /** Dirigeant avec chiffres -> 422 (profil nom de personne, pas de chiffres). */
+    public function testClientDirectorNameAvecChiffresEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Director Parasite SARL');
+
+        $body = $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['directorName' => 'Jean123'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('directorName', $this->violationsByPath($body));
+    }
+
+    /** N° de compte avec caractere special -> 422 (profil code alphanumerique). */
+    public function testClientAccountNumberAvecParasiteEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedClient('Account Parasite SARL');
+
+        $body = $client->request('PATCH', '/api/clients/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['accountNumber' => '411#DUP'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('accountNumber', $this->violationsByPath($body));
+    }
+
+    /** Fournisseur : raison sociale avec parasites -> 422 sur companyName. */
+    public function testSupplierCompanyNameAvecParasitesEst422(): void
+    {
+        $client = $this->createAdminClient();
+        $seed   = $this->seedSupplier('Parasite Fournisseur SARL');
+
+        $body = $client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['companyName' => 'NEGOCE~#|²'],
+        ])->toArray(false);
+
+        self::assertResponseStatusCodeSame(422);
+        self::assertArrayHasKey('companyName', $this->violationsByPath($body));
+    }
+}

tests/Module/Technique/Api/AbstractProviderApiTestCase.php

@@ -388,7 +388,6 @@ abstract class AbstractProviderApiTestCase extends AbstractApiTestCase
         foreach ($sites as $site) {
             $address->addSite($site);
         }
-        $address->addCategory($this->providerCategory('NETTOYAGE'));
         $address->addContact($contact);
         $provider->addAddress($address);
         $em->persist($address);

tests/Module/Technique/Api/ProviderSerializationContractTest.php

@@ -162,11 +162,6 @@ final class ProviderSerializationContractTest extends AbstractProviderApiTestCas
         self::assertArrayHasKey('code', $category);
         self::assertArrayHasKey('name', $category);
         self::assertSame('NETTOYAGE', $category['code']);
-
-        // Categories d'adresse aussi (category:read dans le contexte du detail).
-        self::assertArrayHasKey('categories', $data['addresses'][0]);
-        self::assertNotEmpty($data['addresses'][0]['categories']);
-        self::assertArrayHasKey('code', $data['addresses'][0]['categories'][0]);
     }
 
     public function testCategoriesEmbedCodeAndNameInList(): void

tests/Module/Technique/Api/ProviderSubResourceApiTest.php

@@ -10,7 +10,7 @@ use App\Module\Technique\Domain\Entity\Provider;
  * Tests fonctionnels des sous-ressources Contacts / Adresses / RIB du prestataire
  * (M3, spec § 4.5 — ERP-135). Couvrent : normalisation contact (RG-3.11), RG-3.04
  * (au moins le prenom OU le nom — aligne M1/M2), RG-3.05 (>= 1 site sur
- * l'adresse), RG-3.06 (code postal), RG-3.09 (categorie PRESTATAIRE sur adresse),
+ * l'adresse), RG-3.06 (code postal),
  * le cloisonnement d'ecriture des sites de l'adresse (§ 2.13 -> 422 sur `sites`),
  * RG-3.08 (DELETE dernier RIB sous LCR -> 409), DELETE contact libre au M3 (pas de
  * garde « dernier contact ») et le gating selon permission (Contacts/Adresses =
@@ -166,9 +166,8 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
 
     public function testPostAddressWithValidPayloadReturns201(): void
     {
-        $client   = $this->createAdminClient();
-        $seed     = $this->seedProvider('Address Host');
-        $category = $this->providerCategory('NETTOYAGE');
+        $client = $this->createAdminClient();
+        $seed   = $this->seedProvider('Address Host');
 
         $data = $client->request('POST', '/api/providers/'.$seed->getId().'/addresses', [
             'headers' => ['Content-Type' => self::LD],
@@ -177,7 +176,6 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
                 'city'       => 'Châtellerault',
                 'street'     => '1 rue du Test',
                 'sites'      => ['/api/sites/'.$this->site(self::SITE_86)->getId()],
-                'categories' => ['/api/categories/'.$category->getId()],
             ],
         ])->toArray();
 
@@ -197,7 +195,6 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
                 'city'       => 'Châtellerault',
                 'street'     => '1 rue du Test',
                 'sites'      => [],
-                'categories' => ['/api/categories/'.$this->providerCategory()->getId()],
             ],
         ]);
 
@@ -217,7 +214,6 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
                 'city'       => 'Châtellerault',
                 'street'     => '1 rue du Test',
                 'sites'      => ['/api/sites/'.$this->site(self::SITE_86)->getId()],
-                'categories' => ['/api/categories/'.$this->providerCategory()->getId()],
             ],
         ]);
 
@@ -225,33 +221,10 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
         self::assertResponseStatusCodeSame(422);
     }
 
-    public function testPostAddressWithNonPrestataireCategoryReturns422(): void
-    {
-        $client  = $this->createAdminClient();
-        $seed    = $this->seedProvider('Address Bad Cat');
-        $foreign = $this->foreignCategory(); // type CLIENT -> interdite (RG-3.09).
-
-        $response = $client->request('POST', '/api/providers/'.$seed->getId().'/addresses', [
-            'headers' => ['Content-Type' => self::LD, 'Accept' => self::LD],
-            'json'    => [
-                'postalCode' => '86100',
-                'city'       => 'Châtellerault',
-                'street'     => '1 rue du Test',
-                'sites'      => ['/api/sites/'.$this->site(self::SITE_86)->getId()],
-                'categories' => ['/api/categories/'.$foreign->getId()],
-            ],
-        ]);
-
-        // RG-3.09 -> 422 rattachee a categories.
-        self::assertResponseStatusCodeSame(422);
-        self::assertArrayHasKey('categories', $this->violationsByPath($response->toArray(false)));
-    }
-
     public function testDeleteAddressReturns204(): void
     {
-        $client   = $this->createAdminClient();
-        $seed     = $this->seedProvider('Address Delete');
-        $category = $this->providerCategory('NETTOYAGE');
+        $client = $this->createAdminClient();
+        $seed   = $this->seedProvider('Address Delete');
 
         $created = $client->request('POST', '/api/providers/'.$seed->getId().'/addresses', [
             'headers' => ['Content-Type' => self::LD],
@@ -260,7 +233,6 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
                 'city'       => 'Châtellerault',
                 'street'     => '1 rue du Test',
                 'sites'      => ['/api/sites/'.$this->site(self::SITE_86)->getId()],
-                'categories' => ['/api/categories/'.$category->getId()],
             ],
         ])->toArray();
 
@@ -294,8 +266,7 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
      */
     public function testPostAddressWithOutOfScopeSiteReturns422OnSitesPath(): void
     {
-        $seed     = $this->seedProvider('Address Scope', [self::SITE_86]);
-        $category = $this->providerCategory('NETTOYAGE');
+        $seed = $this->seedProvider('Address Scope', [self::SITE_86]);
 
         $creds = $this->createScopedUser(
             ['technique.providers.view', 'technique.providers.manage', 'sites.read_ref'],
@@ -311,7 +282,6 @@ final class ProviderSubResourceApiTest extends AbstractProviderApiTestCase
                 'city'       => 'Saint-Jean-d\'Angély',
                 'street'     => '1 rue du Test',
                 'sites'      => ['/api/sites/'.$this->site(self::SITE_17)->getId()], // hors user_site
-                'categories' => ['/api/categories/'.$category->getId()],
             ],
         ]);
 

tests/Module/Transport/Api/CarrierContactApiTest.php

@@ -15,8 +15,8 @@ use Symfony\Component\Console\Output\NullOutput;
  * POST /api/carriers/{id}/contacts, PATCH/DELETE /api/carrier_contacts/{id}.
  *
  * Contrat verifie :
- *  - RG-4.08 : contact sans prenom ni nom -> 422 (alignement M1/M2/M3) ;
- *  - RG-4.08 : un nom (ou prenom) suffit -> 201 ;
+ *  - ERP-193 : contact sans prenom ni nom -> 201 (bloc Contact optionnel) ;
+ *  - un nom (ou prenom) seul suffit -> 201 ;
  *  - RG-4.08 : 3 telephones (tableau `phones`) -> 422 (max 2) ;
  *  - mapping `phones[]` -> phonePrimary / phoneSecondary + normalisation (RG-4.13) ;
  *  - PATCH / DELETE OK avec transport.carriers.manage, 403 sans (view seul).
@@ -49,25 +49,25 @@ final class CarrierContactApiTest extends AbstractCarrierApiTestCase
         self::ensureKernelShutdown();
     }
 
-    public function testEmptyContactReturns422(): void
+    public function testContactWithoutNameIsCreated(): void
     {
-        // RG-4.08 (alignement M1/M2/M3) : sans prenom ni nom -> 422 (garde Processor,
-        // double du CHECK BDD chk_carrier_contact_name).
-        $carrier = $this->seedCarrier('Contact Vide');
+        // ERP-193 (retour metier) : l'onglet Contact n'est plus obligatoire et la
+        // garde « prenom OU nom » (ex RG-4.08) est retiree -> un contact sans nom
+        // (ici un simple telephone) est desormais accepte (201).
+        $carrier = $this->seedCarrier('Contact Sans Nom');
         $client  = $this->createAdminClient();
 
-        $response = $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
             'headers' => ['Content-Type' => self::LD],
-            'json'    => [],
+            'json'    => ['phones' => ['0611111111']],
         ]);
-        self::assertResponseStatusCodeSame(422);
-        // La violation est rattachee a `firstName` (mapping inline ERP-101).
-        self::assertViolationOnPath($response, 'firstName');
+        self::assertResponseStatusCodeSame(201);
+        self::assertJsonContains(['phonePrimary' => '0611111111']);
     }
 
     public function testSingleFieldContactIsCreated(): void
     {
-        // RG-4.08 : un nom (ou prenom) suffit a valider le bloc.
+        // Un nom (ou prenom) seul suffit a creer un contact.
         $carrier = $this->seedCarrier('Contact Mono');
         $client  = $this->createAdminClient();