test(transport) : couverture RG-4.01→4.14 + contrat + fixtures (ERP-163)

- CarrierListTest : anti-N+1 liste (fetch-join qualimat), tri name ASC, echappatoire ?pagination=false (regle n°13) - CarrierAuditTest : POST/PATCH/archive -> audit_log entity_type='transport.Carrier' - CarrierAddressApiTest : CP/ville incoherents acceptes (RG-4.06, pas de controle de coherence serveur) - CarrierFixtures : fixtures dev completes et idempotentes (QUALIMAT validite passee, AUTRE+decharge, affrete, LIOT, complet prix CLIENT+FOURNISSEUR, archive) ; env-gated dev uniquement - spec-back § 4.0.bis : JSON reel capture (liste + detail) via CarrierSerializationContractTest
feat(transport) : export XLSX répertoire + prix transporteur (ERP-162)
2026-06-16 11:40:47 +02:00 · 2026-06-16 11:07:46 +02:00 · 2026-06-16 10:42:41 +02:00 · 2026-06-16 10:18:10 +02:00 · 2026-06-16 09:19:20 +02:00 · 2026-06-16 08:34:28 +02:00
25 changed files with 3097 additions and 96 deletions
@@ -586,7 +586,7 @@ class Carrier implements TimestampableInterface, BlamableInterface
 > 2. Sérialisation booléen `isArchived` (bug #3 M1) : clé présente dans le JSON réel.
 > 3. `qualimatCarrier` embarqué (statut + validité) pour RG-4.04.

-> ✅ **CAPTURÉ (WT3, ERP-155/157)** — JSON réel produit par `CarrierSerializationContractTest` (transporteur complet seedé : lien QUALIMAT, 1 adresse, 1 contact, 2 prix CLIENT + FOURNISSEUR). Les 3 pièges sont vérifiés verts. **Le front peut démarrer sur ce contrat.**
+> ✅ **CAPTURÉ (ERP-163)** — JSON **RÉEL** produit par `CarrierSerializationContractTest::testDodReferenceJsonShape` (transporteur complet seedé : lien QUALIMAT, 1 adresse, 1 contact, 2 prix CLIENT + FOURNISSEUR), dumpé via la variable d'env `CARRIER_DOD_DUMP=1`. Les 3 pièges sont vérifiés verts. **Le front peut démarrer sur ce contrat.** Les valeurs cosmétiques (noms, SIRET) sont nettoyées du bruit de seed ; **toutes les clés ci-dessous sont présentes telles quelles dans la réponse réelle**.
 >
 > Contraintes d'architecture validées au passage :
 > - Relations cross-module des prix (`client`/`supplier`/adresses) câblées **sans import inter-module** (règle n°1) via des contrats `Shared/Domain/Contract/*Interface` + `resolve_target_entities`. L'embed JSON passe par les read-groups des entités concrètes (`client:read`, `client_address:read`, `supplier:read`, `supplier_address:read`, `site:read`). Un groupe `supplier_address:read` a été **ajouté aux champs scalaires de `SupplierAddress`** (M2) pour que `supplierSupplyAddress` s'embarque comme `clientDeliveryAddress` (M1 avait déjà `client_address:read`).
@@ -596,19 +596,31 @@ class Carrier implements TimestampableInterface, BlamableInterface

 ```jsonc
 {
-  "@context": "/api/contexts/Carrier", "@id": "/api/carriers", "@type": "Collection",
+  "@context": "/api/contexts/Carrier",
+  "@id": "/api/carriers",
+  "@type": "Collection",
  "totalItems": 1,
  "member": [
    {
-      "@id": "/api/carriers/12", "@type": "Carrier", "id": 12,
+      "@id": "/api/carriers/26",
+      "@type": "Carrier",
+      "id": 26,
      "name": "TRANSPORTS GRELILLIER",
      "qualimatCarrier": {                       // embarqué (objet), pas IRI — RG-4.04
-        "@id": "/api/qualimat_carriers/8", "@type": "QualimatCarrier", "id": "8",
-        "siret": "…", "name": "…", "address": "…", "postalCode": "86000", "city": "Poitiers",
-        "status": "Valide", "validityDate": "2027-12-31T00:00:00+01:00"
+        "@id": "/api/qualimat_carriers/22",
+        "@type": "QualimatCarrier",
+        "id": "22",
+        "siret": "80012345600017",
+        "name": "TRANSPORTS GRELILLIER",
+        "address": "12 rue des Acacias",
+        "postalCode": "86000",
+        "city": "Poitiers",
+        "status": "Valide",
+        "validityDate": "2027-12-31T00:00:00+01:00"
      },
      "certificationType": "QUALIMAT",
-      "createdAt": "…", "updatedAt": "…",
+      "createdAt": "2026-06-15T19:12:39+02:00",
+      "updatedAt": "2026-06-15T19:12:39+02:00",
      "isChartered": false,                      // bool présent (getter + SerializedName)
      "isArchived": false                        // bool présent (piège #3)
    }
@@ -617,44 +629,169 @@ class Carrier implements TimestampableInterface, BlamableInterface
 }
 ```

-**`GET /api/carriers/{id}` (DÉTAIL)** — `qualimatCarrier` + `addresses[]` + `contacts[]` + `prices[]` avec relations cross-module embarquées en objet :
+**`GET /api/carriers/{id}` (DÉTAIL)** — `qualimatCarrier` + `addresses[]` + `contacts[]` + `prices[]` avec relations cross-module embarquées en objet (les `@id` des sous-collections sortent en `/.well-known/genid/…` : ce sont des IRI anonymes API Platform, normal pour des entités non exposées en ressource racine) :

 ```jsonc
 {
-  "@id": "/api/carriers/12", "@type": "Carrier", "id": 12,
+  "@context": "/api/contexts/Carrier",
+  "@id": "/api/carriers/26",
+  "@type": "Carrier",
+  "id": 26,
  "name": "TRANSPORTS GRELILLIER",
-  "qualimatCarrier": { "@type": "QualimatCarrier", "status": "Valide", "validityDate": "…", "...": "…" },
+  "qualimatCarrier": {                           // embarqué (statut + validité) — RG-4.04
+    "@id": "/api/qualimat_carriers/22",
+    "@type": "QualimatCarrier",
+    "id": "22",
+    "siret": "80012345600017",
+    "name": "TRANSPORTS GRELILLIER",
+    "address": "12 rue des Acacias",
+    "postalCode": "86000",
+    "city": "Poitiers",
+    "status": "Valide",
+    "validityDate": "2027-12-31T00:00:00+01:00"
+  },
  "certificationType": "QUALIMAT",
  "addresses": [
-    { "@type": "CarrierAddress", "id": 4, "country": "France", "postalCode": "86000", "city": "Poitiers", "street": "…", "createdAt": "…", "updatedAt": "…" }
+    {
+      "@type": "CarrierAddress",
+      "@id": "/api/.well-known/genid/9f597da33f73776f1c25",
+      "id": 12,
+      "country": "France",
+      "postalCode": "86000",
+      "city": "Poitiers",
+      "street": "12 rue des Acacias",
+      "createdAt": "2026-06-15T19:12:39+02:00",
+      "updatedAt": "2026-06-15T19:12:39+02:00"
+    }
  ],
  "contacts": [
-    { "@type": "CarrierContact", "id": 5, "firstName": "Marie", "lastName": "Martin", "phonePrimary": "0612345678", "email": "…", "createdAt": "…", "updatedAt": "…" }
+    {
+      "@type": "CarrierContact",
+      "@id": "/api/.well-known/genid/6c6335ead4557062774f",
+      "id": 13,
+      "firstName": "Marie",
+      "lastName": "Martin",
+      "phonePrimary": "0612345678",
+      "email": "marie.martin@grelillier.fr",
+      "createdAt": "2026-06-15T19:12:39+02:00",
+      "updatedAt": "2026-06-15T19:12:39+02:00"
+    }
  ],
  "prices": [
    {
-      "@type": "CarrierPrice", "id": 7, "direction": "CLIENT",
-      "client": { "@type": "Client", "@id": "/api/clients/4", "id": 4, "companyName": "…", "isArchived": false, "...": "…" },
-      "clientDeliveryAddress": { "@type": "ClientAddress", "@id": "/api/client_addresses/4", "postalCode": "86000", "city": "Poitiers", "street": "…", "...": "…" },
-      "departureSite": { "@type": "Site", "@id": "/api/sites/1", "id": 1, "name": "Chatellerault", "postalCode": "86100", "city": "Châtellerault", "...": "…" },
-      "containerType": "BENNE", "pricingUnit": "TONNE", "price": "42.50", "priceState": "VALIDE",
-      "createdAt": "…", "updatedAt": "…"
+      "@type": "CarrierPrice",
+      "@id": "/api/.well-known/genid/ac0305352bb3751a5b76",
+      "id": 23,
+      "direction": "CLIENT",
+      "client": {                                // OBJET embarqué (client:read), pas IRI nu — piège #1
+        "@type": "Client",
+        "@id": "/api/clients/117",
+        "id": 117,
+        "companyName": "NÉGOCE MÉTAUX ATLANTIQUE",
+        "triageService": false,
+        "categories": [],
+        "createdAt": "2026-06-15T19:12:39+02:00",
+        "updatedAt": "2026-06-15T19:12:39+02:00",
+        "sites": [],
+        "isArchived": false
+      },
+      "clientDeliveryAddress": {                 // OBJET embarqué (client_address:read)
+        "@type": "ClientAddress",
+        "@id": "/api/client_addresses/32",
+        "id": 32,
+        "country": "France",
+        "postalCode": "86000",
+        "city": "Poitiers",
+        "street": "1 rue de la Livraison",
+        "position": 0,
+        "sites": [],
+        "contacts": [],
+        "categories": [],
+        "createdAt": "2026-06-15T19:12:39+02:00",
+        "updatedAt": "2026-06-15T19:12:39+02:00",
+        "isProspect": false,
+        "isDelivery": true,
+        "isBilling": false,
+        "isBroker": false,
+        "isDistributor": false
+      },
+      "departureSite": {                         // OBJET embarqué (site:read)
+        "@type": "Site",
+        "@id": "/api/sites/1",
+        "id": 1,
+        "name": "Chatellerault",
+        "street": "14 All. d'Argenson",
+        "postalCode": "86100",
+        "city": "Châtellerault",
+        "color": "#056CF2",
+        "createdAt": "2026-06-15T18:57:56+02:00",
+        "updatedAt": "2026-06-15T18:57:56+02:00",
+        "fullAddress": "14 All. d'Argenson\n86100 Châtellerault"
+      },
+      "containerType": "BENNE",
+      "pricingUnit": "TONNE",
+      "price": "42.50",
+      "priceState": "VALIDE",
+      "createdAt": "2026-06-15T19:12:39+02:00",
+      "updatedAt": "2026-06-15T19:12:39+02:00"
    },
    {
-      "@type": "CarrierPrice", "id": 8, "direction": "FOURNISSEUR",
-      "supplier": { "@type": "Supplier", "@id": "/api/suppliers/4", "id": 4, "companyName": "…", "isArchived": false, "...": "…" },
-      "supplierSupplyAddress": { "@type": "SupplierAddress", "@id": "/api/supplier_addresses/38", "id": 38, "addressType": "DEPART", "country": "France", "postalCode": "17000", "city": "La Rochelle", "street": "…" },
-      "deliverySite": { "@type": "Site", "@id": "/api/sites/1", "name": "Chatellerault", "...": "…" },
-      "containerType": "FOND_MOUVANT", "pricingUnit": "FORFAIT", "price": "320.00", "priceState": "EN_COURS",
-      "createdAt": "…", "updatedAt": "…"
+      "@type": "CarrierPrice",
+      "@id": "/api/.well-known/genid/cfee3c4dda8fb899ff3e",
+      "id": 24,
+      "direction": "FOURNISSEUR",
+      "supplier": {                              // OBJET embarqué (supplier:read), pas IRI nu — piège #1
+        "@type": "Supplier",
+        "@id": "/api/suppliers/102",
+        "id": 102,
+        "companyName": "FERRAILLEUR GRAND OUEST",
+        "categories": [],
+        "createdAt": "2026-06-15T19:12:39+02:00",
+        "updatedAt": "2026-06-15T19:12:39+02:00",
+        "sites": [],
+        "isArchived": false
+      },
+      "supplierSupplyAddress": {                 // OBJET embarqué (supplier_address:read)
+        "@type": "SupplierAddress",
+        "@id": "/api/supplier_addresses/38",
+        "id": 38,
+        "addressType": "DEPART",
+        "country": "France",
+        "postalCode": "17000",
+        "city": "La Rochelle",
+        "street": "2 quai de l Appro",
+        "createdAt": "2026-06-15T19:12:39+02:00",
+        "updatedAt": "2026-06-15T19:12:39+02:00"
+      },
+      "deliverySite": {                          // OBJET embarqué (site:read)
+        "@type": "Site",
+        "@id": "/api/sites/1",
+        "id": 1,
+        "name": "Chatellerault",
+        "street": "14 All. d'Argenson",
+        "postalCode": "86100",
+        "city": "Châtellerault",
+        "color": "#056CF2",
+        "createdAt": "2026-06-15T18:57:56+02:00",
+        "updatedAt": "2026-06-15T18:57:56+02:00",
+        "fullAddress": "14 All. d'Argenson\n86100 Châtellerault"
+      },
+      "containerType": "FOND_MOUVANT",
+      "pricingUnit": "FORFAIT",
+      "price": "320.00",
+      "priceState": "EN_COURS",
+      "createdAt": "2026-06-15T19:12:39+02:00",
+      "updatedAt": "2026-06-15T19:12:39+02:00"
    }
  ],
-  "createdAt": "…", "updatedAt": "…",
-  "isChartered": false, "isArchived": false
+  "createdAt": "2026-06-15T19:12:39+02:00",
+  "updatedAt": "2026-06-15T19:12:39+02:00",
+  "isChartered": false,                          // bool présent (getter + SerializedName)
+  "isArchived": false                            // bool présent (piège #3)
 }
 ```

-> Note WT3 : opérations exposées = `GetCollection` + `Get` (lecture). `POST`/`PATCH` (+ `CarrierProcessor`, normalisation, RG-4.01→4.14, 409 doublon, gating archive) et les sous-ressources d'écriture (adresses/contacts/prix) arrivent aux worktrees suivants (WT4+).
+> Note (ERP-163) : opérations exposées = `GetCollection` + `Get` (lecture) **et** `POST`/`PATCH` (`CarrierProcessor` : normalisation RG-4.13, RG-4.01→4.14, 409 doublon, gating archive mode strict) **et** les sous-ressources d'écriture adresses/contacts/prix (`Carrier*Processor`). La couverture RG-4.01→4.14 + RBAC + audit + anti-N+1 est portée par la matrice de tests `tests/Module/Transport/Api/` (ERP-163).

 ### 4.1 `GET /api/carriers` — Liste

@@ -909,7 +1046,7 @@ Synchronisation : `php bin/console app:sync-permissions`.

 - [x] 3 maillons de sérialisation documentés pour chaque champ liste + détail (§ 4.0)
 - [x] Décision embed vs GetCollection explicite (embed détail + sous-ressources write — § 3.3 / § 3.4 / § 4.5)
- [ ] **Réponses JSON RÉELLES** capturées (§ 4.0.bis) — à produire au ticket tests (`CarrierSerializationContractTest`)
+- [x] **Réponses JSON RÉELLES** capturées (§ 4.0.bis) — produites par `CarrierSerializationContractTest` (ERP-163, dump `CARRIER_DOD_DUMP=1`)
 - [x] Matrice RBAC rôle × permission + mode strict archive (§ 5.2 / RG-4.14)
 - [x] Pagination (n°13), COMMENT ON COLUMN (n°12), Timestampable/Blamable, Audit + i18n, routes à plat : rappelés
 - [x] Réutilisations identifiées (référentiel QUALIMAT, Client/Supplier/Site partagés, `usePaginatedList`, blocs, archive, normalisation, `useAddressAutocomplete`)
@@ -4,22 +4,86 @@ declare(strict_types=1);

 namespace App\Module\Transport\Domain\Entity;

+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Transport\Infrastructure\ApiPlatform\State\Processor\CarrierAddressProcessor;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
 use App\Shared\Domain\Contract\TimestampableInterface;
 use App\Shared\Domain\Trait\TimestampableBlamableTrait;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;

 /**
 * Adresse d'un transporteur (1:n) — onglet Adresse (M4). Jumelle de
 * SupplierAddress (M2), version simplifiee (pas de type d'adresse, pas de M2M
 * sites/categories sur l'adresse : les sites du M4 vivent dans l'onglet Prix).
 *
- * WT3 (ERP-155/157) = LECTURE seule : proprietes en `carrier:item:read`
- * (embarquees au detail du transporteur). Les sous-ressources d'ecriture
- * (POST/PATCH/DELETE) + RG-4.05→4.07 arrivent au worktree dedie (WT6).
+ * Lecture : proprietes en `carrier:item:read` (embarquees au detail du
+ * transporteur). Ecriture : groupe `carrier:write:addresses`.
+ *
+ * Sous-ressource API (ERP-159, spec § 4.5) — jumelle de SupplierAddress (M2) /
+ * ProviderAddress (M3), sans address_type ni M2M (les sites du M4 vivent dans
+ * l'onglet Prix) :
+ *  - POST /api/carriers/{carrierId}/addresses : creation rattachee au
+ *    transporteur parent (Link toProperty 'carrier'), security
+ *    transport.carriers.manage.
+ *  - PATCH / DELETE /api/carrier_addresses/{id} : security
+ *    transport.carriers.manage.
+ *  - GET /api/carrier_addresses/{id} : lecture unitaire (security view) — la
+ *    lecture courante reste via le parent. Pas de GET collection autonome.
+ * Tout passe par le CarrierAddressProcessor (rattachement parent + RG-4.05).
+ *
+ * Regles de l'onglet Adresse :
+ *  - RG-4.06 : code postal a 4 ou 5 chiffres (Assert\Regex ; pas de controle
+ *    CP/ville serveur, l'autocomplete BAN est front).
+ *  - RG-4.05 : si le transporteur est affrete (isChartered), l'adresse devient
+ *    obligatoire (Pays / CP / Ville / Adresse) — validation conditionnelle portee
+ *    par le CarrierAddressProcessor (le parent n'est pas disponible a la
+ *    validation Symfony sur un POST sous-ressource en read:false).
+ *  - RG-4.07 : masquage du bouton « Valider » si QUALIMAT = front ; le back
+ *    accepte le PATCH normalement (aucune garde back specifique).
+ *
+ * Audite (#[Auditable]) + Timestampable / Blamable.
 */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('transport.carriers.view')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+        ),
+        new Post(
+            uriTemplate: '/carriers/{carrierId}/addresses',
+            uriVariables: [
+                'carrierId' => new Link(fromClass: Carrier::class, toProperty: 'carrier'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT CarrierAddress ... WHERE carrier = :id)
+            // et casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par CarrierAddressProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+            denormalizationContext: ['groups' => ['carrier:write:addresses']],
+            processor: CarrierAddressProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+            denormalizationContext: ['groups' => ['carrier:write:addresses']],
+            processor: CarrierAddressProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('transport.carriers.manage')",
+            processor: CarrierAddressProcessor::class,
+        ),
+    ],
+)]
 #[ORM\Entity]
 #[ORM\Table(name: 'carrier_address')]
 #[ORM\Index(name: 'idx_carrier_address_carrier', columns: ['carrier_id'])]
@@ -41,23 +105,32 @@ class CarrierAddress implements TimestampableInterface, BlamableInterface
    private ?Carrier $carrier = null;

    #[ORM\Column(length: 80, options: ['default' => 'France'])]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 80, maxMessage: 'Le pays ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:addresses'])]
    private string $country = 'France';

+    // RG-4.06 : code postal a 4 ou 5 chiffres (pas de controle CP/ville serveur,
+    // l'autocomplete BAN est front). Le Regex borne deja la longueur (<= 5) : pas
+    // de Length redondant (whitelist EXCLUDED_LENGTH_MIRROR). Nullable : obligatoire
+    // seulement si affrete (RG-4.05, garde CarrierAddressProcessor).
    #[ORM\Column(name: 'postal_code', length: 20, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Regex(pattern: '/^[0-9]{4,5}$/', message: 'Le code postal doit comporter 4 ou 5 chiffres.')]
+    #[Groups(['carrier:item:read', 'carrier:write:addresses'])]
    private ?string $postalCode = null;

    #[ORM\Column(length: 120, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 120, maxMessage: 'La ville ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:addresses'])]
    private ?string $city = null;

    #[ORM\Column(length: 255, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 255, maxMessage: 'L\'adresse ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:addresses'])]
    private ?string $street = null;

    #[ORM\Column(name: 'street_complement', length: 255, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 255, maxMessage: 'Le complément d\'adresse ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:addresses'])]
    private ?string $streetComplement = null;

    #[ORM\Column(options: ['default' => 0])]
@@ -4,21 +4,80 @@ declare(strict_types=1);

 namespace App\Module\Transport\Domain\Entity;

+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Transport\Infrastructure\ApiPlatform\State\Processor\CarrierContactProcessor;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
 use App\Shared\Domain\Contract\TimestampableInterface;
 use App\Shared\Domain\Trait\TimestampableBlamableTrait;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;

 /**
 * Contact d'un transporteur (1:n) — onglet Contact (M4). Jumeau de
 * SupplierContact (M2) : au moins un champ rempli (RG-4.08, garanti par le
 * CHECK chk_carrier_contact_filled + le Processor), max 2 telephones.
 *
- * WT3 (ERP-155/157) = LECTURE seule : proprietes en `carrier:item:read`
- * (embarquees au detail). Les sous-ressources d'ecriture arrivent au WT7.
+ * Lecture : proprietes en `carrier:item:read` (embarquees au detail du
+ * transporteur). Ecriture : groupe `carrier:write:contacts`.
+ *
+ * Sous-ressource API (ERP-160, spec § 4.5) — jumelle de SupplierContact (M2) :
+ *  - POST /api/carriers/{carrierId}/contacts : creation rattachee au
+ *    transporteur parent (Link toProperty 'carrier'), security
+ *    transport.carriers.manage.
+ *  - PATCH / DELETE /api/carrier_contacts/{id} : security
+ *    transport.carriers.manage.
+ *  - GET /api/carrier_contacts/{id} : lecture unitaire (security view) — la
+ *    lecture courante reste via le parent. Pas de GET collection autonome.
+ * Tout passe par le CarrierContactProcessor (rattachement parent + RG-4.08 +
+ * RG-4.13).
+ *
+ * Telephones (RG-4.08, max 2) : le contrat d'ecriture expose un tableau virtuel
+ * `phones` (liste dynamique cote front « x1, +1 possible, max 2 ») mappe par le
+ * Processor vers `phonePrimary` / `phoneSecondary` (un 3e numero -> 422). Les
+ * deux colonnes scalaires restent en lecture seule (embarquees au detail).
+ *
+ * Audite (#[Auditable]) + Timestampable / Blamable.
 */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('transport.carriers.view')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+        ),
+        new Post(
+            uriTemplate: '/carriers/{carrierId}/contacts',
+            uriVariables: [
+                'carrierId' => new Link(fromClass: Carrier::class, toProperty: 'carrier'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT CarrierContact ... WHERE carrier = :id)
+            // et casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par CarrierContactProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+            denormalizationContext: ['groups' => ['carrier:write:contacts']],
+            processor: CarrierContactProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => ['carrier:item:read', 'default:read']],
+            denormalizationContext: ['groups' => ['carrier:write:contacts']],
+            processor: CarrierContactProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('transport.carriers.manage')",
+            processor: CarrierContactProcessor::class,
+        ),
+    ],
+)]
 #[ORM\Entity]
 #[ORM\Table(name: 'carrier_contact')]
 #[ORM\Index(name: 'idx_carrier_contact_carrier', columns: ['carrier_id'])]
@@ -39,18 +98,27 @@ class CarrierContact implements TimestampableInterface, BlamableInterface
    #[ORM\JoinColumn(name: 'carrier_id', referencedColumnName: 'id', nullable: false, onDelete: 'CASCADE')]
    private ?Carrier $carrier = null;

+    // RG-4.08 : aucun champ obligatoire isolement (≥ 1 champ rempli, garde
+    // Processor + CHECK BDD). Les colonnes restent nullable au niveau ORM.
    #[ORM\Column(name: 'first_name', length: 120, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 120, maxMessage: 'Le prénom ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:contacts'])]
    private ?string $firstName = null;

    #[ORM\Column(name: 'last_name', length: 120, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 120, maxMessage: 'Le nom ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:contacts'])]
    private ?string $lastName = null;

    #[ORM\Column(name: 'job_title', length: 120, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Length(max: 120, maxMessage: 'La fonction ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:contacts'])]
    private ?string $jobTitle = null;

+    // Telephones en LECTURE seule : alimentes en ecriture via le tableau virtuel
+    // `phones` (mappe par le CarrierContactProcessor). Pas de groupe write -> pas
+    // de saisie directe (et donc exemptes du miroir Assert\Length, le Processor
+    // borne deja la longueur).
    #[ORM\Column(name: 'phone_primary', length: 20, nullable: true)]
    #[Groups(['carrier:item:read'])]
    private ?string $phonePrimary = null;
@@ -60,9 +128,22 @@ class CarrierContact implements TimestampableInterface, BlamableInterface
    private ?string $phoneSecondary = null;

    #[ORM\Column(length: 180, nullable: true)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\Email(message: 'L\'adresse email n\'est pas valide.')]
+    #[Assert\Length(max: 180, maxMessage: 'L\'email ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['carrier:item:read', 'carrier:write:contacts'])]
    private ?string $email = null;

+    /**
+     * Telephones en ecriture (RG-4.08, max 2), NON persiste : le
+     * CarrierContactProcessor normalise chaque numero (RG-4.13) puis le mappe vers
+     * phonePrimary / phoneSecondary. null = non fourni (PATCH partiel : on ne
+     * touche pas aux telephones existants). Un 3e numero -> 422 sur `phones`.
+     *
+     * @var null|list<string>
+     */
+    #[Groups(['carrier:write:contacts'])]
+    private ?array $phones = null;
+
    #[ORM\Column(options: ['default' => 0])]
    private int $position = 0;

@@ -155,6 +236,24 @@ class CarrierContact implements TimestampableInterface, BlamableInterface
        return $this;
    }

+    /**
+     * @return null|list<string>
+     */
+    public function getPhones(): ?array
+    {
+        return $this->phones;
+    }
+
+    /**
+     * @param null|list<string> $phones
+     */
+    public function setPhones(?array $phones): static
+    {
+        $this->phones = $phones;
+
+        return $this;
+    }
+
    public function getPosition(): int
    {
        return $this->position;
@@ -4,6 +4,13 @@ declare(strict_types=1);

 namespace App\Module\Transport\Domain\Entity;

+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Transport\Infrastructure\ApiPlatform\State\Processor\CarrierPriceProcessor;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
 use App\Shared\Domain\Contract\ClientAddressInterface;
@@ -15,6 +22,7 @@ use App\Shared\Domain\Contract\TimestampableInterface;
 use App\Shared\Domain\Trait\TimestampableBlamableTrait;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;

 /**
 * Prix d'un transporteur (1:n) — onglet Prix (M4, RG-4.09→4.11). Une ligne porte
@@ -30,9 +38,73 @@ use Symfony\Component\Serializer\Attribute\Groups;
 * (client:read / client_address:read / supplier:read / supplier_address:read /
 * site:read), inclus dans le contexte du Get racine de Carrier (§ 4.0).
 *
- * WT3 (ERP-155/157) = LECTURE seule : proprietes en `carrier:item:read`. Les
- * sous-ressources d'ecriture + validation des branches (Processor) : WT8.
+ * Lecture : proprietes en `carrier:item:read` (embarquees au detail du
+ * transporteur). Ecriture : groupe `carrier:write:prices`.
+ *
+ * Sous-ressource API (ERP-161, spec § 4.5) — jumelle de CarrierAddress /
+ * CarrierContact :
+ *  - POST /api/carriers/{carrierId}/prices : creation rattachee au transporteur
+ *    parent (Link toProperty 'carrier'), security transport.carriers.manage.
+ *  - PATCH / DELETE /api/carrier_prices/{id} : security transport.carriers.manage.
+ *  - GET /api/carrier_prices/{id} : lecture unitaire (security view).
+ * Tout passe par le CarrierPriceProcessor (rattachement parent + RG-4.09→4.11 :
+ * coherence de branche CLIENT/FOURNISSEUR + appartenance de l'adresse).
+ *
+ * Les champs communs (direction, containerType, pricingUnit, price, priceState)
+ * sont obligatoires (Assert\NotBlank + Assert\Choice). L'obligation conditionnelle
+ * des champs de branche (client/supplier + adresses + sites) et l'appartenance de
+ * l'adresse au client/fournisseur sont portees par le Processor (violations Hydra
+ * a la main) : ces RG dependent de relations resolues a la denormalisation et non
+ * exprimables par une simple contrainte d'attribut.
 */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('transport.carriers.view')",
+            normalizationContext: ['groups' => [
+                'carrier:item:read',
+                'client:read', 'client_address:read',
+                'supplier:read', 'supplier_address:read',
+                'site:read', 'default:read',
+            ]],
+        ),
+        new Post(
+            uriTemplate: '/carriers/{carrierId}/prices',
+            uriVariables: [
+                'carrierId' => new Link(fromClass: Carrier::class, toProperty: 'carrier'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT CarrierPrice ... WHERE carrier = :id) et
+            // casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par CarrierPriceProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => [
+                'carrier:item:read',
+                'client:read', 'client_address:read',
+                'supplier:read', 'supplier_address:read',
+                'site:read', 'default:read',
+            ]],
+            denormalizationContext: ['groups' => ['carrier:write:prices']],
+            processor: CarrierPriceProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('transport.carriers.manage')",
+            normalizationContext: ['groups' => [
+                'carrier:item:read',
+                'client:read', 'client_address:read',
+                'supplier:read', 'supplier_address:read',
+                'site:read', 'default:read',
+            ]],
+            denormalizationContext: ['groups' => ['carrier:write:prices']],
+            processor: CarrierPriceProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('transport.carriers.manage')",
+            processor: CarrierPriceProcessor::class,
+        ),
+    ],
+)]
 #[ORM\Entity]
 #[ORM\Table(name: 'carrier_price')]
 #[ORM\Index(name: 'idx_carrier_price_carrier', columns: ['carrier_id'])]
@@ -61,61 +133,74 @@ class CarrierPrice implements TimestampableInterface, BlamableInterface

    /** CLIENT|FOURNISSEUR (RG-4.09) — pilote la branche active. */
    #[ORM\Column(length: 12)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\NotBlank(message: 'Le sens du prix est obligatoire.')]
+    #[Assert\Choice(choices: ['CLIENT', 'FOURNISSEUR'], message: 'Le sens du prix est invalide.')]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?string $direction = null;

    // === Branche CLIENT (RG-4.10) ===
+    // Obligation conditionnelle (direction=CLIENT) + appartenance de l'adresse au
+    // client : portees par le CarrierPriceProcessor (relations resolues a la
+    // denormalisation, hors portee d'une contrainte d'attribut).
    #[ORM\ManyToOne(targetEntity: ClientInterface::class)]
    #[ORM\JoinColumn(name: 'client_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?ClientInterface $client = null;

    #[ORM\ManyToOne(targetEntity: ClientAddressInterface::class)]
    #[ORM\JoinColumn(name: 'client_delivery_address_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?ClientAddressInterface $clientDeliveryAddress = null;

    /** Adresse de depart = un des 3 sites (86/17/82). */
    #[ORM\ManyToOne(targetEntity: SiteInterface::class)]
    #[ORM\JoinColumn(name: 'departure_site_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?SiteInterface $departureSite = null;

    // === Branche FOURNISSEUR (RG-4.11) ===
    #[ORM\ManyToOne(targetEntity: SupplierInterface::class)]
    #[ORM\JoinColumn(name: 'supplier_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?SupplierInterface $supplier = null;

    #[ORM\ManyToOne(targetEntity: SupplierAddressInterface::class)]
    #[ORM\JoinColumn(name: 'supplier_supply_address_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?SupplierAddressInterface $supplierSupplyAddress = null;

    /** Adresse de livraison = un des 3 sites (86/17/82). */
    #[ORM\ManyToOne(targetEntity: SiteInterface::class)]
    #[ORM\JoinColumn(name: 'delivery_site_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
-    #[Groups(['carrier:item:read'])]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?SiteInterface $deliverySite = null;

-    // === Commun ===
+    // === Commun (toujours obligatoires, RG-4.10/4.11) ===
    /** BENNE|FOND_MOUVANT. */
    #[ORM\Column(name: 'container_type', length: 12)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\NotBlank(message: 'Le type de contenant est obligatoire.')]
+    #[Assert\Choice(choices: ['BENNE', 'FOND_MOUVANT'], message: 'Le type de contenant est invalide.')]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?string $containerType = null;

    /** FORFAIT|TONNE. */
    #[ORM\Column(name: 'pricing_unit', length: 8)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\NotBlank(message: 'L\'unite de tarification est obligatoire.')]
+    #[Assert\Choice(choices: ['FORFAIT', 'TONNE'], message: 'L\'unite de tarification est invalide.')]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?string $pricingUnit = null;

    #[ORM\Column(type: 'decimal', precision: 12, scale: 2)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\NotBlank(message: 'Le prix est obligatoire.')]
+    #[Assert\PositiveOrZero(message: 'Le prix ne peut pas etre negatif.')]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?string $price = null;

    /** EN_COURS|VALIDE|NON_VALIDE. */
    #[ORM\Column(name: 'price_state', length: 12)]
-    #[Groups(['carrier:item:read'])]
+    #[Assert\NotBlank(message: 'L\'etat du prix est obligatoire.')]
+    #[Assert\Choice(choices: ['EN_COURS', 'VALIDE', 'NON_VALIDE'], message: 'L\'etat du prix est invalide.')]
+    #[Groups(['carrier:item:read', 'carrier:write:prices'])]
    private ?string $priceState = null;

    #[ORM\Column(options: ['default' => 0])]
@@ -4,13 +4,10 @@ declare(strict_types=1);

 namespace App\Module\Transport\Domain\Entity;

-use ApiPlatform\Doctrine\Orm\Filter\BooleanFilter;
-use ApiPlatform\Doctrine\Orm\Filter\OrderFilter;
-use ApiPlatform\Doctrine\Orm\Filter\SearchFilter;
-use ApiPlatform\Metadata\ApiFilter;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\GetCollection;
+use App\Module\Transport\Infrastructure\ApiPlatform\State\Provider\QualimatCarrierSearchProvider;
 use DateTimeImmutable;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
@@ -26,8 +23,9 @@ use Symfony\Component\Serializer\Attribute\SerializedName;
 *  - cible de la FK editable `carrier.qualimat_carrier_id` (§ 2.5) ;
 *  - embarquee (groupe `qualimat:read`) dans la liste et le detail Carrier pour
 *    afficher statut + date de validite QUALIMAT (RG-4.04) ;
- *  - endpoint de recherche `GET /api/qualimat_carriers?...` pour la saisie
- *    assistee du nom (§ 4.7) — filtres built-in name/siret (partiel), isActive.
+ *  - endpoint de recherche `GET /api/qualimat_carriers?search=` pour la saisie
+ *    assistee du nom (§ 4.7) — fuzzy name (+ siret), SEULEMENT les lignes actives,
+ *    tri name ASC, paginee ; logique portee par QualimatCarrierSearchProvider.
 *
 * La table reste hors `schema_filter` Doctrine (doctrine.yaml) : c'est la
 * migration modulaire Version20260612150000 qui possede son DDL et ses COMMENT
@@ -36,8 +34,14 @@ use Symfony\Component\Serializer\Attribute\SerializedName;
 */
 #[ApiResource(
    operations: [
+        // Saisie assistee (§ 4.7 / RG-4.01) : ?search= fuzzy name (+ siret),
+        // SEULEMENT les lignes actives, tri name ASC, paginee. La logique vit
+        // dans le provider (forcage is_active + recherche multi-champs) car un
+        // SearchFilter natif ne sait ni unifier name/siret sous un seul ?search=,
+        // ni imposer cote serveur le filtre actif.
        new GetCollection(
            security: "is_granted('transport.carriers.view')",
+            provider: QualimatCarrierSearchProvider::class,
            normalizationContext: ['groups' => ['qualimat:read', 'default:read']],
        ),
        new Get(
@@ -46,9 +50,6 @@ use Symfony\Component\Serializer\Attribute\SerializedName;
        ),
    ],
 )]
-#[ApiFilter(SearchFilter::class, properties: ['name' => 'ipartial', 'siret' => 'partial'])]
-#[ApiFilter(BooleanFilter::class, properties: ['isActive'])]
-#[ApiFilter(OrderFilter::class, properties: ['name'], arguments: ['orderParameterName' => 'order'])]
 #[ORM\Entity]
 // Mapping reproduisant a l'identique le DDL de la migration ERP-39
 // (Version20260612150000) pour que `schema:update --force` reste un no-op :
@@ -0,0 +1,25 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Domain\Repository;
+
+use Doctrine\ORM\QueryBuilder;
+
+/**
+ * Contrat du repository du referentiel QUALIMAT (M4, lecture seule). Implementation
+ * Doctrine : App\Module\Transport\Infrastructure\Doctrine\DoctrineQualimatCarrierRepository.
+ *
+ * La table `qualimat_carrier` est alimentee/soft-deletee EXCLUSIVEMENT par la
+ * commande console `app:qualimat:sync` : ce contrat n'expose que de la lecture.
+ */
+interface QualimatCarrierRepositoryInterface
+{
+    /**
+     * QueryBuilder de la saisie assistee (§ 4.7 / RG-4.01). Restreint aux lignes
+     * actives (is_active = true), recherche fuzzy sur name (+ siret), tri name ASC.
+     *
+     * @param null|string $search texte de recherche libre (fuzzy name + siret)
+     */
+    public function createSearchQueryBuilder(?string $search = null): QueryBuilder;
+}
@@ -0,0 +1,134 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierAddress;
+use Doctrine\ORM\EntityManagerInterface;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Processor d'ecriture de la sous-ressource Adresse d'un transporteur (M4,
+ * spec-back § 4.5). Jumeau du SupplierAddressProcessor (M2) / ProviderAddressProcessor
+ * (M3), recentre sur le perimetre ERP-159, AVEC une garde propre au M4 : RG-4.05
+ * (adresse obligatoire si le transporteur est affrete).
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au transporteur parent (linkParent) puis garde
+ *    RG-4.05 (guardCharteredAddress). RG-4.06 (code postal, Assert\Regex) est portee
+ *    par l'entite et jouee par API Platform AVANT ce processor.
+ *  - DELETE : aucune regle metier specifique (suppression physique directe).
+ *
+ * RG-4.05 vit ICI (et non en Assert\Callback sur l'entite) car elle depend du
+ * transporteur PARENT, indisponible a la validation Symfony sur un POST
+ * sous-ressource en read:false (le parent n'est rattache qu'au stade processor).
+ * La violation est construite a la main avec le meme rendu Hydra que les
+ * contraintes Symfony, donc consommable inline par champ (convention ERP-101).
+ *
+ * RG-4.07 (masquage du bouton « Valider » si QUALIMAT) est purement front : le
+ * back accepte le PATCH normalement, aucune garde ici.
+ *
+ * La security d'operation (transport.carriers.manage) est appliquee par API
+ * Platform en amont, de meme que la validation Symfony des contraintes d'attribut.
+ *
+ * @implements ProcessorInterface<CarrierAddress, null|CarrierAddress>
+ */
+final class CarrierAddressProcessor implements ProcessorInterface
+{
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly EntityManagerInterface $em,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof CarrierAddress) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+        $this->guardCharteredAddress($data);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache l'adresse au transporteur parent de la sous-ressource POST
+     * (/carriers/{carrierId}/addresses) : la relation n'est pas peuplee
+     * automatiquement par le Link sur une ecriture. Sur PATCH, no-op.
+     */
+    private function linkParent(CarrierAddress $address, array $uriVariables): void
+    {
+        if (null !== $address->getCarrier()) {
+            return;
+        }
+
+        $carrierId = $uriVariables['carrierId'] ?? null;
+        if (null === $carrierId) {
+            return;
+        }
+
+        $carrier = $carrierId instanceof Carrier
+            ? $carrierId
+            : $this->em->getRepository(Carrier::class)->find($carrierId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte carrier_id NOT NULL).
+        if (!$carrier instanceof Carrier) {
+            throw new NotFoundHttpException('Transporteur introuvable.');
+        }
+
+        $address->setCarrier($carrier);
+    }
+
+    /**
+     * RG-4.05 : si le transporteur parent est affrete (isChartered), l'adresse doit
+     * porter Pays / Code postal / Ville / Adresse. Chaque champ manquant -> une
+     * violation 422 sur son propre propertyPath (mapping inline ERP-101). La
+     * validation porte sur l'ETAT RESULTANT de l'adresse (apres application du
+     * payload), donc identique sur POST et sur PATCH partiel. Sans affretement,
+     * l'adresse reste partielle (champs nullable, RG-4.06 inchangee).
+     */
+    private function guardCharteredAddress(CarrierAddress $address): void
+    {
+        $carrier = $address->getCarrier();
+        if (!$carrier instanceof Carrier || !$carrier->isChartered()) {
+            return;
+        }
+
+        $required = [
+            'country'    => [$address->getCountry(), 'Le pays est obligatoire pour un transporteur affrété.'],
+            'postalCode' => [$address->getPostalCode(), 'Le code postal est obligatoire pour un transporteur affrété.'],
+            'city'       => [$address->getCity(), 'La ville est obligatoire pour un transporteur affrété.'],
+            'street'     => [$address->getStreet(), 'L\'adresse est obligatoire pour un transporteur affrété.'],
+        ];
+
+        $violations = new ConstraintViolationList();
+        foreach ($required as $path => [$value, $message]) {
+            if (null === $value || '' === trim($value)) {
+                $violations->add(new ConstraintViolation($message, null, [], $address, $path, $value));
+            }
+        }
+
+        if (0 < $violations->count()) {
+            throw new ValidationException($violations);
+        }
+    }
+}
@@ -0,0 +1,235 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Transport\Application\Service\CarrierFieldNormalizer;
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierContact;
+use Doctrine\ORM\EntityManagerInterface;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+use function count;
+use function is_string;
+
+/**
+ * Processor d'ecriture de la sous-ressource Contact d'un transporteur (M4,
+ * spec-back § 4.5). Jumeau du SupplierContactProcessor (M2), recentre sur le
+ * perimetre ERP-160, AVEC deux specificites M4 : RG-4.08 (≥ 1 champ rempli, max
+ * 2 telephones) portee a la fois par le CHECK BDD chk_carrier_contact_filled et
+ * par ce Processor.
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au transporteur parent (linkParent),
+ *    normalisation serveur RG-4.13 (prenom/nom Title Case, email lowercase),
+ *    mapping du tableau d'ecriture `phones` -> phonePrimary/phoneSecondary
+ *    (max 2, chiffres uniquement), puis garde RG-4.08 (≥ 1 champ) avant
+ *    persistance.
+ *  - DELETE : aucune regle metier specifique (suppression physique directe).
+ *
+ * RG-4.08 vit ICI (double du CHECK BDD) pour transformer une violation SQL (500
+ * generique) en 422 propre rattachee au champ `firstName` (mapping inline
+ * ERP-101). Le « max 2 telephones » est rattache au champ `phones` : seul
+ * point de saisie des numeros (les colonnes phonePrimary/phoneSecondary sont en
+ * lecture seule).
+ *
+ * La security d'operation (transport.carriers.manage) est appliquee par API
+ * Platform en amont, de meme que la validation Symfony des contraintes d'attribut
+ * (Assert\Email, Assert\Length...).
+ *
+ * @implements ProcessorInterface<CarrierContact, null|CarrierContact>
+ */
+final class CarrierContactProcessor implements ProcessorInterface
+{
+    /** RG-4.08 : nombre maximal de telephones par contact. */
+    private const int MAX_PHONES = 2;
+
+    /** Longueur max d'un telephone normalise (colonne VARCHAR(20)). */
+    private const int PHONE_MAX_LENGTH = 20;
+
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly CarrierFieldNormalizer $normalizer,
+        private readonly EntityManagerInterface $em,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof CarrierContact) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+        $this->normalize($data);
+        $this->applyPhones($data);
+        $this->validateAtLeastOneField($data);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache le contact au transporteur parent de la sous-ressource POST
+     * (/carriers/{carrierId}/contacts) : la relation n'est pas peuplee
+     * automatiquement par le Link sur une ecriture. Sur PATCH (entite existante),
+     * le transporteur est deja present -> no-op.
+     */
+    private function linkParent(CarrierContact $contact, array $uriVariables): void
+    {
+        if (null !== $contact->getCarrier()) {
+            return;
+        }
+
+        $carrierId = $uriVariables['carrierId'] ?? null;
+        if (null === $carrierId) {
+            return;
+        }
+
+        $carrier = $carrierId instanceof Carrier
+            ? $carrierId
+            : $this->em->getRepository(Carrier::class)->find($carrierId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte carrier_id NOT NULL).
+        if (!$carrier instanceof Carrier) {
+            throw new NotFoundHttpException('Transporteur introuvable.');
+        }
+
+        $contact->setCarrier($carrier);
+    }
+
+    /**
+     * Normalisation serveur RG-4.13 des champs texte. Toutes les methodes du
+     * normalizer sont null-safe : une chaine vide apres trim devient null (donc la
+     * garde RG-4.08 detecte bien « champ non rempli »). Les telephones sont
+     * traites a part (applyPhones).
+     */
+    private function normalize(CarrierContact $contact): void
+    {
+        $contact->setFirstName($this->normalizer->normalizePersonName($contact->getFirstName()));
+        $contact->setLastName($this->normalizer->normalizePersonName($contact->getLastName()));
+        $contact->setJobTitle($this->blankToNull($contact->getJobTitle()));
+        $contact->setEmail($this->normalizer->normalizeEmail($contact->getEmail()));
+    }
+
+    /**
+     * Mappe le tableau d'ecriture `phones` (max 2, RG-4.08) vers phonePrimary /
+     * phoneSecondary apres normalisation RG-4.13 (chiffres uniquement). Les
+     * numeros vides (sans chiffre) sont ecartes. null = champ non fourni (PATCH
+     * partiel) -> on ne touche pas aux telephones existants. Un 3e numero
+     * exploitable, ou un numero trop long (> colonne VARCHAR(20)), -> 422 sur
+     * `phones`.
+     */
+    private function applyPhones(CarrierContact $contact): void
+    {
+        $phones = $contact->getPhones();
+        if (null === $phones) {
+            return;
+        }
+
+        $normalized = [];
+        foreach ($phones as $phone) {
+            $digits = $this->normalizer->normalizePhone(is_string($phone) ? $phone : null);
+            if (null !== $digits) {
+                $normalized[] = $digits;
+            }
+        }
+
+        $violations = new ConstraintViolationList();
+        if (self::MAX_PHONES < count($normalized)) {
+            $violations->add(new ConstraintViolation(
+                'Un contact ne peut comporter plus de deux téléphones.',
+                null,
+                [],
+                $contact,
+                'phones',
+                $phones,
+            ));
+        }
+        foreach ($normalized as $digits) {
+            if (self::PHONE_MAX_LENGTH < mb_strlen($digits)) {
+                $violations->add(new ConstraintViolation(
+                    'Un numéro de téléphone ne peut dépasser '.self::PHONE_MAX_LENGTH.' caractères.',
+                    null,
+                    [],
+                    $contact,
+                    'phones',
+                    $phones,
+                ));
+
+                break;
+            }
+        }
+
+        if (0 < $violations->count()) {
+            throw new ValidationException($violations);
+        }
+
+        $contact->setPhonePrimary($normalized[0] ?? null);
+        $contact->setPhoneSecondary($normalized[1] ?? null);
+        // Nettoie le champ virtuel (non persiste, mais evite toute fuite ulterieure).
+        $contact->setPhones(null);
+    }
+
+    /**
+     * RG-4.08 : un bloc Contact est valide des qu'au moins 1 champ est rempli
+     * (firstName, lastName, jobTitle, phonePrimary ou email — meme perimetre que
+     * le CHECK BDD chk_carrier_contact_filled, qui exclut phoneSecondary). Double
+     * garde : leve une 422 propre rattachee a `firstName` plutot qu'une 500 SQL.
+     * Joue apres normalisation + mapping telephones, donc les chaines vides sont
+     * deja ramenees a null.
+     */
+    private function validateAtLeastOneField(CarrierContact $contact): void
+    {
+        if (
+            null === $contact->getFirstName()
+            && null === $contact->getLastName()
+            && null === $contact->getJobTitle()
+            && null === $contact->getPhonePrimary()
+            && null === $contact->getEmail()
+        ) {
+            $violations = new ConstraintViolationList();
+            $violations->add(new ConstraintViolation(
+                'Renseignez au moins un champ pour le contact.',
+                null,
+                [],
+                $contact,
+                'firstName',
+                null,
+            ));
+
+            throw new ValidationException($violations);
+        }
+    }
+
+    /**
+     * Trim + chaine vide -> null (la fonction n'est pas normalisee en casse,
+     * contrairement aux noms de personne). Garantit que RG-4.08 detecte un champ
+     * « non rempli » meme si le client envoie une chaine vide.
+     */
+    private function blankToNull(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        $value = trim($value);
+
+        return '' === $value ? null : $value;
+    }
+}
@@ -0,0 +1,170 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierPrice;
+use Doctrine\ORM\EntityManagerInterface;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Processor d'ecriture de la sous-ressource Prix d'un transporteur (M4,
+ * spec-back § 4.5, ERP-161). Jumeau des CarrierAddressProcessor / CarrierContactProcessor.
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au transporteur parent (linkParent) puis
+ *    validation de la coherence de branche CLIENT/FOURNISSEUR (RG-4.09→4.11).
+ *  - DELETE : suppression physique directe (aucune regle metier specifique).
+ *
+ * RG-4.10 (branche CLIENT) : `client`, `clientDeliveryAddress`, `departureSite`
+ * obligatoires ; l'adresse de livraison doit appartenir au client choisi.
+ * RG-4.11 (branche FOURNISSEUR) : `supplier`, `supplierSupplyAddress`,
+ * `deliverySite` obligatoires ; l'adresse d'appro doit appartenir au fournisseur.
+ * Ces RG vivent ICI (et non en contrainte d'attribut) car elles dependent de
+ * relations resolues a la denormalisation (et le parent carrier est indisponible
+ * en validation Symfony sur un POST sous-ressource read:false). On nettoie aussi
+ * la branche opposee (les CHECK BDD imposent ses colonnes nulles) — transforme une
+ * violation SQL (500) en 422 propre rattachee au champ (mapping inline ERP-101).
+ *
+ * Les champs communs obligatoires (direction, containerType, pricingUnit, price,
+ * priceState) sont valides en amont par les contraintes d'attribut (Assert\NotBlank
+ * + Assert\Choice), de meme que la security d'operation (transport.carriers.manage).
+ *
+ * @implements ProcessorInterface<CarrierPrice, null|CarrierPrice>
+ */
+final class CarrierPriceProcessor implements ProcessorInterface
+{
+    private const string DIRECTION_CLIENT = 'CLIENT';
+
+    private const string DIRECTION_SUPPLIER = 'FOURNISSEUR';
+
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly EntityManagerInterface $em,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof CarrierPrice) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+        $this->validateBranch($data);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache le prix au transporteur parent de la sous-ressource POST
+     * (/carriers/{carrierId}/prices) : la relation n'est pas peuplee
+     * automatiquement par le Link sur une ecriture. Sur PATCH (entite existante),
+     * le transporteur est deja present -> no-op.
+     */
+    private function linkParent(CarrierPrice $price, array $uriVariables): void
+    {
+        if (null !== $price->getCarrier()) {
+            return;
+        }
+
+        $carrierId = $uriVariables['carrierId'] ?? null;
+        if (null === $carrierId) {
+            return;
+        }
+
+        $carrier = $carrierId instanceof Carrier
+            ? $carrierId
+            : $this->em->getRepository(Carrier::class)->find($carrierId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte carrier_id NOT NULL).
+        if (!$carrier instanceof Carrier) {
+            throw new NotFoundHttpException('Transporteur introuvable.');
+        }
+
+        $price->setCarrier($carrier);
+    }
+
+    /**
+     * RG-4.09→4.11 : valide la coherence de la branche active (CLIENT vs
+     * FOURNISSEUR) et nettoie la branche opposee (les CHECK BDD imposent ses
+     * colonnes nulles). Toutes les violations sont collectees puis renvoyees d'un
+     * coup (un seul aller-retour, mapping inline par champ — ERP-101). La direction
+     * elle-meme est deja garantie CLIENT|FOURNISSEUR par Assert\NotBlank + Choice.
+     */
+    private function validateBranch(CarrierPrice $price): void
+    {
+        $violations = new ConstraintViolationList();
+
+        if (self::DIRECTION_CLIENT === $price->getDirection()) {
+            $this->requireField($violations, $price, 'client', $price->getClient(), 'Le client est obligatoire pour un prix client.');
+            $this->requireField($violations, $price, 'clientDeliveryAddress', $price->getClientDeliveryAddress(), 'L\'adresse de livraison du client est obligatoire pour un prix client.');
+            $this->requireField($violations, $price, 'departureSite', $price->getDepartureSite(), 'Le site de depart est obligatoire pour un prix client.');
+
+            // RG-4.10 : l'adresse de livraison doit appartenir au client choisi.
+            $client  = $price->getClient();
+            $address = $price->getClientDeliveryAddress();
+            if (null !== $client && null !== $address && $address->getClient()?->getId() !== $client->getId()) {
+                $violations->add($this->violation($price, 'clientDeliveryAddress', 'L\'adresse de livraison doit appartenir au client selectionne.'));
+            }
+
+            // Coherence CHECK chk_carrier_price_client_branch : branche fournisseur nulle.
+            $price->setSupplier(null);
+            $price->setSupplierSupplyAddress(null);
+            $price->setDeliverySite(null);
+        } elseif (self::DIRECTION_SUPPLIER === $price->getDirection()) {
+            $this->requireField($violations, $price, 'supplier', $price->getSupplier(), 'Le fournisseur est obligatoire pour un prix fournisseur.');
+            $this->requireField($violations, $price, 'supplierSupplyAddress', $price->getSupplierSupplyAddress(), 'L\'adresse d\'approvisionnement est obligatoire pour un prix fournisseur.');
+            $this->requireField($violations, $price, 'deliverySite', $price->getDeliverySite(), 'Le site de livraison est obligatoire pour un prix fournisseur.');
+
+            // RG-4.11 : l'adresse d'appro doit appartenir au fournisseur choisi.
+            $supplier = $price->getSupplier();
+            $address  = $price->getSupplierSupplyAddress();
+            if (null !== $supplier && null !== $address && $address->getSupplier()?->getId() !== $supplier->getId()) {
+                $violations->add($this->violation($price, 'supplierSupplyAddress', 'L\'adresse d\'approvisionnement doit appartenir au fournisseur selectionne.'));
+            }
+
+            // Coherence CHECK chk_carrier_price_supplier_branch : branche client nulle.
+            $price->setClient(null);
+            $price->setClientDeliveryAddress(null);
+            $price->setDepartureSite(null);
+        }
+
+        if (0 < $violations->count()) {
+            throw new ValidationException($violations);
+        }
+    }
+
+    /**
+     * Ajoute une violation « champ obligatoire » sur `$path` si la relation est
+     * absente (branche active, RG-4.10/4.11).
+     */
+    private function requireField(ConstraintViolationList $violations, CarrierPrice $price, string $path, ?object $value, string $message): void
+    {
+        if (null === $value) {
+            $violations->add($this->violation($price, $path, $message));
+        }
+    }
+
+    private function violation(CarrierPrice $price, string $path, string $message): ConstraintViolation
+    {
+        return new ConstraintViolation($message, null, [], $price, $path, null);
+    }
+}
@@ -0,0 +1,64 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\ApiPlatform\State\Provider;
+
+use ApiPlatform\Doctrine\Orm\Paginator;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\Pagination\Pagination;
+use ApiPlatform\State\ProviderInterface;
+use App\Module\Transport\Domain\Entity\QualimatCarrier;
+use App\Module\Transport\Domain\Repository\QualimatCarrierRepositoryInterface;
+use Doctrine\ORM\Tools\Pagination\Paginator as DoctrinePaginator;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+
+/**
+ * Provider de la saisie assistee QUALIMAT (spec-back § 4.7 / RG-4.01).
+ *
+ * GET /api/qualimat_carriers?search=<texte> :
+ *  - restreint aux lignes actives (is_active = true) — regle serveur, pas un
+ *    filtre client desactivable ;
+ *  - recherche fuzzy insensible a la casse sur name (+ siret) ;
+ *  - tri par name ASC ;
+ *  - pagination Hydra (regle n°13) + echappatoire ?pagination=false (selects).
+ *
+ * Branche uniquement sur la GetCollection ; le Get unitaire reste servi par le
+ * provider ORM par defaut (lecture seule, aucune ecriture exposee).
+ *
+ * @implements ProviderInterface<QualimatCarrier>
+ */
+final class QualimatCarrierSearchProvider implements ProviderInterface
+{
+    public function __construct(
+        #[Autowire(service: 'App\Module\Transport\Infrastructure\Doctrine\DoctrineQualimatCarrierRepository')]
+        private readonly QualimatCarrierRepositoryInterface $repository,
+        private readonly Pagination $pagination,
+    ) {}
+
+    /**
+     * @return list<QualimatCarrier>|Paginator<QualimatCarrier>
+     */
+    public function provide(Operation $operation, array $uriVariables = [], array $context = []): array|Paginator
+    {
+        $filters = $context['filters'] ?? [];
+        $search  = $filters['search'] ?? null;
+
+        $qb = $this->repository->createSearchQueryBuilder(is_string($search) ? $search : null);
+
+        // Echappatoire ?pagination=false : collection complete (selects front).
+        if (!$this->pagination->isEnabled($operation, $context)) {
+            /** @var list<QualimatCarrier> $carriers */
+            return $qb->getQuery()->getResult();
+        }
+
+        $limit  = $this->pagination->getLimit($operation, $context);
+        $page   = max(1, $this->pagination->getPage($context));
+        $offset = ($page - 1) * $limit;
+
+        $qb->setFirstResult($offset)->setMaxResults($limit);
+
+        // fetchJoinCollection: false — aucune jointure to-many (referentiel plat).
+        return new Paginator(new DoctrinePaginator($qb->getQuery(), fetchJoinCollection: false));
+    }
+}
@@ -0,0 +1,158 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\Controller;
+
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Repository\CarrierRepositoryInterface;
+use App\Shared\Domain\Contract\SpreadsheetExporterInterface;
+use DateTimeImmutable;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpFoundation\Request;
+use Symfony\Component\HttpFoundation\Response;
+use Symfony\Component\HttpKernel\Attribute\AsController;
+use Symfony\Component\Routing\Attribute\Route;
+use Symfony\Component\Security\Http\Attribute\IsGranted;
+
+/**
+ * Export XLSX du repertoire transporteurs (M4, spec-back § 4.6). Jumeau des
+ * controllers d'export SupplierExportController (M2) / ProviderExportController
+ * (M3) — references en prose volontairement (pas de {@see} : un import
+ * inter-module violerait la regle ABSOLUE n°1). Simplifie : pas de cloisonnement
+ * par site (§ 2.3) ni de colonne gatee par une permission comptable.
+ *
+ * Controller Symfony custom (et non operation API Platform) car il produit un
+ * binaire de fichier, pas une representation Hydra. `priority: 1` est OBLIGATOIRE
+ * sur la route : sans cela API Platform capterait `/api/carriers/export.xlsx`
+ * comme l'item `GET /api/carriers/{id}.{_format}` (id="export", _format="xlsx")
+ * — cf. CLAUDE.md « controller custom sous /api ».
+ *
+ * Separation des responsabilites :
+ *  - le COMMENT (generation du fichier) est delegue au service Shared
+ *    {@see SpreadsheetExporterInterface} — generique, reutilisable, sans metier ;
+ *  - le QUOI vit ICI : selection des transporteurs (MEMES filtres que
+ *    `GET /api/carriers`, via {@see CarrierRepositoryInterface::createListQueryBuilder()}
+ *    — l'export reflete exactement ce que l'utilisateur voit a l'ecran) et mapping
+ *    metier des colonnes.
+ */
+#[AsController]
+final class CarrierExportController
+{
+    public function __construct(
+        #[Autowire(service: 'App\Module\Transport\Infrastructure\Doctrine\DoctrineCarrierRepository')]
+        private readonly CarrierRepositoryInterface $repository,
+        private readonly SpreadsheetExporterInterface $exporter,
+    ) {}
+
+    #[Route('/api/carriers/export.xlsx', name: 'transport_carriers_export_xlsx', methods: ['GET'], priority: 1)]
+    #[IsGranted('transport.carriers.view')]
+    public function __invoke(Request $request): Response
+    {
+        // Memes filtres que la vue liste (CarrierProvider) pour que l'export
+        // reflete exactement ce que l'utilisateur voit a l'ecran :
+        //  - includeArchived : reintegre les archives en plus des actifs ;
+        //  - search          : recherche fuzzy sur le nom ;
+        //  - certificationType : filtre repetable (?certificationType[]=A&...).
+        $includeArchived    = $this->readBool($request->query->get('includeArchived'));
+        $search             = $request->query->getString('search') ?: null;
+        $certificationTypes = $this->readStringList($request->query->all()['certificationType'] ?? []);
+
+        /** @var list<Carrier> $carriers */
+        $carriers = $this->repository
+            ->createListQueryBuilder($includeArchived, $search, $certificationTypes)
+            ->getQuery()
+            ->getResult()
+        ;
+
+        $binary = $this->exporter->export(
+            'Répertoire transporteurs',
+            $this->buildHeaders(),
+            $this->buildRows($carriers),
+        );
+
+        return $this->buildResponse($binary);
+    }
+
+    /**
+     * Colonnes de l'export (spec § 4.6).
+     *
+     * @return list<string>
+     */
+    private function buildHeaders(): array
+    {
+        return [
+            'Nom',
+            'Certification',
+            'Statut QUALIMAT',
+            'Date de validité',
+            'Affrété',
+            'Volume m³',
+            'Date de création',
+        ];
+    }
+
+    /**
+     * @param list<Carrier> $carriers
+     *
+     * @return iterable<list<null|scalar>>
+     */
+    private function buildRows(array $carriers): iterable
+    {
+        foreach ($carriers as $carrier) {
+            // Statut / date de validite proviennent du referentiel QUALIMAT lie
+            // (RG-4.04), deja fetch-joine par le repository (anti N+1, § 2.11).
+            $qualimat = $carrier->getQualimatCarrier();
+
+            yield [
+                $carrier->getName(),
+                $carrier->getCertificationType() ?? '',
+                $qualimat?->getStatus() ?? '',
+                $qualimat?->getValidityDate()?->format('d/m/Y') ?? '',
+                $carrier->isChartered() ? 'Oui' : 'Non',
+                $carrier->getVolumeM3() ?? '',
+                $carrier->getCreatedAt()?->format('d/m/Y'),
+            ];
+        }
+    }
+
+    private function buildResponse(string $binary): Response
+    {
+        $filename = sprintf('repertoire-transporteurs-%s.xlsx', new DateTimeImmutable()->format('Ymd'));
+
+        $response = new Response($binary);
+        $response->headers->set('Content-Type', 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet');
+        $response->headers->set('Content-Disposition', sprintf('attachment; filename="%s"', $filename));
+
+        return $response;
+    }
+
+    /**
+     * Lit un flag booleen issu des query params. Accepte true / "true" / "1".
+     * Aligne sur CarrierProvider pour un comportement identique a la liste.
+     */
+    private function readBool(mixed $raw): bool
+    {
+        return is_string($raw) && in_array(strtolower($raw), ['true', '1'], true);
+    }
+
+    /**
+     * Normalise un filtre en liste de chaines (valeur unique ou liste).
+     * Aligne sur CarrierProvider pour un comportement identique a la liste.
+     *
+     * @return list<string>
+     */
+    private function readStringList(mixed $raw): array
+    {
+        $values = is_array($raw) ? $raw : [$raw];
+
+        $out = [];
+        foreach ($values as $value) {
+            if (is_string($value) && '' !== trim($value)) {
+                $out[] = trim($value);
+            }
+        }
+
+        return $out;
+    }
+}
@@ -0,0 +1,170 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\Controller;
+
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierPrice;
+use App\Module\Transport\Domain\Repository\CarrierRepositoryInterface;
+use App\Shared\Domain\Contract\SpreadsheetExporterInterface;
+use DateTimeImmutable;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpFoundation\Response;
+use Symfony\Component\HttpKernel\Attribute\AsController;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Routing\Attribute\Route;
+use Symfony\Component\Security\Http\Attribute\IsGranted;
+
+/**
+ * Export XLSX du tableau Prix d'un transporteur (M4, spec-back § 4.6 / spec-front
+ * § « Onglet Prix »). Reproduit le tableau de consultation regroupe par type de
+ * contenant (Fond Mouvant / Benne — colonnes du docx p.10).
+ *
+ * Controller Symfony custom (binaire de fichier, pas une representation Hydra).
+ * `priority: 1` est OBLIGATOIRE : sans cela API Platform capterait
+ * `/api/carriers/{id}/prices/export.xlsx` via ses routes generiques.
+ *
+ * Separation des responsabilites : le COMMENT (generation) est delegue au service
+ * Shared {@see SpreadsheetExporterInterface} ; le QUOI (chargement du transporteur,
+ * regroupement par contenant, mapping metier des colonnes) vit ICI.
+ *
+ * Adresses cross-module : les contrats Shared (ClientInterface / SupplierInterface
+ * / SiteInterface) exposent volontairement le minimum (regle ABSOLUE n°1). Faute
+ * d'acceder au detail postal d'une adresse Client/Fournisseur sans coupler au
+ * module Commercial, les colonnes d'adresse identifient le point par le libelle
+ * disponible : nom du site pour un Site, raison sociale du client/fournisseur pour
+ * une adresse de livraison/approvisionnement.
+ */
+#[AsController]
+final class CarrierPriceExportController
+{
+    /** Libelles d'affichage des enums (spec-front « Onglet Prix »). */
+    private const array CONTAINER_LABELS = ['BENNE' => 'Benne', 'FOND_MOUVANT' => 'Fond Mouvant'];
+
+    private const array PRICE_STATE_LABELS = [
+        'EN_COURS'   => 'En cours',
+        'VALIDE'     => 'Validé',
+        'NON_VALIDE' => 'Non validé',
+    ];
+
+    public function __construct(
+        #[Autowire(service: 'App\Module\Transport\Infrastructure\Doctrine\DoctrineCarrierRepository')]
+        private readonly CarrierRepositoryInterface $repository,
+        private readonly SpreadsheetExporterInterface $exporter,
+    ) {}
+
+    #[Route('/api/carriers/{id}/prices/export.xlsx', name: 'transport_carrier_prices_export_xlsx', requirements: ['id' => '\d+'], methods: ['GET'], priority: 1)]
+    #[IsGranted('transport.carriers.view')]
+    public function __invoke(int $id): Response
+    {
+        $carrier = $this->repository->findById($id);
+        // Soft-delete jamais expose (comme CarrierProvider::provideItem) : 404.
+        if (null === $carrier || null !== $carrier->getDeletedAt()) {
+            throw new NotFoundHttpException('Transporteur introuvable.');
+        }
+
+        $binary = $this->exporter->export(
+            'Prix transporteur',
+            $this->buildHeaders(),
+            $this->buildRows($carrier),
+        );
+
+        return $this->buildResponse($carrier, $binary);
+    }
+
+    /**
+     * Colonnes du tableau Prix regroupe (spec-front « Onglet Prix » / docx p.10).
+     *
+     * @return list<string>
+     */
+    private function buildHeaders(): array
+    {
+        return [
+            'Type de contenant',
+            'Transporteurs',
+            'Adresse APRO ou Adresse Sites',
+            'Adresse livraisons',
+            'Forfait €',
+            'Tonne €',
+            'Indexation',
+            'État du prix',
+        ];
+    }
+
+    /**
+     * Lignes regroupees par type de contenant (Fond Mouvant / Benne). On trie les
+     * prix par contenant puis position pour materialiser le regroupement.
+     *
+     * @return iterable<list<null|scalar>>
+     */
+    private function buildRows(Carrier $carrier): iterable
+    {
+        $prices = $carrier->getPrices()->toArray();
+        usort(
+            $prices,
+            static fn (CarrierPrice $a, CarrierPrice $b): int => [$a->getContainerType(), $a->getPosition()]
+                <=> [$b->getContainerType(), $b->getPosition()],
+        );
+
+        // Indexation : portee par le transporteur (RG-4.03), identique pour toutes
+        // ses lignes de prix. Vide si non renseigne (spec-front).
+        $indexation = $carrier->getIndexationRate() ?? '';
+
+        foreach ($prices as $price) {
+            $isForfait = 'FORFAIT' === $price->getPricingUnit();
+
+            yield [
+                self::CONTAINER_LABELS[$price->getContainerType()] ?? $price->getContainerType(),
+                $carrier->getName(),
+                $this->formatDeparture($price),
+                $this->formatDelivery($price),
+                $isForfait ? $price->getPrice() : '',
+                $isForfait ? '' : $price->getPrice(),
+                $indexation,
+                self::PRICE_STATE_LABELS[$price->getPriceState()] ?? $price->getPriceState(),
+            ];
+        }
+    }
+
+    /**
+     * Point de depart du prix (colonne « Adresse APRO ou Adresse Sites ») :
+     *  - branche CLIENT  : le site de depart (un des 3 sites 86/17/82) ;
+     *  - branche FOURNISSEUR : l'adresse d'approvisionnement, identifiee par la
+     *    raison sociale du fournisseur (cf. note de classe sur les contrats Shared).
+     */
+    private function formatDeparture(CarrierPrice $price): string
+    {
+        if ('CLIENT' === $price->getDirection()) {
+            return $price->getDepartureSite()?->getName() ?? '';
+        }
+
+        return $price->getSupplierSupplyAddress()?->getSupplier()?->getCompanyName() ?? '';
+    }
+
+    /**
+     * Point de livraison du prix (colonne « Adresse livraisons ») :
+     *  - branche CLIENT  : l'adresse de livraison, identifiee par la raison sociale
+     *    du client ;
+     *  - branche FOURNISSEUR : le site de livraison (un des 3 sites 86/17/82).
+     */
+    private function formatDelivery(CarrierPrice $price): string
+    {
+        if ('CLIENT' === $price->getDirection()) {
+            return $price->getClientDeliveryAddress()?->getClient()?->getCompanyName() ?? '';
+        }
+
+        return $price->getDeliverySite()?->getName() ?? '';
+    }
+
+    private function buildResponse(Carrier $carrier, string $binary): Response
+    {
+        $filename = sprintf('prix-transporteur-%d-%s.xlsx', (int) $carrier->getId(), new DateTimeImmutable()->format('Ymd'));
+
+        $response = new Response($binary);
+        $response->headers->set('Content-Type', 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet');
+        $response->headers->set('Content-Disposition', sprintf('attachment; filename="%s"', $filename));
+
+        return $response;
+    }
+}
@@ -4,48 +4,311 @@ declare(strict_types=1);

 namespace App\Module\Transport\Infrastructure\DataFixtures;

+use App\Module\Commercial\Infrastructure\DataFixtures\ClientFixtures;
+use App\Module\Commercial\Infrastructure\DataFixtures\SupplierFixtures;
+use App\Module\Sites\Infrastructure\DataFixtures\SitesFixtures;
+use App\Module\Transport\Application\Service\CarrierFieldNormalizer;
 use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierAddress;
 use App\Module\Transport\Domain\Entity\CarrierContact;
+use App\Module\Transport\Domain\Entity\CarrierPrice;
+use App\Module\Transport\Domain\Entity\QualimatCarrier;
+use App\Shared\Domain\Contract\ClientAddressInterface;
+use App\Shared\Domain\Contract\SiteInterface;
+use App\Shared\Domain\Contract\SiteProviderInterface;
+use App\Shared\Domain\Contract\SupplierAddressInterface;
+use App\Shared\Domain\Entity\UploadedDocument;
+use DateTimeImmutable;
 use Doctrine\Bundle\FixturesBundle\Fixture;
+use Doctrine\Common\DataFixtures\DependentFixtureInterface;
+use Doctrine\ORM\EntityManagerInterface;
 use Doctrine\Persistence\ObjectManager;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;

 /**
- * Fixtures dev/test MINIMALES du repertoire transporteurs (M4, ERP-155/157) :
- * 2 transporteurs de demonstration suffisant a faire tourner les ecrans de
- * lecture (liste + detail). Les fixtures completes (cas QUALIMAT, affrete,
- * LIOT, prix CLIENT/FOURNISSEUR...) sont livrees par le worktree dedie (WT10) —
- * ne pas les developper ici (scope WT3 : contrat de lecture).
+ * Fixtures dev/demo du repertoire transporteurs (M4) couvrant l'ensemble des cas
+ * metier RG-4.xx, jumelles des fixtures fournisseurs (M2). C'est ICI que vivent
+ * les fixtures COMPLETES (les maillons WT precedents s'etaient limites a un stub
+ * de lecture). Cas pivots seedes (§ 8.4) :
+ *  - 1 transporteur QUALIMAT (lien `qualimat_carrier` + adresse copiee +
+ *    validityDate PASSEE pour exercer le fond rouge RG-4.04) ;
+ *  - 1 transporteur AUTRE + Decharge (UploadedDocument, RG-4.02) ;
+ *  - 1 transporteur affrete (indexation + benne + volume obligatoires, RG-4.03) ;
+ *  - 1 transporteur LIOT (immatriculations, certification non requise, RG-4.01) ;
+ *  - 1 transporteur COMPLET : contacts + adresses + prix CLIENT et FOURNISSEUR ;
+ *  - 1 transporteur archive (exclusion liste + restauration, RG-4.14).
 *
- * Aucune dependance cross-module (pas de prix, pas de lien QUALIMAT) : la
- * fixture reste autonome et joue en fin de chaine sans contrainte d'ordre.
+ * Resolution inter-modules conforme a la regle n°1 (pas d'import de logique) :
+ *  - sites resolus via le contrat Shared SiteProviderInterface ;
+ *  - client/adresse et fournisseur/adresse des prix resolus via les contrats
+ *    Shared ClientAddressInterface / SupplierAddressInterface (relations ORM
+ *    partagees, RG-4.10/4.11). Si la demo Commercial/Sites n'est pas chargee, les
+ *    prix sont simplement omis (le reste de la fiche reste seede).
+ *
+ * Normalisation : valeurs fournies BRUTES puis normalisees par
+ * CarrierFieldNormalizer avant persist, comme le ferait le CarrierProcessor via
+ * l'API (name UPPERCASE, first/last Capitalize, telephones chiffres seuls, email
+ * lowercase, liotPlates « ; »-normalise).
+ *
+ * Idempotence : lookup par `name` normalise (coherent avec l'index unique partiel
+ * uq_carrier_name_active). Un transporteur deja present n'est pas reconstruit (ses
+ * sous-collections ne sont pas redupliquees). Rejouable sans doublon.
+ *
+ * Audit / Blamable : persist hors contexte HTTP -> created_by / updated_by
+ * restent null (« Systeme » cote front), c'est attendu.
+ *
+ * Portee : DONNEES DE DEMONSTRATION (dev uniquement). En environnement `test`, la
+ * fixture ne charge rien : les tests seedent et nettoient leurs propres
+ * transporteurs et comptent sur une table `carrier` vierge — y injecter des
+ * transporteurs de demo casserait les comptages de liste et les cleanups. Meme
+ * garde-fou que ClientFixtures / SupplierFixtures.
 */
-final class CarrierFixtures extends Fixture
+class CarrierFixtures extends Fixture implements DependentFixtureInterface
 {
+    /** SIRET de la ligne qualimat_carrier de demo (cle naturelle, insert idempotent). */
+    private const string QUALIMAT_DEMO_SIRET = '90000000000017';
+
+    public function __construct(
+        private readonly CarrierFieldNormalizer $normalizer,
+        private readonly SiteProviderInterface $siteProvider,
+        #[Autowire('%kernel.environment%')]
+        private readonly string $environment,
+    ) {}
+
+    /**
+     * @return array<int, class-string>
+     */
+    public function getDependencies(): array
+    {
+        // Les prix referencent des Client/Supplier/Site de demo (relations ORM
+        // partagees) : ces fixtures doivent tourner avant.
+        return [
+            SitesFixtures::class,
+            ClientFixtures::class,
+            SupplierFixtures::class,
+        ];
+    }
+
    public function load(ObjectManager $manager): void
    {
-        // Transporteur certifie « classique ».
-        $alpha = new Carrier();
-        $alpha->setName('TRANSPORTS ALPHA');
-        $alpha->setCertificationType('GMP_PLUS');
-        $manager->persist($alpha);
+        // Donnees de demo : dev uniquement. En test, on laisse la table vierge.
+        if ('test' === $this->environment) {
+            return;
+        }

-        $contact = new CarrierContact();
-        $contact->setCarrier($alpha);
-        $contact->setLastName('Durand');
-        $contact->setPhonePrimary('0612345678');
-        $alpha->addContact($contact);
-        $manager->persist($contact);
+        // === Transporteur QUALIMAT (RG-4.01) — adresse copiee + validite PASSEE (RG-4.04) ===
+        [$grelillier, $isNew] = $this->ensureCarrier($manager, 'Transports Grelillier');
+        if ($isNew) {
+            $grelillier->setQualimatCarrier($this->ensureQualimatDemoLine($manager));
+            $grelillier->setCertificationType('QUALIMAT');
+            // Adresse pre-remplie depuis la copie QUALIMAT (RG-4.05).
+            $this->addAddress($grelillier, '86000', 'Poitiers', '12 rue des Acacias');
+            $this->addContact($grelillier, 'Marie', 'Martin', 'Exploitation', '06 12 34 56 78', null, 'marie.martin@grelillier.fr');
+        }

-        // Transporteur affrete (RG-4.03).
-        $beta = new Carrier();
-        $beta->setName('TRANSPORTS BETA');
-        $beta->setCertificationType('AUTRE');
-        $beta->setIsChartered(true);
-        $beta->setIndexationRate('5.00');
-        $beta->setContainerType('BENNE');
-        $beta->setVolumeM3('90.00');
-        $manager->persist($beta);
+        // === Transporteur AUTRE + Decharge (RG-4.02) ===
+        [$pandele, $isNew] = $this->ensureCarrier($manager, 'Transports Pandele');
+        if ($isNew) {
+            $pandele->setCertificationType('AUTRE');
+            $pandele->setDischargeDocument($this->buildDischargeDocument($manager));
+            $this->addContact($pandele, 'Luc', 'Pandele', 'Gerant', '05 49 11 22 33', null, 'luc.pandele@pandele.fr');
+        }
+
+        // === Transporteur affrete (RG-4.03) — indexation + benne + volume ===
+        [$affrete, $isNew] = $this->ensureCarrier($manager, 'Affreteurs Reunis');
+        if ($isNew) {
+            $affrete->setCertificationType('GMP_PLUS');
+            $affrete->setIsChartered(true);
+            $affrete->setIndexationRate('5.00');
+            $affrete->setContainerType('BENNE');
+            $affrete->setVolumeM3('90.00');
+            $this->addAddress($affrete, '17000', 'La Rochelle', '4 quai des Affreteurs');
+        }
+
+        // === Cas LIOT (RG-4.01) — immatriculations, certification non requise ===
+        [$liot, $isNew] = $this->ensureCarrier($manager, 'LIOT');
+        if ($isNew) {
+            $liot->setLiotPlates($this->normalizer->normalizeLiotPlates('ab-123-cd ; ef-456-gh ; gh-789-ij'));
+        }
+
+        // === Transporteur COMPLET — contacts + adresses + prix CLIENT et FOURNISSEUR ===
+        [$complet, $isNew] = $this->ensureCarrier($manager, 'Transports Logistique Globale');
+        if ($isNew) {
+            $complet->setCertificationType('OVOCOM');
+            $this->addAddress($complet, '86100', 'Châtellerault', '20 zone des Transporteurs');
+            $this->addContact($complet, 'Sophie', 'Bernard', 'Directrice', '05 49 44 55 66', '06 99 88 77 66', 'sophie.bernard@logistique-globale.fr', 0);
+            $this->addContact($complet, 'Marc', 'Lopez', 'Affretement', '05 49 44 55 67', null, 'marc.lopez@logistique-globale.fr', 1);
+            $this->addPrices($manager, $complet);
+        }
+
+        // === Transporteur archive (RG-4.14) ===
+        [$archive, $isNew] = $this->ensureCarrier($manager, 'Transports Anciens', isArchived: true);
+        if ($isNew) {
+            $archive->setCertificationType('COMPTE_PROPRE');
+            $this->addContact($archive, 'Paul', 'Ancien', 'Ex-gerant', '05 49 00 00 00', null, 'paul.ancien@anciens.fr');
+        }

        $manager->flush();
    }
+
+    /**
+     * Cree un transporteur (nom normalise UPPERCASE) s'il n'existe pas encore,
+     * sinon retourne l'existant. Retourne [Carrier, isNew] : isNew=false bloque la
+     * reconstruction des sous-collections (idempotence sans doublon).
+     *
+     * @return array{0: Carrier, 1: bool}
+     */
+    private function ensureCarrier(ObjectManager $manager, string $name, bool $isArchived = false): array
+    {
+        $normalizedName = (string) $this->normalizer->normalizeName($name);
+
+        $existing = $manager->getRepository(Carrier::class)->findOneBy(['name' => $normalizedName]);
+        if ($existing instanceof Carrier) {
+            return [$existing, false];
+        }
+
+        $carrier = new Carrier();
+        $carrier->setName($normalizedName);
+
+        if ($isArchived) {
+            $carrier->setIsArchived(true);
+            $carrier->setArchivedAt(new DateTimeImmutable());
+        }
+
+        $manager->persist($carrier);
+
+        return [$carrier, true];
+    }
+
+    /**
+     * Ajoute une adresse au transporteur (cascade persist via Carrier.addresses).
+     */
+    private function addAddress(Carrier $carrier, string $postalCode, string $city, string $street): void
+    {
+        $address = new CarrierAddress();
+        $address->setPostalCode($postalCode);
+        $address->setCity($city);
+        $address->setStreet($street);
+        $carrier->addAddress($address);
+    }
+
+    /**
+     * Ajoute un contact normalise au transporteur (cascade persist via
+     * Carrier.contacts). Au moins un champ est toujours fourni (RG-4.08).
+     */
+    private function addContact(
+        Carrier $carrier,
+        ?string $firstName,
+        ?string $lastName,
+        ?string $jobTitle,
+        ?string $phonePrimary,
+        ?string $phoneSecondary,
+        ?string $email,
+        int $position = 0,
+    ): void {
+        $contact = new CarrierContact();
+        $contact->setFirstName($this->normalizer->normalizePersonName($firstName));
+        $contact->setLastName($this->normalizer->normalizePersonName($lastName));
+        $contact->setJobTitle($jobTitle);
+        $contact->setPhonePrimary($this->normalizer->normalizePhone($phonePrimary));
+        $contact->setPhoneSecondary($this->normalizer->normalizePhone($phoneSecondary));
+        $contact->setEmail($this->normalizer->normalizeEmail($email));
+        $contact->setPosition($position);
+
+        $carrier->addContact($contact);
+    }
+
+    /**
+     * Ajoute un prix CLIENT et un prix FOURNISSEUR au transporteur (RG-4.10/4.11),
+     * en resolvant les relations cross-module (client/adresse de livraison + site
+     * de depart ; fournisseur/adresse d'appro + site de livraison) via les contrats
+     * Shared. Si la demo Commercial/Sites n'est pas disponible, les prix sont omis.
+     */
+    private function addPrices(ObjectManager $manager, Carrier $carrier): void
+    {
+        $site = $this->siteProvider->findByName('Chatellerault');
+
+        // Branche CLIENT (RG-4.10) : 1ere adresse de livraison de la demo M1.
+        $clientAddress = $manager->getRepository(ClientAddressInterface::class)->findOneBy(['isDelivery' => true]);
+        if ($site instanceof SiteInterface && $clientAddress instanceof ClientAddressInterface && null !== $clientAddress->getClient()) {
+            $clientPrice = new CarrierPrice();
+            $clientPrice->setDirection('CLIENT');
+            $clientPrice->setClient($clientAddress->getClient());
+            $clientPrice->setClientDeliveryAddress($clientAddress);
+            $clientPrice->setDepartureSite($site);
+            $clientPrice->setContainerType('BENNE');
+            $clientPrice->setPricingUnit('TONNE');
+            $clientPrice->setPrice('42.50');
+            $clientPrice->setPriceState('VALIDE');
+            $carrier->addPrice($clientPrice);
+        }
+
+        // Branche FOURNISSEUR (RG-4.11) : 1ere adresse de DEPART de la demo M2.
+        $supplierAddress = $manager->getRepository(SupplierAddressInterface::class)->findOneBy(['addressType' => 'DEPART']);
+        if ($site instanceof SiteInterface && $supplierAddress instanceof SupplierAddressInterface && null !== $supplierAddress->getSupplier()) {
+            $supplierPrice = new CarrierPrice();
+            $supplierPrice->setDirection('FOURNISSEUR');
+            $supplierPrice->setSupplier($supplierAddress->getSupplier());
+            $supplierPrice->setSupplierSupplyAddress($supplierAddress);
+            $supplierPrice->setDeliverySite($site);
+            $supplierPrice->setContainerType('FOND_MOUVANT');
+            $supplierPrice->setPricingUnit('FORFAIT');
+            $supplierPrice->setPrice('320.00');
+            $supplierPrice->setPriceState('EN_COURS');
+            $carrier->addPrice($supplierPrice);
+        }
+    }
+
+    /**
+     * Construit (non persiste explicitement — cascade via la FK Carrier) un
+     * UploadedDocument de demo pour la Decharge (RG-4.02). Pas de fichier reel sur
+     * disque : metadonnees factices suffisantes pour la demo.
+     */
+    private function buildDischargeDocument(ObjectManager $manager): UploadedDocument
+    {
+        $document = new UploadedDocument(
+            'decharge-demo.pdf',
+            'demo/decharge-demo.pdf',
+            'application/pdf',
+            12_345,
+            str_repeat('0', 64),
+            new DateTimeImmutable(),
+        );
+        $manager->persist($document);
+
+        return $document;
+    }
+
+    /**
+     * Insere (idempotent, par SIRET) une ligne `qualimat_carrier` de demo a
+     * validite PASSEE (RG-4.04) puis retourne l'entite (lecture seule) rechargee.
+     * La table est normalement alimentee par `app:qualimat:sync` ; en demo on pose
+     * une ligne directe en DBAL (l'entite mappee n'expose aucune ecriture API).
+     */
+    private function ensureQualimatDemoLine(ObjectManager $manager): QualimatCarrier
+    {
+        $repository = $manager->getRepository(QualimatCarrier::class);
+        $existing   = $repository->findOneBy(['siret' => self::QUALIMAT_DEMO_SIRET]);
+        if ($existing instanceof QualimatCarrier) {
+            return $existing;
+        }
+
+        if ($manager instanceof EntityManagerInterface) {
+            $manager->getConnection()->insert('qualimat_carrier', [
+                'siret'       => self::QUALIMAT_DEMO_SIRET,
+                'name'        => 'TRANSPORTS GRELILLIER',
+                'address'     => '12 rue des Acacias',
+                'postal_code' => '86000',
+                'city'        => 'Poitiers',
+                'status'      => 'Valide',
+                // Validite PASSEE : exerce le fond rouge RG-4.04 cote front.
+                'validity_date'  => '2024-12-31',
+                'is_active'      => 'true',
+                'last_synced_at' => new DateTimeImmutable()->format('Y-m-d H:i:s'),
+            ]);
+        }
+
+        /** @var QualimatCarrier $line */
+        return $repository->findOneBy(['siret' => self::QUALIMAT_DEMO_SIRET]);
+    }
 }
@@ -0,0 +1,57 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Transport\Infrastructure\Doctrine;
+
+use App\Module\Transport\Domain\Entity\QualimatCarrier;
+use App\Module\Transport\Domain\Repository\QualimatCarrierRepositoryInterface;
+use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository;
+use Doctrine\ORM\QueryBuilder;
+use Doctrine\Persistence\ManagerRegistry;
+
+/**
+ * @extends ServiceEntityRepository<QualimatCarrier>
+ */
+class DoctrineQualimatCarrierRepository extends ServiceEntityRepository implements QualimatCarrierRepositoryInterface
+{
+    public function __construct(ManagerRegistry $registry)
+    {
+        parent::__construct($registry, QualimatCarrier::class);
+    }
+
+    public function createSearchQueryBuilder(?string $search = null): QueryBuilder
+    {
+        // Saisie assistee (§ 4.7) : on ne propose QUE des transporteurs QUALIMAT
+        // actifs (is_active = true), tries par nom. Le forcage de l'actif est une
+        // regle serveur (pas un filtre client) — les lignes soft-deletees par la
+        // synchro restent invisibles.
+        $qb = $this->createQueryBuilder('q')
+            ->andWhere('q.isActive = true')
+            ->orderBy('q.name', 'ASC')
+        ;
+
+        $this->applySearch($qb, $search);
+
+        return $qb;
+    }
+
+    /**
+     * Recherche fuzzy insensible a la casse sur le nom (+ siret) du transporteur
+     * QUALIMAT (§ 4.7 / RG-4.01). Metacaracteres LIKE (%, _, \) echappes pour
+     * rester litteraux.
+     */
+    private function applySearch(QueryBuilder $qb, ?string $search): void
+    {
+        if (null === $search || '' === trim($search)) {
+            return;
+        }
+
+        $escaped = str_replace(['\\', '%', '_'], ['\\\\', '\%', '\_'], trim($search));
+        $pattern = '%'.mb_strtolower($escaped, 'UTF-8').'%';
+
+        $qb->andWhere('LOWER(q.name) LIKE :search OR LOWER(q.siret) LIKE :search')
+            ->setParameter('search', $pattern)
+        ;
+    }
+}
@@ -17,4 +17,12 @@ namespace App\Shared\Domain\Contract;
 interface ClientAddressInterface
 {
    public function getId(): ?int;
+
+    /**
+     * Client parent de l'adresse. Expose le lien inverse sans coupler au module
+     * Commercial : permet a un autre module de verifier l'appartenance d'une
+     * adresse a un client (ex: CarrierPrice, RG-4.10 — l'adresse de livraison
+     * doit appartenir au client choisi). Retour covariant ?Client cote entite.
+     */
+    public function getClient(): ?ClientInterface;
 }
@@ -17,4 +17,12 @@ namespace App\Shared\Domain\Contract;
 interface SupplierAddressInterface
 {
    public function getId(): ?int;
+
+    /**
+     * Fournisseur parent de l'adresse. Expose le lien inverse sans coupler au
+     * module Commercial : permet a un autre module de verifier l'appartenance
+     * d'une adresse a un fournisseur (ex: CarrierPrice, RG-4.11 — l'adresse
+     * d'appro doit appartenir au fournisseur choisi). Retour covariant ?Supplier.
+     */
+    public function getSupplier(): ?SupplierInterface;
 }
@@ -56,12 +56,19 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
        'SupplierAddress::postalCode' => 'Regex {4,5} borne deja la longueur.',
        // Idem cote prestataire (meme Regex CP — M3 Technique).
        'ProviderAddress::postalCode' => 'Regex {4,5} borne deja la longueur.',
+        // Idem cote transporteur (meme Regex CP — M4 Transport).
+        'CarrierAddress::postalCode' => 'Regex {4,5} borne deja la longueur.',
        // Le Choice {PROSPECT,DEPART,RENDU} borne les valeurs (<= 8 < 20).
        'SupplierAddress::addressType' => 'Choice {PROSPECT,DEPART,RENDU} borne deja les valeurs.',
        // Le Choice {QUALIMAT,GMP_PLUS,OVOCOM,COMPTE_PROPRE,AUTRE} borne les valeurs (<= 13 < 20).
        'Carrier::certificationType' => 'Choice des 5 certifications borne deja les valeurs.',
        // Le Choice {BENNE,FOND_MOUVANT} borne les valeurs (<= 12).
        'Carrier::containerType' => 'Choice {BENNE,FOND_MOUVANT} borne deja les valeurs.',
+        // Colonnes enum du prix transporteur (M4) : le Choice borne deja les valeurs.
+        'CarrierPrice::direction'     => 'Choice {CLIENT,FOURNISSEUR} borne deja les valeurs.',
+        'CarrierPrice::containerType' => 'Choice {BENNE,FOND_MOUVANT} borne deja les valeurs.',
+        'CarrierPrice::pricingUnit'   => 'Choice {FORFAIT,TONNE} borne deja les valeurs.',
+        'CarrierPrice::priceState'    => 'Choice {EN_COURS,VALIDE,NON_VALIDE} borne deja les valeurs.',
        // Le Regex /^#[0-9A-Fa-f]{6}$/ borne la longueur a exactement 7 caracteres.
        'Site::color' => 'Regex code hex #RRGGBB borne deja la longueur.',
    ];
@@ -107,7 +114,7 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
                }

                /** @var Constraint $constraint */
-                $constraint = $attribute->newInstance();
+                $constraint   = $attribute->newInstance();
                $messageProps = $this->messagePropertiesFor($constraint);

                self::assertNotNull(
@@ -178,6 +185,7 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
            foreach ($constraints as $c) {
                if ($c instanceof Assert\Length) {
                    $length = $c->max;
+
                    break;
                }
            }
@@ -249,7 +257,7 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
     * Liste des proprietes de message a verifier pour une contrainte donnee, ou
     * null si la contrainte n'est pas geree (le test echoue alors explicitement).
     *
-     * @return list<string>|null
+     * @return null|list<string>
     */
    private function messagePropertiesFor(Constraint $constraint): ?array
    {
@@ -323,7 +331,7 @@ final class EntityConstraintsHaveFrenchMessageTest extends TestCase
    }

    /**
-     * @param list<Constraint>             $constraints
+     * @param list<Constraint>               $constraints
     * @param list<class-string<Constraint>> $classes
     */
    private function hasAnyConstraint(array $constraints, array $classes): bool
@@ -0,0 +1,192 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use ApiPlatform\Symfony\Bundle\Test\Client;
+use App\Module\Core\Infrastructure\DataFixtures\RbacDemoFixtures;
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierAddress;
+use Symfony\Bundle\FrameworkBundle\Console\Application;
+use Symfony\Component\Console\Input\ArrayInput;
+use Symfony\Component\Console\Output\NullOutput;
+
+/**
+ * Sous-ressource Adresse d'un transporteur (spec-back M4 § 4.5, ERP-159).
+ * POST /api/carriers/{id}/addresses, PATCH/DELETE /api/carrier_addresses/{id}.
+ *
+ * Contrat verifie :
+ *  - RG-4.06 : code postal hors ^[0-9]{4,5}$ -> 422 ;
+ *  - RG-4.05 : transporteur affrete + adresse incomplete -> 422 (par champ) ;
+ *  - RG-4.05 : transporteur affrete + adresse complete -> 201 ;
+ *  - PATCH / DELETE OK avec transport.carriers.manage, 403 sans (view seul).
+ *
+ * @internal
+ */
+final class CarrierAddressApiTest extends AbstractCarrierApiTestCase
+{
+    private const string PWD = RbacDemoFixtures::DEMO_PASSWORD;
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        // Seed idempotent des roles + matrice § 5.2 + comptes demo (meme chemin
+        // qu'en recette), requis pour les tests de permission (bureau/commerciale).
+        self::bootKernel();
+        $application = new Application(self::$kernel);
+        $application->setAutoExit(false);
+        $exit = $application->run(
+            new ArrayInput([
+                'command'           => 'app:seed-rbac',
+                '--with-demo-users' => true,
+                '--password'        => self::PWD,
+            ]),
+            new NullOutput(),
+        );
+        self::assertSame(0, $exit, 'app:seed-rbac a echoue (permissions transport.carriers.* synchronisees ?).');
+
+        self::ensureKernelShutdown();
+    }
+
+    public function testInvalidPostalCodeReturns422(): void
+    {
+        // Transporteur NON affrete : RG-4.05 ne s'applique pas, seule RG-4.06 joue.
+        $carrier = $this->seedCarrierWithChartered('Cp Invalide', false);
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['postalCode' => '123'], // 3 chiffres -> Regex KO
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testInconsistentPostalCodeAndCityIsAccepted(): void
+    {
+        // RG-4.06 : la validation serveur borne le FORMAT du code postal
+        // (^[0-9]{4,5}$) mais ne controle PAS la coherence CP <-> ville (deleguee
+        // a l'autocomplete BAN cote front). Un CP valide avec une ville qui ne lui
+        // correspond pas est donc accepte (201).
+        $carrier = $this->seedCarrierWithChartered('Cp Ville Incoherents', false);
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'postalCode' => '86000', // Poitiers
+                'city'       => 'Marseille', // incoherent, mais non controle
+                'street'     => '1 rue de la Coherence',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+    }
+
+    public function testCharteredCarrierIncompleteAddressReturns422(): void
+    {
+        // Transporteur affrete : RG-4.05 exige Pays/CP/Ville/Adresse. CP valide mais
+        // ville + rue manquantes -> 422 conditionnelle (CarrierAddressProcessor).
+        $carrier = $this->seedCarrierWithChartered('Affrete Incomplet', true);
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['postalCode' => '86000'],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testCharteredCarrierCompleteAddressIsCreated(): void
+    {
+        $carrier = $this->seedCarrierWithChartered('Affrete Complet', true);
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'country'    => 'France',
+                'postalCode' => '86000',
+                'city'       => 'Poitiers',
+                'street'     => '12 rue des Acacias',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+    }
+
+    public function testPatchAndDeleteSucceedWithManage(): void
+    {
+        $address = $this->seedAddress('Patch Delete', false);
+        $client  = $this->authenticatedClient('bureau', self::PWD); // manage (matrice § 5.2)
+
+        // PATCH (manage) -> 200
+        $client->request('PATCH', '/api/carrier_addresses/'.$address->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['city' => 'Lyon'],
+        ]);
+        self::assertResponseStatusCodeSame(200);
+
+        // DELETE (manage) -> 204
+        $client->request('DELETE', '/api/carrier_addresses/'.$address->getId());
+        self::assertResponseStatusCodeSame(204);
+    }
+
+    public function testWriteForbiddenWithoutManage(): void
+    {
+        $address = $this->seedAddress('Forbidden', false);
+        $carrier = $address->getCarrier();
+        self::assertNotNull($carrier);
+        $client = $this->authenticatedClient('commerciale', self::PWD); // view seul
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/addresses', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['postalCode' => '86000', 'city' => 'Poitiers', 'street' => '1 rue X'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('PATCH', '/api/carrier_addresses/'.$address->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['city' => 'Lyon'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('DELETE', '/api/carrier_addresses/'.$address->getId());
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    /**
+     * Seede un transporteur minimal en controlant le flag affrete (RG-4.05).
+     */
+    private function seedCarrierWithChartered(string $name, bool $isChartered): Carrier
+    {
+        $em      = $this->getEm();
+        $carrier = new Carrier();
+        $carrier->setName(mb_strtoupper($name, 'UTF-8'));
+        $carrier->setCertificationType('GMP_PLUS');
+        $carrier->setIsChartered($isChartered);
+        $em->persist($carrier);
+        $em->flush();
+
+        return $carrier;
+    }
+
+    /**
+     * Seede un transporteur + une adresse rattachee (pour les tests PATCH/DELETE).
+     */
+    private function seedAddress(string $name, bool $isChartered): CarrierAddress
+    {
+        $em      = $this->getEm();
+        $carrier = $this->seedCarrierWithChartered($name, $isChartered);
+
+        $address = new CarrierAddress();
+        $address->setCarrier($carrier);
+        $address->setPostalCode('86000');
+        $address->setCity('Poitiers');
+        $address->setStreet('12 rue des Acacias');
+        $carrier->addAddress($address);
+        $em->persist($address);
+        $em->flush();
+
+        return $address;
+    }
+}
@@ -0,0 +1,107 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use Doctrine\DBAL\Connection;
+
+/**
+ * Tests Audit du repertoire transporteurs (M4, spec § 6). Couvre :
+ *  - POST / PATCH / archivage -> ligne audit_log entity_type='transport.Carrier'
+ *    avec l'action et le diff attendus ;
+ *  - le diff d'archivage trace bien le champ `isArchived` (RG-4.14).
+ *
+ * Jumeau de {@see \App\Tests\Module\Commercial\Api\SupplierAuditTest}.
+ *
+ * @internal
+ */
+final class CarrierAuditTest extends AbstractCarrierApiTestCase
+{
+    private const string CARRIER_TYPE = 'transport.Carrier';
+
+    private ?Connection $auditConnection = null;
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+        self::bootKernel();
+
+        /** @var Connection $conn */
+        $conn                  = self::getContainer()->get('doctrine.dbal.audit_connection');
+        $this->auditConnection = $conn;
+    }
+
+    protected function tearDown(): void
+    {
+        if (null !== $this->auditConnection) {
+            $this->auditConnection->close();
+        }
+        parent::tearDown();
+    }
+
+    public function testPostCarrierIsAudited(): void
+    {
+        $admin = $this->createAdminClient();
+
+        $created = $admin->request('POST', '/api/carriers', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => $this->validMainPayload('Audit Created Co'),
+        ])->toArray();
+        self::assertResponseStatusCodeSame(201);
+
+        self::assertGreaterThanOrEqual(
+            1,
+            $this->countAudit(self::CARRIER_TYPE, (string) $created['id'], 'create'),
+            'Un audit_log "create" doit etre genere pour le transporteur.',
+        );
+    }
+
+    public function testPatchCarrierIsAudited(): void
+    {
+        $admin = $this->createAdminClient();
+        $seed  = $this->seedCarrier('Audit Patch Co');
+
+        $admin->request('PATCH', '/api/carriers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['name' => 'Audit Patch Renamed'],
+        ]);
+        self::assertResponseStatusCodeSame(200);
+
+        self::assertGreaterThanOrEqual(
+            1,
+            $this->countAudit(self::CARRIER_TYPE, (string) $seed->getId(), 'update'),
+            'Un audit_log "update" doit etre genere pour le PATCH.',
+        );
+    }
+
+    public function testArchiveCarrierIsAudited(): void
+    {
+        $admin = $this->createAdminClient();
+        $seed  = $this->seedCarrier('Audit Archive Co');
+
+        $admin->request('PATCH', '/api/carriers/'.$seed->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['isArchived' => true],
+        ]);
+        self::assertResponseStatusCodeSame(200);
+
+        $rows = $this->auditConnection->fetchAllAssociative(
+            'SELECT changes FROM audit_log WHERE entity_type = :type AND entity_id = :id AND action = :action ORDER BY performed_at DESC',
+            ['type' => self::CARRIER_TYPE, 'id' => (string) $seed->getId(), 'action' => 'update'],
+        );
+        self::assertGreaterThanOrEqual(1, count($rows));
+
+        /** @var array<string, mixed> $changes */
+        $changes = json_decode((string) $rows[0]['changes'], true, flags: JSON_THROW_ON_ERROR);
+        self::assertArrayHasKey('isArchived', $changes, 'Le diff d\'archivage doit tracer isArchived (RG-4.14).');
+    }
+
+    private function countAudit(string $type, string $id, string $action): int
+    {
+        return (int) $this->auditConnection->fetchOne(
+            'SELECT COUNT(*) FROM audit_log WHERE entity_type = :type AND entity_id = :id AND action = :action',
+            ['type' => $type, 'id' => $id, 'action' => $action],
+        );
+    }
+}
@@ -0,0 +1,179 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use App\Module\Core\Infrastructure\DataFixtures\RbacDemoFixtures;
+use App\Module\Transport\Domain\Entity\Carrier;
+use App\Module\Transport\Domain\Entity\CarrierContact;
+use Symfony\Bundle\FrameworkBundle\Console\Application;
+use Symfony\Component\Console\Input\ArrayInput;
+use Symfony\Component\Console\Output\NullOutput;
+
+/**
+ * Sous-ressource Contact d'un transporteur (spec-back M4 § 4.5, ERP-160).
+ * POST /api/carriers/{id}/contacts, PATCH/DELETE /api/carrier_contacts/{id}.
+ *
+ * Contrat verifie :
+ *  - RG-4.08 : contact totalement vide -> 422 (au moins 1 champ requis) ;
+ *  - RG-4.08 : 1 seul champ rempli -> 201 ;
+ *  - RG-4.08 : 3 telephones (tableau `phones`) -> 422 (max 2) ;
+ *  - mapping `phones[]` -> phonePrimary / phoneSecondary + normalisation (RG-4.13) ;
+ *  - PATCH / DELETE OK avec transport.carriers.manage, 403 sans (view seul).
+ *
+ * @internal
+ */
+final class CarrierContactApiTest extends AbstractCarrierApiTestCase
+{
+    private const string PWD = RbacDemoFixtures::DEMO_PASSWORD;
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        // Seed idempotent des roles + matrice § 5.2 + comptes demo (meme chemin
+        // qu'en recette), requis pour les tests de permission (bureau/commerciale).
+        self::bootKernel();
+        $application = new Application(self::$kernel);
+        $application->setAutoExit(false);
+        $exit = $application->run(
+            new ArrayInput([
+                'command'           => 'app:seed-rbac',
+                '--with-demo-users' => true,
+                '--password'        => self::PWD,
+            ]),
+            new NullOutput(),
+        );
+        self::assertSame(0, $exit, 'app:seed-rbac a echoue (permissions transport.carriers.* synchronisees ?).');
+
+        self::ensureKernelShutdown();
+    }
+
+    public function testEmptyContactReturns422(): void
+    {
+        // RG-4.08 : aucun champ rempli -> 422 (garde Processor, double du CHECK BDD).
+        $carrier = $this->seedCarrier('Contact Vide');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testSingleFieldContactIsCreated(): void
+    {
+        // RG-4.08 : un seul champ suffit a valider le bloc.
+        $carrier = $this->seedCarrier('Contact Mono');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['lastName' => 'martin'],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+
+        // RG-4.13 : nom capitalise serveur.
+        self::assertJsonContains(['lastName' => 'Martin']);
+    }
+
+    public function testThirdPhoneReturns422(): void
+    {
+        // RG-4.08 : max 2 telephones. Le contrat d'ecriture accepte un tableau
+        // `phones` (liste dynamique cote front « x1, +1 possible, max 2 ») ; un 3e
+        // numero -> 422 rattachee au champ `phones`.
+        $carrier = $this->seedCarrier('Contact Trois Tel');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'firstName' => 'Jean',
+                'phones'    => ['0611111111', '0622222222', '0633333333'],
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testPhonesAreMappedAndNormalized(): void
+    {
+        // Mapping `phones[0]` -> phonePrimary, `phones[1]` -> phoneSecondary +
+        // normalisation RG-4.13 (chiffres uniquement).
+        $carrier = $this->seedCarrier('Contact Deux Tel');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'lastName' => 'Dupont',
+                'phones'   => ['06.11.11.11.11', '06 22 22 22 22'],
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+        self::assertJsonContains([
+            'phonePrimary'   => '0611111111',
+            'phoneSecondary' => '0622222222',
+        ]);
+    }
+
+    public function testPatchAndDeleteSucceedWithManage(): void
+    {
+        $contact = $this->seedContact('Patch Delete');
+        $client  = $this->authenticatedClient('bureau', self::PWD); // manage (matrice § 5.2)
+
+        // PATCH (manage) -> 200
+        $client->request('PATCH', '/api/carrier_contacts/'.$contact->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['jobTitle' => 'Directeur'],
+        ]);
+        self::assertResponseStatusCodeSame(200);
+
+        // DELETE (manage) -> 204
+        $client->request('DELETE', '/api/carrier_contacts/'.$contact->getId());
+        self::assertResponseStatusCodeSame(204);
+    }
+
+    public function testWriteForbiddenWithoutManage(): void
+    {
+        $contact = $this->seedContact('Forbidden');
+        $carrier = $contact->getCarrier();
+        self::assertNotNull($carrier);
+        $client = $this->authenticatedClient('commerciale', self::PWD); // view seul
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/contacts', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['lastName' => 'Bernard'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('PATCH', '/api/carrier_contacts/'.$contact->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['jobTitle' => 'Chef'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('DELETE', '/api/carrier_contacts/'.$contact->getId());
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    /**
+     * Seede un transporteur + un contact rattache (pour les tests PATCH/DELETE).
+     */
+    private function seedContact(string $name): CarrierContact
+    {
+        $em      = $this->getEm();
+        $carrier = $this->seedCarrier($name);
+
+        $contact = new CarrierContact();
+        $contact->setCarrier($carrier);
+        $contact->setLastName('Martin');
+        $contact->setPhonePrimary('0612345678');
+        $carrier->addContact($contact);
+        $em->persist($contact);
+        $em->flush();
+
+        return $contact;
+    }
+}
@@ -0,0 +1,157 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use PhpOffice\PhpSpreadsheet\IOFactory;
+
+/**
+ * Tests fonctionnels de l'export XLSX du repertoire transporteurs (M4, § 4.6).
+ * Jumeau du {@see \App\Tests\Module\Commercial\Api\SupplierExportControllerTest}.
+ *
+ * Couvre : reponse 200 (Content-Type + Content-Disposition + en-tetes), exclusion
+ * des archives par defaut, respect du filtre ?search, peuplement des colonnes
+ * QUALIMAT (statut + date de validite, RG-4.04), 403 sans transport.carriers.view,
+ * 401 anonyme.
+ *
+ * @internal
+ */
+final class CarrierExportControllerTest extends AbstractCarrierApiTestCase
+{
+    private const string XLSX_MIME  = 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet';
+    private const string EXPORT_URL = '/api/carriers/export.xlsx';
+
+    public function testExportReturnsXlsxResponseWithAttachmentFilename(): void
+    {
+        $client = $this->createAdminClient();
+        $this->seedCarrier('Export Alpha');
+
+        $response = $client->request('GET', self::EXPORT_URL);
+
+        self::assertResponseIsSuccessful();
+        $headers = $response->getHeaders(false);
+        self::assertStringContainsString(self::XLSX_MIME, $headers['content-type'][0] ?? '');
+
+        $disposition = $headers['content-disposition'][0] ?? '';
+        self::assertStringContainsString('attachment; filename="repertoire-transporteurs-', $disposition);
+        self::assertMatchesRegularExpression(
+            '/filename="repertoire-transporteurs-\d{8}\.xlsx"/',
+            $disposition,
+        );
+
+        // Le binaire est un XLSX relisible dont la 1re ligne porte les en-tetes.
+        $headers = $this->gridFromResponse($response->getContent())[0];
+        self::assertSame('Nom', $headers[0]);
+        self::assertContains('Certification', $headers);
+        self::assertContains('Statut QUALIMAT', $headers);
+        self::assertContains('Date de validité', $headers);
+        self::assertContains('Affrété', $headers);
+        self::assertContains('Volume m³', $headers);
+        self::assertContains('Date de création', $headers);
+    }
+
+    public function testExportExcludesArchivedByDefault(): void
+    {
+        $client = $this->createAdminClient();
+        $this->seedCarrier('Active One');
+        $this->seedCarrier('Archived One', true);
+
+        $names = $this->carrierNames($client->request('GET', self::EXPORT_URL)->getContent());
+
+        self::assertContains('ACTIVE ONE', $names);
+        self::assertNotContains('ARCHIVED ONE', $names);
+    }
+
+    public function testExportRespectsSearchFilter(): void
+    {
+        $client = $this->createAdminClient();
+        $this->seedCarrier('Searchable Alpha');
+        $this->seedCarrier('Other Beta');
+
+        $names = $this->carrierNames(
+            $client->request('GET', self::EXPORT_URL.'?search=alpha')->getContent(),
+        );
+
+        self::assertContains('SEARCHABLE ALPHA', $names);
+        self::assertNotContains('OTHER BETA', $names);
+    }
+
+    /**
+     * Colonnes « Statut QUALIMAT » et « Date de validite » : alimentees par le
+     * referentiel QUALIMAT lie (RG-4.04). Un transporteur complet seede un lien
+     * QUALIMAT (statut « Valide », validite 31/12/2027).
+     */
+    public function testExportPopulatesQualimatColumns(): void
+    {
+        $client = $this->createAdminClient();
+        $this->seedCompleteCarrier('Grelillier');
+
+        $flat = $this->flatten($this->gridFromResponse($client->request('GET', self::EXPORT_URL)->getContent()));
+
+        self::assertStringContainsString('QUALIMAT', $flat);
+        self::assertStringContainsString('Valide', $flat);
+        self::assertStringContainsString('31/12/2027', $flat);
+    }
+
+    public function testForbiddenWithoutCarriersViewPermission(): void
+    {
+        $creds  = $this->createUserWithPermission('core.users.view');
+        $client = $this->authenticatedClient($creds['username'], $creds['password']);
+
+        $client->request('GET', self::EXPORT_URL);
+
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    public function testUnauthorizedWhenAnonymous(): void
+    {
+        $client = self::createClient();
+        $client->request('GET', self::EXPORT_URL);
+
+        self::assertResponseStatusCodeSame(401);
+    }
+
+    /**
+     * Relit le binaire XLSX d'une reponse et renvoie la grille de cellules.
+     *
+     * @return array<int, array<int, mixed>>
+     */
+    private function gridFromResponse(string $binary): array
+    {
+        $tmp = tempnam(sys_get_temp_dir(), 'xlsx_carrier_export_test_');
+        self::assertIsString($tmp);
+        file_put_contents($tmp, $binary);
+
+        try {
+            return IOFactory::load($tmp)->getActiveSheet()->toArray();
+        } finally {
+            @unlink($tmp);
+        }
+    }
+
+    /**
+     * Extrait la colonne « Nom » (1re colonne) des lignes de donnees.
+     *
+     * @return list<string>
+     */
+    private function carrierNames(string $binary): array
+    {
+        $rows = array_slice($this->gridFromResponse($binary), 1); // saute l'en-tete
+
+        return array_values(array_map(static fn (array $row): string => (string) ($row[0] ?? ''), $rows));
+    }
+
+    /**
+     * Aplatit toute la grille en une chaine, pour les assertions de presence.
+     *
+     * @param array<int, array<int, mixed>> $grid
+     */
+    private function flatten(array $grid): string
+    {
+        return implode('|', array_map(
+            static fn (array $row): string => implode('|', array_map(static fn ($cell): string => (string) $cell, $row)),
+            $grid,
+        ));
+    }
+}
@@ -0,0 +1,105 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+/**
+ * Tests fonctionnels de la liste transporteurs (M4, spec § 4.1 + RG-4.14 + regle
+ * ABSOLUE n°13) : tri name ASC, echappatoire ?pagination=false (selects), et
+ * ANTI N+1 (le nombre de requetes SQL de la liste ne croit pas avec le nombre de
+ * lignes — fetch-join qualimatCarrier batche, § 2.11). L'exclusion des archives
+ * et la forme de l'enveloppe Hydra sont couvertes par
+ * {@see CarrierSerializationContractTest::testCollectionEnvelopeShapeAndArchivedExcluded}.
+ *
+ * @internal
+ */
+final class CarrierListTest extends AbstractCarrierApiTestCase
+{
+    public function testListIsSortedByNameAsc(): void
+    {
+        $http  = $this->createAdminClient();
+        $token = $this->token();
+
+        // Inseres dans le desordre ; le tri par defaut doit remonter ALPHA avant ZETA.
+        $this->seedCarrier($token.' Zeta');
+        $this->seedCarrier($token.' Alpha');
+
+        $names = array_map(
+            static fn (array $m): string => (string) $m['name'],
+            $http->request('GET', '/api/carriers?search='.$token, ['headers' => ['Accept' => self::LD]])->toArray()['member'],
+        );
+
+        self::assertCount(2, $names);
+        self::assertStringContainsString('ALPHA', $names[0], 'Tri name ASC (spec § 4.1).');
+        self::assertStringContainsString('ZETA', $names[1]);
+    }
+
+    public function testPaginationDisabledReturnsFullCollection(): void
+    {
+        $http  = $this->createAdminClient();
+        $token = $this->token();
+
+        for ($i = 0; $i < 3; ++$i) {
+            $this->seedCarrier($token.' Item'.$i);
+        }
+
+        // ?pagination=false : echappatoire pour alimenter un <select> (regle n°13).
+        $data = $http->request('GET', '/api/carriers?search='.$token.'&pagination=false', ['headers' => ['Accept' => self::LD]])->toArray();
+
+        self::assertArrayHasKey('member', $data);
+        self::assertCount(3, $data['member']);
+    }
+
+    /**
+     * Anti N+1 (§ 2.11) : le nombre de requetes SQL de la liste ne doit PAS croitre
+     * avec le nombre de transporteurs. On mesure pour N=2 puis N=4 (chacun avec son
+     * lien QUALIMAT embarque) et on exige un compte IDENTIQUE — preuve que le
+     * fetch-join `qualimatCarrier` est batche et non par ligne.
+     */
+    public function testListQueryCountDoesNotGrowWithRowCount(): void
+    {
+        $this->skipIfSitesModuleDisabled();
+        $token = $this->token();
+
+        // Premiere mesure : 2 transporteurs complets (lien QUALIMAT embarque en liste).
+        $this->seedCompleteCarrier($token.' A');
+        $this->seedCompleteCarrier($token.' B');
+        $countFor2 = $this->countListQueries($token);
+
+        // Seconde mesure : 2 de plus (4 au total, tous sur la meme page).
+        $this->seedCompleteCarrier($token.' C');
+        $this->seedCompleteCarrier($token.' D');
+        $countFor4 = $this->countListQueries($token);
+
+        self::assertSame(
+            $countFor2,
+            $countFor4,
+            sprintf('Anti N+1 : le nombre de requetes liste doit etre constant (%d pour 2, %d pour 4).', $countFor2, $countFor4),
+        );
+    }
+
+    /**
+     * Compte les requetes SQL emises par UN GET liste filtre, via le data holder de
+     * debug Doctrine (actif en test grace a `profiling: true` dans la config test,
+     * independamment d'APP_DEBUG — sinon le compte casse en CI). Le holder est remis
+     * a zero juste avant la requete pour isoler ses requetes (hors login).
+     */
+    private function countListQueries(string $token): int
+    {
+        $http   = $this->createAdminClient();
+        $holder = self::getContainer()->get('doctrine.debug_data_holder');
+        $holder->reset();
+
+        $http->request('GET', '/api/carriers?search='.$token, ['headers' => ['Accept' => self::LD]]);
+
+        $data = $holder->getData();
+
+        return count($data['default'] ?? []);
+    }
+
+    private function token(): string
+    {
+        return 'List'.substr(bin2hex(random_bytes(4)), 0, 8);
+    }
+}
@@ -0,0 +1,276 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use App\Module\Commercial\Domain\Entity\ClientAddress;
+use App\Module\Core\Infrastructure\DataFixtures\RbacDemoFixtures;
+use App\Module\Sites\Domain\Entity\Site;
+use App\Module\Transport\Domain\Entity\CarrierPrice;
+use Symfony\Bundle\FrameworkBundle\Console\Application;
+use Symfony\Component\Console\Input\ArrayInput;
+use Symfony\Component\Console\Output\NullOutput;
+
+/**
+ * Sous-ressource Prix d'un transporteur (spec-back M4 § 4.5, ERP-161).
+ * POST /api/carriers/{id}/prices, PATCH/DELETE /api/carrier_prices/{id}.
+ *
+ * Contrat verifie (RG-4.09→4.11) :
+ *  - branche CLIENT incomplete -> 422 ;
+ *  - branche FOURNISSEUR incomplete -> 422 ;
+ *  - adresse de livraison etrangere au client -> 422 ;
+ *  - adresse d'appro etrangere au fournisseur -> 422 ;
+ *  - prix CLIENT / FOURNISSEUR complets -> 201 ;
+ *  - PATCH / DELETE OK avec transport.carriers.manage, 403 sans (view seul).
+ *
+ * @internal
+ */
+final class CarrierPriceApiTest extends AbstractCarrierApiTestCase
+{
+    private const string PWD = RbacDemoFixtures::DEMO_PASSWORD;
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        // Seed idempotent des roles + matrice § 5.2 + comptes demo (meme chemin
+        // qu'en recette), requis pour les tests de permission (bureau/commerciale).
+        self::bootKernel();
+        $application = new Application(self::$kernel);
+        $application->setAutoExit(false);
+        $exit = $application->run(
+            new ArrayInput([
+                'command'           => 'app:seed-rbac',
+                '--with-demo-users' => true,
+                '--password'        => self::PWD,
+            ]),
+            new NullOutput(),
+        );
+        self::assertSame(0, $exit, 'app:seed-rbac a echoue (permissions transport.carriers.* synchronisees ?).');
+
+        self::ensureKernelShutdown();
+    }
+
+    public function testIncompleteClientBranchReturns422(): void
+    {
+        // RG-4.10 : direction CLIENT sans client / adresse / site de depart -> 422.
+        $carrier = $this->seedCarrier('Prix Client Incomplet');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'     => 'CLIENT',
+                'containerType' => 'BENNE',
+                'pricingUnit'   => 'TONNE',
+                'price'         => '42.50',
+                'priceState'    => 'VALIDE',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testIncompleteSupplierBranchReturns422(): void
+    {
+        // RG-4.11 : direction FOURNISSEUR sans fournisseur / adresse / site -> 422.
+        $carrier = $this->seedCarrier('Prix Fournisseur Incomplet');
+        $client  = $this->createAdminClient();
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'     => 'FOURNISSEUR',
+                'containerType' => 'FOND_MOUVANT',
+                'pricingUnit'   => 'FORFAIT',
+                'price'         => '320.00',
+                'priceState'    => 'EN_COURS',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testForeignClientAddressReturns422(): void
+    {
+        // RG-4.10 : l'adresse de livraison doit appartenir au client choisi.
+        $carrier = $this->seedCarrier('Prix Adresse Etrangere Client');
+        $addrA   = $this->seedClientWithAddress('Client A');
+        $addrB   = $this->seedClientWithAddress('Client B');
+        $this->getEm()->flush();
+        $siteId = $this->aSiteId();
+
+        $client = $this->createAdminClient();
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'             => 'CLIENT',
+                'client'                => '/api/clients/'.$addrA->getClient()?->getId(),
+                'clientDeliveryAddress' => '/api/client_addresses/'.$addrB->getId(), // adresse du client B
+                'departureSite'         => '/api/sites/'.$siteId,
+                'containerType'         => 'BENNE',
+                'pricingUnit'           => 'TONNE',
+                'price'                 => '42.50',
+                'priceState'            => 'VALIDE',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testForeignSupplierAddressReturns422(): void
+    {
+        // RG-4.11 : l'adresse d'appro doit appartenir au fournisseur choisi.
+        $carrier = $this->seedCarrier('Prix Adresse Etrangere Fournisseur');
+        $addrA   = $this->seedSupplierWithAddress('Fournisseur A');
+        $addrB   = $this->seedSupplierWithAddress('Fournisseur B');
+        $this->getEm()->flush();
+        $siteId = $this->aSiteId();
+
+        $client = $this->createAdminClient();
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'             => 'FOURNISSEUR',
+                'supplier'              => '/api/suppliers/'.$addrA->getSupplier()?->getId(),
+                'supplierSupplyAddress' => '/api/supplier_addresses/'.$addrB->getId(), // adresse du fournisseur B
+                'deliverySite'          => '/api/sites/'.$siteId,
+                'containerType'         => 'FOND_MOUVANT',
+                'pricingUnit'           => 'FORFAIT',
+                'price'                 => '320.00',
+                'priceState'            => 'EN_COURS',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(422);
+    }
+
+    public function testValidClientPriceIsCreated(): void
+    {
+        $carrier = $this->seedCarrier('Prix Client Valide');
+        $addr    = $this->seedClientWithAddress('Client OK');
+        $this->getEm()->flush();
+        $siteId = $this->aSiteId();
+
+        $client = $this->createAdminClient();
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'             => 'CLIENT',
+                'client'                => '/api/clients/'.$addr->getClient()?->getId(),
+                'clientDeliveryAddress' => '/api/client_addresses/'.$addr->getId(),
+                'departureSite'         => '/api/sites/'.$siteId,
+                'containerType'         => 'BENNE',
+                'pricingUnit'           => 'TONNE',
+                'price'                 => '42.50',
+                'priceState'            => 'VALIDE',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+        self::assertJsonContains(['direction' => 'CLIENT', 'priceState' => 'VALIDE']);
+    }
+
+    public function testValidSupplierPriceIsCreated(): void
+    {
+        $carrier = $this->seedCarrier('Prix Fournisseur Valide');
+        $addr    = $this->seedSupplierWithAddress('Fournisseur OK');
+        $this->getEm()->flush();
+        $siteId = $this->aSiteId();
+
+        $client = $this->createAdminClient();
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => [
+                'direction'             => 'FOURNISSEUR',
+                'supplier'              => '/api/suppliers/'.$addr->getSupplier()?->getId(),
+                'supplierSupplyAddress' => '/api/supplier_addresses/'.$addr->getId(),
+                'deliverySite'          => '/api/sites/'.$siteId,
+                'containerType'         => 'FOND_MOUVANT',
+                'pricingUnit'           => 'FORFAIT',
+                'price'                 => '320.00',
+                'priceState'            => 'EN_COURS',
+            ],
+        ]);
+        self::assertResponseStatusCodeSame(201);
+        self::assertJsonContains(['direction' => 'FOURNISSEUR', 'priceState' => 'EN_COURS']);
+    }
+
+    public function testPatchAndDeleteSucceedWithManage(): void
+    {
+        $price  = $this->seedClientPrice('Patch Delete');
+        $client = $this->authenticatedClient('bureau', self::PWD); // manage (matrice § 5.2)
+
+        // PATCH (manage) -> 200
+        $client->request('PATCH', '/api/carrier_prices/'.$price->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['priceState' => 'NON_VALIDE'],
+        ]);
+        self::assertResponseStatusCodeSame(200);
+        self::assertJsonContains(['priceState' => 'NON_VALIDE']);
+
+        // DELETE (manage) -> 204
+        $client->request('DELETE', '/api/carrier_prices/'.$price->getId());
+        self::assertResponseStatusCodeSame(204);
+    }
+
+    public function testWriteForbiddenWithoutManage(): void
+    {
+        $price   = $this->seedClientPrice('Forbidden');
+        $carrier = $price->getCarrier();
+        self::assertNotNull($carrier);
+        $client = $this->authenticatedClient('commerciale', self::PWD); // view seul
+
+        $client->request('POST', '/api/carriers/'.$carrier->getId().'/prices', [
+            'headers' => ['Content-Type' => self::LD],
+            'json'    => ['direction' => 'CLIENT'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('PATCH', '/api/carrier_prices/'.$price->getId(), [
+            'headers' => ['Content-Type' => self::MERGE],
+            'json'    => ['priceState' => 'VALIDE'],
+        ]);
+        self::assertResponseStatusCodeSame(403);
+
+        $client->request('DELETE', '/api/carrier_prices/'.$price->getId());
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    /** Id d'un site fixture (adresse de depart / livraison des prix). */
+    private function aSiteId(): int
+    {
+        $site = $this->getEm()->getRepository(Site::class)->findOneBy([]);
+        self::assertNotNull($site, 'Un site fixture est requis (SitesFixtures).');
+        $id = $site->getId();
+        self::assertNotNull($id);
+
+        return $id;
+    }
+
+    /**
+     * Seede un transporteur + un prix CLIENT complet rattache (pour les tests
+     * PATCH / DELETE). Passe par l'EM directement (le flux d'ecriture est teste
+     * via l'API ailleurs).
+     */
+    private function seedClientPrice(string $name): CarrierPrice
+    {
+        $em      = $this->getEm();
+        $carrier = $this->seedCarrier($name);
+
+        /** @var ClientAddress $addr */
+        $addr = $this->seedClientWithAddress($name);
+
+        $price = new CarrierPrice();
+        $price->setCarrier($carrier);
+        $price->setDirection('CLIENT');
+        $price->setClient($addr->getClient());
+        $price->setClientDeliveryAddress($addr);
+        $price->setDepartureSite($em->getRepository(Site::class)->findOneBy([]));
+        $price->setContainerType('BENNE');
+        $price->setPricingUnit('TONNE');
+        $price->setPrice('42.50');
+        $price->setPriceState('VALIDE');
+        $carrier->addPrice($price);
+        $em->persist($price);
+        $em->flush();
+
+        return $price;
+    }
+}
@@ -0,0 +1,161 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use App\Module\Transport\Domain\Entity\Carrier;
+use PhpOffice\PhpSpreadsheet\IOFactory;
+
+/**
+ * Tests fonctionnels de l'export XLSX du tableau Prix d'un transporteur (M4,
+ * § 4.6 / spec-front « Onglet Prix »).
+ *
+ * Couvre : reponse 200 (Content-Type + Content-Disposition + en-tetes), rendu des
+ * lignes regroupees par type de contenant (Benne / Fond Mouvant) avec ventilation
+ * Forfait/Tonne, libelles d'etat FR, points de depart/livraison cross-module,
+ * 404 sur transporteur inconnu, 403 sans transport.carriers.view, 401 anonyme.
+ *
+ * @internal
+ */
+final class CarrierPriceExportControllerTest extends AbstractCarrierApiTestCase
+{
+    private const string XLSX_MIME = 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet';
+
+    public function testExportReturnsXlsxResponseWithAttachmentFilename(): void
+    {
+        $client  = $this->createAdminClient();
+        $carrier = $this->seedCompleteCarrier('Price Alpha');
+
+        $response = $client->request('GET', $this->exportUrl($carrier));
+
+        self::assertResponseIsSuccessful();
+        $headers = $response->getHeaders(false);
+        self::assertStringContainsString(self::XLSX_MIME, $headers['content-type'][0] ?? '');
+
+        $disposition = $headers['content-disposition'][0] ?? '';
+        self::assertStringContainsString('attachment; filename="prix-transporteur-', $disposition);
+        self::assertMatchesRegularExpression(
+            '/filename="prix-transporteur-\d+-\d{8}\.xlsx"/',
+            $disposition,
+        );
+
+        $headerRow = $this->gridFromResponse($response->getContent())[0];
+        self::assertSame('Type de contenant', $headerRow[0]);
+        self::assertContains('Transporteurs', $headerRow);
+        self::assertContains('Adresse APRO ou Adresse Sites', $headerRow);
+        self::assertContains('Adresse livraisons', $headerRow);
+        self::assertContains('Forfait €', $headerRow);
+        self::assertContains('Tonne €', $headerRow);
+        self::assertContains('Indexation', $headerRow);
+        self::assertContains('État du prix', $headerRow);
+    }
+
+    /**
+     * Le transporteur complet seede 2 prix : une branche CLIENT (Benne / Tonne /
+     * 42.50 / Valide) et une branche FOURNISSEUR (Fond Mouvant / Forfait / 320.00 /
+     * En cours). On verifie le regroupement par contenant, la ventilation
+     * Forfait/Tonne, les libelles d'etat FR et les points de depart/livraison
+     * cross-module (le prix CLIENT livre chez le client, le prix FOURNISSEUR part
+     * de l'adresse du fournisseur).
+     */
+    public function testExportRendersGroupedPriceRows(): void
+    {
+        $client  = $this->createAdminClient();
+        $carrier = $this->seedCompleteCarrier('Price Grouping');
+
+        $grid = $this->gridFromResponse($client->request('GET', $this->exportUrl($carrier))->getContent());
+
+        $benne = $this->rowForContainer($grid, 'Benne');
+        self::assertNotNull($benne, 'Ligne « Benne » introuvable dans l\'export prix.');
+        self::assertSame($carrier->getName(), $benne[1]);
+        // Branche CLIENT : prix en Tonne (42.50 -> 42.5 apres typage numerique du
+        // classeur), colonne Forfait vide, etat « Valide », livraison chez le client.
+        self::assertEmpty($benne[4]);
+        self::assertEqualsWithDelta(42.5, (float) $benne[5], 0.001);
+        self::assertSame('Validé', $benne[7]);
+        self::assertStringContainsString('TESTCARRIERREF CLI', (string) $benne[3]);
+
+        $fondMouvant = $this->rowForContainer($grid, 'Fond Mouvant');
+        self::assertNotNull($fondMouvant, 'Ligne « Fond Mouvant » introuvable dans l\'export prix.');
+        // Branche FOURNISSEUR : prix au Forfait (320.00 -> 320), colonne Tonne vide,
+        // etat « En cours », depart depuis l'adresse du fournisseur (APRO).
+        self::assertEqualsWithDelta(320.0, (float) $fondMouvant[4], 0.001);
+        self::assertEmpty($fondMouvant[5]);
+        self::assertSame('En cours', $fondMouvant[7]);
+        self::assertStringContainsString('TESTCARRIERREF FRN', (string) $fondMouvant[2]);
+    }
+
+    public function testNotFoundForUnknownCarrier(): void
+    {
+        $client = $this->createAdminClient();
+
+        $client->request('GET', '/api/carriers/99999999/prices/export.xlsx');
+
+        self::assertResponseStatusCodeSame(404);
+    }
+
+    public function testForbiddenWithoutCarriersViewPermission(): void
+    {
+        $carrier = $this->seedCompleteCarrier('Price Forbidden');
+
+        $creds  = $this->createUserWithPermission('core.users.view');
+        $client = $this->authenticatedClient($creds['username'], $creds['password']);
+
+        $client->request('GET', $this->exportUrl($carrier));
+
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    public function testUnauthorizedWhenAnonymous(): void
+    {
+        $carrier = $this->seedCompleteCarrier('Price Anonymous');
+
+        $client = self::createClient();
+        $client->request('GET', $this->exportUrl($carrier));
+
+        self::assertResponseStatusCodeSame(401);
+    }
+
+    private function exportUrl(Carrier $carrier): string
+    {
+        return sprintf('/api/carriers/%d/prices/export.xlsx', (int) $carrier->getId());
+    }
+
+    /**
+     * Relit le binaire XLSX d'une reponse et renvoie la grille de cellules.
+     *
+     * @return array<int, array<int, mixed>>
+     */
+    private function gridFromResponse(string $binary): array
+    {
+        $tmp = tempnam(sys_get_temp_dir(), 'xlsx_carrier_price_export_test_');
+        self::assertIsString($tmp);
+        file_put_contents($tmp, $binary);
+
+        try {
+            return IOFactory::load($tmp)->getActiveSheet()->toArray();
+        } finally {
+            @unlink($tmp);
+        }
+    }
+
+    /**
+     * Renvoie la 1re ligne de donnees dont la colonne « Type de contenant »
+     * (1re colonne) vaut $container, ou null.
+     *
+     * @param array<int, array<int, mixed>> $grid
+     *
+     * @return null|array<int, mixed>
+     */
+    private function rowForContainer(array $grid, string $container): ?array
+    {
+        foreach (array_slice($grid, 1) as $row) {
+            if ((string) ($row[0] ?? '') === $container) {
+                return $row;
+            }
+        }
+
+        return null;
+    }
+}
@@ -0,0 +1,129 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Transport\Api;
+
+use ApiPlatform\Symfony\Bundle\Test\Client;
+use App\Module\Core\Infrastructure\DataFixtures\RbacDemoFixtures;
+use DateTimeImmutable;
+use Symfony\Bundle\FrameworkBundle\Console\Application;
+use Symfony\Component\Console\Input\ArrayInput;
+use Symfony\Component\Console\Output\NullOutput;
+
+/**
+ * Endpoint de recherche du referentiel QUALIMAT (spec-back M4 § 4.7 / RG-4.01,
+ * ERP-156). Saisie assistee du nom : GET /api/qualimat_carriers?search= .
+ *
+ * Contrat verifie :
+ *  - recherche fuzzy sur name (+ siret), SEULEMENT les lignes actives ;
+ *  - tri name ASC ;
+ *  - enveloppe Hydra paginee (member / totalItems / view — regle n°13) ;
+ *  - 403 sans la permission transport.carriers.view (compta/usine, matrice § 5.2).
+ *
+ * @internal
+ */
+final class QualimatCarrierSearchTest extends AbstractCarrierApiTestCase
+{
+    private const string PWD = RbacDemoFixtures::DEMO_PASSWORD;
+
+    /** Prefixe SIRET dedie (purge par AbstractCarrierApiTestCase::tearDown). */
+    private const string SIRET_PREFIX = 'TESTQ';
+
+    protected function setUp(): void
+    {
+        parent::setUp();
+
+        // Seed idempotent des roles + matrice § 5.2 + comptes demo (meme chemin
+        // qu'en recette), requis pour le test de permission (usine sans acces).
+        self::bootKernel();
+        $application = new Application(self::$kernel);
+        $application->setAutoExit(false);
+        $exit = $application->run(
+            new ArrayInput([
+                'command'           => 'app:seed-rbac',
+                '--with-demo-users' => true,
+                '--password'        => self::PWD,
+            ]),
+            new NullOutput(),
+        );
+        self::assertSame(0, $exit, 'app:seed-rbac a echoue (permissions transport.carriers.* synchronisees ?).');
+
+        self::ensureKernelShutdown();
+    }
+
+    public function testSearchReturnsOnlyActiveOrderedByName(): void
+    {
+        // Marqueur unique partage par les 3 lignes : isole la recherche d'eventuelles
+        // autres lignes du referentiel.
+        $this->insertQualimat('QSEARCH GAMMA', true, 'A1');
+        $this->insertQualimat('QSEARCH ALPHA', true, 'A2');
+        $this->insertQualimat('QSEARCH BETA', false, 'A3'); // inactive -> exclue
+
+        $client = $this->createAdminClient();
+        $client->request('GET', '/api/qualimat_carriers?search=qsearch', ['headers' => ['Accept' => self::LD]]);
+        self::assertResponseIsSuccessful();
+
+        $data = $client->getResponse()->toArray();
+        $names = array_column($data['member'], 'name');
+
+        self::assertSame(2, $data['totalItems'], 'Seules les 2 lignes actives doivent remonter (BETA inactive exclue).');
+        self::assertSame(['QSEARCH ALPHA', 'QSEARCH GAMMA'], $names, 'Tri name ASC, sans la ligne inactive.');
+    }
+
+    public function testSearchMatchesSiret(): void
+    {
+        // Le nom ne porte pas le marqueur : la correspondance se fait via le siret.
+        $this->insertQualimat('TRANSPORTEUR SANS MARQUEUR', true, 'SIRETHIT1');
+
+        $client = $this->createAdminClient();
+        $client->request('GET', '/api/qualimat_carriers?search=testqsirethit1', ['headers' => ['Accept' => self::LD]]);
+        self::assertResponseIsSuccessful();
+
+        $data = $client->getResponse()->toArray();
+        self::assertSame(1, $data['totalItems'], 'La recherche fuzzy doit aussi cibler le siret.');
+        self::assertSame('TRANSPORTEUR SANS MARQUEUR', $data['member'][0]['name']);
+    }
+
+    public function testCollectionExposesHydraPagination(): void
+    {
+        $this->insertQualimat('QPAGE UN', true, 'P1');
+        $this->insertQualimat('QPAGE DEUX', true, 'P2');
+        $this->insertQualimat('QPAGE TROIS', true, 'P3');
+
+        $client = $this->createAdminClient();
+        $client->request('GET', '/api/qualimat_carriers?search=qpage&itemsPerPage=2', ['headers' => ['Accept' => self::LD]]);
+        self::assertResponseIsSuccessful();
+
+        $data = $client->getResponse()->toArray();
+        self::assertArrayHasKey('totalItems', $data, 'La collection doit exposer totalItems.');
+        self::assertArrayHasKey('view', $data, 'La collection doit exposer view quand totalItems > itemsPerPage.');
+        self::assertIsArray($data['member']);
+        self::assertSame(3, $data['totalItems']);
+        self::assertCount(2, $data['member'], 'La page doit etre bornee a itemsPerPage=2.');
+    }
+
+    public function testForbiddenWithoutPermission(): void
+    {
+        // Usine : aucun acces transporteurs (matrice § 5.2) -> 403 sur la recherche.
+        $client = $this->authenticatedClient('usine', self::PWD);
+        $client->request('GET', '/api/qualimat_carriers', ['headers' => ['Accept' => self::LD]]);
+        self::assertResponseStatusCodeSame(403);
+    }
+
+    /**
+     * Insere une ligne qualimat_carrier de test en DBAL brut (l'entite mappee est
+     * en lecture seule). SIRET prefixe TESTQ pour la purge ciblee du tearDown.
+     */
+    private function insertQualimat(string $name, bool $isActive, string $siretSuffix): void
+    {
+        $this->getEm()->getConnection()->insert('qualimat_carrier', [
+            'siret'          => self::SIRET_PREFIX.$siretSuffix,
+            'name'           => $name,
+            'status'         => 'Valide',
+            'validity_date'  => '2027-12-31',
+            'is_active'      => $isActive ? 'true' : 'false',
+            'last_synced_at' => (new DateTimeImmutable())->format('Y-m-d H:i:s'),
+        ]);
+    }
+}
Author	SHA1	Message	Date
Matthieu	ba7a93c9de	test(transport) : couverture RG-4.01→4.14 + contrat + fixtures (ERP-163) - CarrierListTest : anti-N+1 liste (fetch-join qualimat), tri name ASC, echappatoire ?pagination=false (regle n°13) - CarrierAuditTest : POST/PATCH/archive -> audit_log entity_type='transport.Carrier' - CarrierAddressApiTest : CP/ville incoherents acceptes (RG-4.06, pas de controle de coherence serveur) - CarrierFixtures : fixtures dev completes et idempotentes (QUALIMAT validite passee, AUTRE+decharge, affrete, LIOT, complet prix CLIENT+FOURNISSEUR, archive) ; env-gated dev uniquement - spec-back § 4.0.bis : JSON reel capture (liste + detail) via CarrierSerializationContractTest	2026-06-16 11:40:47 +02:00
Matthieu	f0c09d6961	feat(transport) : export XLSX répertoire + prix transporteur (ERP-162) GET /api/carriers/export.xlsx (mêmes filtres que la liste : includeArchived, search, certificationType) et GET /api/carriers/{id}/prices/export.xlsx (tableau Prix regroupé Benne / Fond Mouvant). Controllers Symfony custom avec #[Route(priority: 1)] pour éviter le conflit API Platform {id}, génération déléguée au service Shared SpreadsheetExporterInterface.	2026-06-16 11:07:46 +02:00
Matthieu	6b1e2c2a80	feat(transport) : sous-ressource prix transporteur (ERP-161) POST /api/carriers/{id}/prices + PATCH/DELETE /api/carrier_prices/{id} (security transport.carriers.manage) via CarrierPriceProcessor. RG-4.09->4.11 : coherence de branche CLIENT/FOURNISSEUR (champs requis + appartenance de l'adresse de livraison au client / de l'adresse d'appro au fournisseur, sinon 422), nettoyage de la branche opposee (CHECK BDD). Champs communs obligatoires via Assert\NotBlank + Assert\Choice. Les contrats Shared ClientAddressInterface / SupplierAddressInterface exposent desormais getClient() / getSupplier() (canal cross-module, regle n°1) pour la verification d'appartenance. Colonnes enum du prix whitelistees dans le miroir Assert\Length (deja bornees par Choice).	2026-06-16 10:42:41 +02:00
Matthieu	8570bd09f0	feat(transport) : sous-ressource contacts transporteur (ERP-160)	2026-06-16 10:18:10 +02:00
Matthieu	54ac034c1b	feat(transport) : sous-ressource adresses transporteur (ERP-159) POST /api/carriers/{id}/addresses + PATCH/DELETE /api/carrier_addresses/{id} (security transport.carriers.manage), spec-back § 4.5. Jumelle de SupplierAddress (M2) / ProviderAddress (M3), sans address_type ni M2M. - CarrierAddress : ajout #[ApiResource] (Get/Post/Patch/Delete) + groupe d'ecriture carrier:write:addresses + contraintes FR. RG-4.06 : code postal ^[0-9]{4,5}$ (Assert\Regex). Mapping ORM/colonnes inchange. - CarrierAddressProcessor : rattachement parent (404 si absent) + RG-4.05 (transporteur affrete -> Pays/CP/Ville/Adresse obligatoires, 422 par champ). RG-4.05 portee par le processor car le parent est indisponible a la validation Symfony sur un POST sous-ressource read:false. RG-4.07 = front (PATCH accepte). - EXCLUDED_LENGTH_MIRROR : CarrierAddress::postalCode (Regex borne la longueur). - Tests : CP invalide 422, affrete incomplet 422, affrete complet 201, PATCH/DELETE OK (manage), 403 sans manage.	2026-06-16 09:19:20 +02:00
Matthieu	456c6682b0	feat(transport) : endpoint recherche QualimatCarrier (ERP-156) GET /api/qualimat_carriers?search= pour la saisie assistee du nom (RG-4.01, spec-back § 4.7) : recherche fuzzy sur name (+ siret), restreinte aux lignes actives (is_active = true), triee name ASC, paginee (regle n°13). - QualimatCarrierRepositoryInterface + DoctrineQualimatCarrierRepository : QueryBuilder de recherche (forcage is_active cote serveur, fuzzy multi-champs). - QualimatCarrierSearchProvider : provider de la GetCollection (pagination Hydra + echappatoire ?pagination=false), branche uniquement sur la collection. - ApiResource : provider custom sur GetCollection, retrait des ApiFilter natifs (incapables d'unifier name/siret sous ?search= ni d'imposer l'actif). Mapping ORM inchange (schema:update reste no-op). Aucune ecriture exposee. - Tests : actifs seuls, tri name, match siret, pagination Hydra, 403 sans perm.	2026-06-16 08:34:28 +02:00