Étape 21 : formulaire public d'inscription des bénévoles

Retire « constructeur de formulaire » des exclusions du CLAUDE.md (§ 5) —
décision explicite prise en conversation.

Un formulaire par édition (COORDINATION choisit les champs actifs parmi
neuf : email, téléphone, vœux de poste — max 2, vœux d'artiste — un par
soir de festival, vœu de compagnon en texte libre, disponibilité/
cotisation déclaratives, photo, commentaire ; nom/prénom toujours
collectés) ouvert/fermé à volonté, avec un lien à partager
(/inscription, aucun compte requis).

Backend : FormTemplate/FormField (migration 0013), quatre nouveaux champs
sur Volunteer (photo, companion_wish_note, self_declared_available,
willing_to_pay_fee), app/api/forms.py — les deux seuls endpoints publics
de toute l'API (GET .../form/public, POST .../form/public/submit),
protégés par hCaptcha (app/forms/captcha.py, désactivé sans
HCAPTCHA_SECRET_KEY) et un filet de sécurité global par édition
(form_submission_limiter). resolve_owned_ids/set_artists/
set_wished_positions déplacés vers app/api/_common.py, partagés avec
volunteers.py.

Frontend : écran de configuration (/inscriptions) avec lien copiable et
bascule ouvert/fermé, formulaire public (/inscription, hors RequireAuth)
avec widget hCaptcha chargé dynamiquement, capture photo native
(<input capture>), vœux de poste/artiste avec les mêmes règles que le
back-end. Réponses du formulaire visibles et éditables depuis la fiche
bénévole existante (ConfigVolunteers.tsx).

Vérifié : pytest (273 passés), ruff, alembic check, tsc --noEmit, eslint,
vite build, smoke (rendu SSR de chaque écran + flux de bout en bout du
formulaire en mode démonstration) — tous verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

frontend/src/api/http-client.ts

@@ -13,12 +13,15 @@ import type {
   DayPartCreate,
   DayPartUpdate,
   EditionUpdate,
+  FormFieldsSet,
+  FormTemplateUpdate,
   ImportMapping,
   LoginRequest,
   MagicLinkRequest,
   PlanningNotificationRequest,
   PositionCreate,
   PositionUpdate,
+  PublicFormSubmission,
   ShiftCreate,
   ShiftUpdate,
   VerifyRequest,
@@ -144,6 +147,7 @@ export function createHttpApi(baseUrl: string): PlanningApi {
         request(`${base(editionId)}/volunteers/${id}`, { method: 'DELETE' }),
       planning: (editionId, id) =>
         request(`${base(editionId)}/volunteers/${id}/planning`),
+      photoBlob: (editionId, id) => requestBlob(`${base(editionId)}/volunteers/${id}/photo`),
     },
     accounts: {
       list: (editionId) => request(`${base(editionId)}/accounts`),
@@ -262,6 +266,39 @@ export function createHttpApi(baseUrl: string): PlanningApi {
         return blob;
       },
     },
+    forms: {
+      getTemplate: (editionId) => request(`${base(editionId)}/form`),
+      setFields: (editionId, body: FormFieldsSet) =>
+        request(`${base(editionId)}/form/fields`, {
+          method: 'PUT',
+          body: JSON.stringify(body),
+        }),
+      setOpen: (editionId, body: FormTemplateUpdate) =>
+        request(`${base(editionId)}/form`, { method: 'PATCH', body: JSON.stringify(body) }),
+      getPublicConfig: (editionId) => request(`${base(editionId)}/form/public`),
+      submitPublic: (editionId, body: PublicFormSubmission) => {
+        const form = new FormData();
+        form.append('first_name', body.first_name);
+        form.append('last_name', body.last_name);
+        form.append('hcaptcha_token', body.hcaptcha_token);
+        if (body.email) form.append('email', body.email);
+        if (body.phone) form.append('phone', body.phone);
+        if (body.comment) form.append('comment', body.comment);
+        if (body.companion_wish_note) form.append('companion_wish_note', body.companion_wish_note);
+        if (body.available !== undefined) form.append('available', String(body.available));
+        if (body.willing_to_pay_fee !== undefined) {
+          form.append('willing_to_pay_fee', String(body.willing_to_pay_fee));
+        }
+        if (body.position_wish_ids) {
+          form.append('position_wish_ids', JSON.stringify(body.position_wish_ids));
+        }
+        if (body.artist_wish_ids) {
+          form.append('artist_wish_ids', JSON.stringify(body.artist_wish_ids));
+        }
+        if (body.photo) form.append('photo', body.photo);
+        return request(`${base(editionId)}/form/public/submit`, { method: 'POST', body: form });
+      },
+    },
     solver: {
       run: (editionId) =>
         request(`${base(editionId)}/solver/suggestions`, { method: 'POST' }),