Gestion des référents depuis la fiche bénévole

Un poste avait bien un `lead_account_id`, lu par l'écran référent
(`/mobile-referent`) et par les droits d'écriture (`ensure_can_write_position`),
mais rien ne permettait de le renseigner : aucun écran ne l'exposait, et
l'API ne validait même pas que la valeur envoyée désignait un compte référent
existant de la bonne édition.

Backend :
- `PATCH /editions/{id}/accounts/{account_id}` (nouveau) : change le `role`
  d'un compte, seulement entre LEAD et VOLUNTEER (lien magique dans les deux
  cas) — 422 `account.role_change_not_allowed` dès que COORDINATOR est
  impliqué (mot de passe en jeu, jamais touché ici). C'est ce qui permet de
  faire passer le compte d'un bénévole en référent.
- `POST`/`PATCH /positions` : `lead_account_id` vérifié — doit désigner un
  compte `Role.LEAD` de la même édition, sinon 422
  `position.lead_must_be_referent_account` (silencieusement accepté
  jusqu'ici, y compris un compte d'une autre édition ou du mauvais rôle).

Frontend (`ConfigVolunteers.tsx`) : nouvelle section « Référent des postes »
sur la fiche du bénévole, juste après l'accès de connexion — mêmes badges à
cocher que les vœux de poste/artiste. Cocher un poste crée ou met à niveau
(LEAD) l'accès de connexion du bénévole automatiquement ; décocher retire
seulement le poste, sans jamais rétrograder l'accès. Un bénévole dont le
compte est déjà COORDINATOR ne peut pas être désigné référent (il a déjà
accès à tout). Miroir complet côté mock (`accounts.update`,
`checkLeadAccount`) pour que la démonstration se comporte pareil.

Vérifié : 204 tests backend pertinents (14 nouveaux : 6 sur `PATCH accounts`,
8 sur la validation `lead_account_id`), ruff, alembic check ; typecheck/
lint/build/smoke frontend ; parcours complet testé en direct sur le jeu de
démo (création de compte, promotion LEAD, rejet COORDINATOR, affectation
référent) avant nettoyage des données de test.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/api/positions.py

@@ -1,8 +1,13 @@
-"""CRUD des postes."""
+"""CRUD des postes.
+
+`lead_account_id` (référent) ne peut désigner qu'un compte `Role.LEAD` de la
+même édition — voir `_check_lead_account`. C'est le seul moyen de donner à un
+bénévole une vue référent (`/mobile-referent`) à la connexion ; voir
+`api/accounts.py:update_account` pour le faire passer de VOLUNTEER à LEAD."""
 
 import uuid
 
-from fastapi import APIRouter, Depends, Response, status
+from fastapi import APIRouter, Depends, HTTPException, Response, status
 from sqlmodel import Session, select
 
 from app.api._common import owned_or_404
@@ -21,13 +26,28 @@ from app.auth.deps import (
     require_staff,
 )
 from app.db import get_session
-from app.models import Account, Edition, Position
+from app.models import Account, Edition, Position, Role
 
 router = APIRouter(
     prefix="/editions/{edition_id}/positions", tags=["positions"]
 )
 
 
+def _check_lead_account(
+    session: Session, edition: Edition, lead_account_id: uuid.UUID | None
+) -> None:
+    """`lead_account_id` doit désigner un compte RÉFÉRENT (`Role.LEAD`) de
+    cette même édition — sinon le poste se retrouve sans référent utilisable
+    (cf. `ensure_can_write_position`, `auth/deps.py`)."""
+    if lead_account_id is None:
+        return
+    lead = session.get(Account, lead_account_id)
+    if lead is None or lead.edition_id != edition.id or lead.role is not Role.LEAD:
+        raise HTTPException(
+            status_code=422, detail={"code": "position.lead_must_be_referent_account"}
+        )
+
+
 @router.post("", response_model=PositionRead, status_code=status.HTTP_201_CREATED)
 def create_position(
     payload: PositionCreate,
@@ -35,6 +55,7 @@ def create_position(
     _guard: Account = Depends(require_coordinator),
     session: Session = Depends(get_session),
 ) -> Position:
+    _check_lead_account(session, edition, payload.lead_account_id)
     position = Position(edition_id=edition.id, **payload.model_dump())
     session.add(position)
     session.flush()
@@ -80,7 +101,9 @@ def update_position(
 ) -> Position:
     position = owned_or_404(session.get(Position, position_id), edition.id)
     ensure_can_write_position(account, position)
-    for field, value in payload.model_dump(exclude_unset=True).items():
+    changes = payload.model_dump(exclude_unset=True)
+    _check_lead_account(session, edition, changes.get("lead_account_id"))
+    for field, value in changes.items():
         setattr(position, field, value)
     session.commit()
     session.refresh(position)