Étape 7 : authentification par lien magique + JWT + rôles

- app/auth/ : jetons (lien magique aléatoire haché SHA-256, JWT HS256),
  dépendances get_current_account / current_account_in_edition / require_roles
  + require_coordinator / require_staff, et ensure_can_write_position/_shift
- Endpoints app/api/auth.py : POST .../auth/magic-link (202 constant, pas de
  divulgation), POST .../auth/verify (JWT, jeton à usage unique), GET /auth/me
- Envoi d'email stubé : le lien est journalisé (logger app.auth, identifiants
  seulement, aucune donnée nominative)
- app/api/accounts.py : CRUD des comptes réservé à la COORDINATION
- Rôles appliqués sur toute l'API :
  COORDINATION accès complet ; RÉFÉRENT lecture globale + écriture sur ses
  seuls postes/créneaux/affectations ; BÉNÉVOLE sa fiche et ses affectations,
  aucune écriture
- imports.py aligné sur la dépendance get_edition (404 avant 403)
- Secret JWT porté à >= 32 octets (config, .env.example, docker-compose)
- seed : crée un compte VOLUNTEER pour chaque bénévole avec email (104 comptes)
- conftest : fixtures make_account / coordinator / as_account / raw_client ;
  la suite existante s'exécute en COORDINATION
- 13 tests d'authentification + de rôles ; 119 tests au total ; alembic check
  toujours vert (Account / MagicLinkToken déjà dans la migration 0001)

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/api/accounts.py

@@ -0,0 +1,78 @@
+"""Gestion des comptes par la coordination (créer un référent, un bénévole
+connecté…)."""
+
+import uuid
+
+from fastapi import APIRouter, Depends, HTTPException, Response, status
+from sqlalchemy.exc import IntegrityError
+from sqlmodel import Session, select
+
+from app.api._common import owned_or_404
+from app.api.deps import get_edition
+from app.api.schemas import AccountCreate, AccountRead
+from app.auth.deps import require_coordinator
+from app.db import get_session
+from app.models import Account, Edition, Volunteer
+
+router = APIRouter(
+    prefix="/editions/{edition_id}/accounts", tags=["accounts"]
+)
+
+
+@router.post("", response_model=AccountRead, status_code=status.HTTP_201_CREATED)
+def create_account(
+    payload: AccountCreate,
+    edition: Edition = Depends(get_edition),
+    _guard: Account = Depends(require_coordinator),
+    session: Session = Depends(get_session),
+) -> Account:
+    if payload.volunteer_id is not None:
+        volunteer = session.get(Volunteer, payload.volunteer_id)
+        if volunteer is None or volunteer.edition_id != edition.id:
+            raise HTTPException(
+                status_code=422, detail={"code": "account.volunteer_wrong_edition"}
+            )
+    account = Account(
+        edition_id=edition.id,
+        email=payload.email.strip(),
+        role=payload.role,
+        volunteer_id=payload.volunteer_id,
+    )
+    session.add(account)
+    try:
+        session.commit()
+    except IntegrityError as exc:
+        session.rollback()
+        raise HTTPException(
+            status_code=409, detail={"code": "account.duplicate"}
+        ) from exc
+    session.refresh(account)
+    return account
+
+
+@router.get("", response_model=list[AccountRead])
+def list_accounts(
+    edition: Edition = Depends(get_edition),
+    _guard: Account = Depends(require_coordinator),
+    session: Session = Depends(get_session),
+) -> list[Account]:
+    return list(
+        session.exec(
+            select(Account)
+            .where(Account.edition_id == edition.id)
+            .order_by(Account.email)
+        )
+    )
+
+
+@router.delete("/{account_id}", status_code=status.HTTP_204_NO_CONTENT)
+def delete_account(
+    account_id: uuid.UUID,
+    edition: Edition = Depends(get_edition),
+    _guard: Account = Depends(require_coordinator),
+    session: Session = Depends(get_session),
+) -> Response:
+    account = owned_or_404(session.get(Account, account_id), edition.id)
+    session.delete(account)
+    session.commit()
+    return Response(status_code=status.HTTP_204_NO_CONTENT)