Valentin ROBIN dc99af6bb3 Durcit la sécurité : plafond de score réaliste, REVOKE explicites, banque de questions du Char réservée aux juges ...

Un score falsifié envoyé directement à submit_icarus_score/submit_melon_score pouvait se convertir en vraies gloires au Tribunal (plafond abaissé de 1 000 000 à 5000, contrainte + RPC). Les fonctions cron-only award_*_points_if_due() n'étaient protégées que par un commentaire, pas un vrai REVOKE. Le bucket avatars n'avait aucune limite de taille/type. La banque complète des questions du Char (spoiler du jeu) était lisible par tout Citoyen via /char ou un appel direct — RLS restreinte aux juges, /char passe désormais par la RPC chariot_revealed_question().

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

2026-08-24 04:41:39 +02:00

..

schema.sql

Durcit la sécurité : plafond de score réaliste, REVOKE explicites, banque de questions du Char réservée aux juges

2026-08-24 04:41:39 +02:00