ajoute Moodle LTI 1.3 (V2), une 6e façon de rejoindre une classe

LTI authentifie l'élève et le fait rejoindre sa classe (même code que
le code/QR existant), pas lancer un lab précis - relecture du
CLAUDE.md qui liste LTI avec les autres façons d'ajouter des élèves.
packbackbooks/lti-1p3-tool (Apache-2.0, recommandé par le CLAUDE.md),
trois ponts vers Redis/cookies/MariaDB, élève retrouvé par identité
Moodle stable pour ne jamais créer de doublon. Enregistrement d'une
plateforme/d'un déploiement par commande Artisan (opération rare,
faite à la main par Adam), jamais une page d'administration.

Corrige au passage un vrai bug préexistant trouvé en vérifiant en réel
sur le serveur : withoutMiddleware(ValidateCsrfToken::class) sur une
route ne retire jamais le vrai middleware CSRF (ValidateCsrfToken est
un alias déprécié de PreventRequestForgery, pas la classe réellement
enregistrée) - /csp-rapport avait le même défaut depuis l'étape 14,
invisible faute de surveillance. Corrigé pour les deux par la bonne
méthode (validateCsrfTokens except, dans bootstrap/app.php).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

portail/database/migrations/2026_10_14_113048_creer_table_lti_plateformes.php

@@ -0,0 +1,41 @@
+<?php
+
+use Illuminate\Database\Migrations\Migration;
+use Illuminate\Database\Schema\Blueprint;
+use Illuminate\Support\Facades\Schema;
+
+/**
+ * V2 (CLAUDE.md, section 6) : Moodle LTI 1.3, une 6ᵉ façon de rejoindre une
+ * classe. Une « plateforme » = un établissement Moodle enregistré à la
+ * main par Adam (`lti:enregistrer-plateforme`), jamais par un élève ou un
+ * prof — les informations viennent de l'administration Moodle.
+ */
+return new class extends Migration
+{
+    public function up(): void
+    {
+        Schema::create('lti_plateformes', function (Blueprint $table) {
+            $table->id();
+            $table->string('emetteur')->index();
+            $table->string('client_id')->index();
+            $table->string('url_jeu_cles');
+            $table->string('url_jeton_auth');
+            $table->string('url_connexion_auth');
+            $table->string('serveur_auth')->nullable();
+            // Clé du portail (pas de Moodle) : signe les appels que le
+            // portail ferait vers les services LTI (AGS, NRPS…), jamais
+            // utilisés aujourd'hui (voir ADR). Jamais dans Git, générée par
+            // le portail lui-même à l'enregistrement.
+            $table->text('cle_privee_outil');
+            $table->string('identifiant_cle')->nullable();
+            $table->timestamps();
+
+            $table->unique(['emetteur', 'client_id']);
+        });
+    }
+
+    public function down(): void
+    {
+        Schema::dropIfExists('lti_plateformes');
+    }
+};

portail/database/migrations/2026_10_14_113049_creer_table_lti_deploiements.php

@@ -0,0 +1,30 @@
+<?php
+
+use Illuminate\Database\Migrations\Migration;
+use Illuminate\Database\Schema\Blueprint;
+use Illuminate\Support\Facades\Schema;
+
+/**
+ * Moodle crée un « deployment_id » distinct chaque fois que l'outil est
+ * ajouté à un cours : à enregistrer après coup (`lti:enregistrer-deploiement`),
+ * jamais deviné — un lancement dont le déploiement est inconnu est refusé.
+ */
+return new class extends Migration
+{
+    public function up(): void
+    {
+        Schema::create('lti_deploiements', function (Blueprint $table) {
+            $table->id();
+            $table->foreignId('lti_plateforme_id')->constrained()->cascadeOnDelete();
+            $table->string('deployment_id');
+            $table->timestamps();
+
+            $table->unique(['lti_plateforme_id', 'deployment_id']);
+        });
+    }
+
+    public function down(): void
+    {
+        Schema::dropIfExists('lti_deploiements');
+    }
+};

portail/database/migrations/2026_10_14_113050_ajoute_colonnes_lti_aux_eleves.php

@@ -0,0 +1,32 @@
+<?php
+
+use Illuminate\Database\Migrations\Migration;
+use Illuminate\Database\Schema\Blueprint;
+use Illuminate\Support\Facades\Schema;
+
+/**
+ * Un élève provisionné depuis Moodle (LTI) n'a pas de code secret qu'il
+ * utilise jamais : il se connecte toujours via Moodle. `lti_sub` (identité
+ * stable côté Moodle) sert à le retrouver d'un lancement à l'autre, sans
+ * créer un doublon de compte à chaque fois.
+ */
+return new class extends Migration
+{
+    public function up(): void
+    {
+        Schema::table('eleves', function (Blueprint $table) {
+            $table->string('lti_emetteur')->nullable()->after('jeton_qr');
+            $table->string('lti_sub')->nullable()->after('lti_emetteur');
+
+            $table->unique(['classe_id', 'lti_emetteur', 'lti_sub']);
+        });
+    }
+
+    public function down(): void
+    {
+        Schema::table('eleves', function (Blueprint $table) {
+            $table->dropUnique(['classe_id', 'lti_emetteur', 'lti_sub']);
+            $table->dropColumn(['lti_emetteur', 'lti_sub']);
+        });
+    }
+};