ajoute l'API publique /api/v1 (bloc B, premier chantier)

Catalogue en lecture seule (labs, banque de quiz officielle, cours) -
choix d'Adam pour la première version, zéro donnée d'élève. Laravel
Sanctum, un jeton Bearer par développeur créé depuis /jetons-api (un
prof), portée catalogue:lire seulement. Quota par jeton (pas par
compte ni par IP) dans Redis via un limiteur nommé, 60 requêtes/minute.
Documentation : spécification OpenAPI 3.0 et page publique /api/docs.

Désactive /sanctum/csrf-cookie (config/sanctum.php) : l'API est en
jeton Bearer seulement, jamais en cookie de SPA.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

portail/app/Http/Controllers/Api/V1/CoursController.php

@@ -0,0 +1,24 @@
+<?php
+
+namespace App\Http\Controllers\Api\V1;
+
+use App\Http\Controllers\Controller;
+use App\Http\Resources\Api\V1\CoursResource;
+use App\Models\Cours;
+use Illuminate\Http\Resources\Json\AnonymousResourceCollection;
+
+/**
+ * API publique v1 (bloc B) : catalogue des cours, en lecture seule.
+ */
+class CoursController extends Controller
+{
+    public function index(): AnonymousResourceCollection
+    {
+        return CoursResource::collection(Cours::orderBy('identifiant')->get());
+    }
+
+    public function show(Cours $cours): CoursResource
+    {
+        return new CoursResource($cours);
+    }
+}

portail/app/Http/Controllers/Api/V1/LabController.php

@@ -0,0 +1,24 @@
+<?php
+
+namespace App\Http\Controllers\Api\V1;
+
+use App\Http\Controllers\Controller;
+use App\Http\Resources\Api\V1\LabResource;
+use App\Models\Lab;
+use Illuminate\Http\Resources\Json\AnonymousResourceCollection;
+
+/**
+ * API publique v1 (bloc B) : catalogue des labs, en lecture seule.
+ */
+class LabController extends Controller
+{
+    public function index(): AnonymousResourceCollection
+    {
+        return LabResource::collection(Lab::orderBy('identifiant')->get());
+    }
+
+    public function show(Lab $lab): LabResource
+    {
+        return new LabResource($lab);
+    }
+}

portail/app/Http/Controllers/Api/V1/QuizController.php

@@ -0,0 +1,30 @@
+<?php
+
+namespace App\Http\Controllers\Api\V1;
+
+use App\Http\Controllers\Controller;
+use App\Http\Resources\Api\V1\QuizResource;
+use App\Models\Quiz;
+use Illuminate\Http\Resources\Json\AnonymousResourceCollection;
+
+/**
+ * API publique v1 (bloc B) : catalogue de la banque de quiz officielle,
+ * en lecture seule. Seulement les quiz officiels (avec un thème) : les
+ * quiz partagés entre profs restent internes à l'application.
+ */
+class QuizController extends Controller
+{
+    public function index(): AnonymousResourceCollection
+    {
+        return QuizResource::collection(
+            Quiz::where('partage', true)->whereNotNull('theme')->withCount('questions')->orderBy('theme')->get()
+        );
+    }
+
+    public function show(Quiz $quiz): QuizResource
+    {
+        abort_unless($quiz->partage && $quiz->theme !== null, 404);
+
+        return new QuizResource($quiz->loadCount('questions'));
+    }
+}

portail/app/Http/Controllers/TokenApiController.php

@@ -0,0 +1,45 @@
+<?php
+
+namespace App\Http\Controllers;
+
+use Illuminate\Http\RedirectResponse;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Auth;
+use Illuminate\View\View;
+use Laravel\Sanctum\PersonalAccessToken;
+
+/**
+ * Jetons de l'API publique (bloc B, CLAUDE.md) : un prof en crée pour un
+ * usage développeur (le sien ou celui d'un tiers à qui il le transmet).
+ * Le jeton en clair n'est montré qu'une fois à la création — même règle
+ * que le code secret d'un élève (ClasseController).
+ */
+class TokenApiController extends Controller
+{
+    public function index(): View
+    {
+        $prof = Auth::guard('web')->user();
+
+        return view('jetons-api', ['jetons' => $prof->tokens()->latest()->get()]);
+    }
+
+    public function store(Request $request): RedirectResponse
+    {
+        $donnees = $request->validate(['nom' => ['required', 'string', 'max:80']]);
+
+        $prof = Auth::guard('web')->user();
+        $jeton = $prof->createToken($donnees['nom'], ['catalogue:lire']);
+
+        return redirect()->route('jetons-api.index')->with('jeton_cree', $jeton->plainTextToken);
+    }
+
+    public function destroy(PersonalAccessToken $jeton): RedirectResponse
+    {
+        $prof = Auth::guard('web')->user();
+        abort_if($jeton->tokenable_id !== $prof->id || $jeton->tokenable_type !== $prof::class, 403);
+
+        $jeton->delete();
+
+        return redirect()->route('jetons-api.index');
+    }
+}

portail/app/Http/Resources/Api/V1/CoursResource.php

@@ -0,0 +1,23 @@
+<?php
+
+namespace App\Http\Resources\Api\V1;
+
+use App\Models\Cours;
+use Illuminate\Http\Request;
+use Illuminate\Http\Resources\Json\JsonResource;
+
+/** @mixin Cours */
+class CoursResource extends JsonResource
+{
+    /**
+     * @return array<string, mixed>
+     */
+    public function toArray(Request $request): array
+    {
+        return [
+            'identifiant' => $this->identifiant,
+            'titre' => $this->titre,
+            'contenu_markdown' => $this->when($request->routeIs('api.v1.cours.show'), $this->contenu_markdown),
+        ];
+    }
+}

portail/app/Http/Resources/Api/V1/LabResource.php

@@ -0,0 +1,25 @@
+<?php
+
+namespace App\Http\Resources\Api\V1;
+
+use App\Models\Lab;
+use Illuminate\Http\Request;
+use Illuminate\Http\Resources\Json\JsonResource;
+
+/** @mixin Lab */
+class LabResource extends JsonResource
+{
+    /**
+     * @return array<string, mixed>
+     */
+    public function toArray(Request $request): array
+    {
+        return [
+            'identifiant' => $this->identifiant,
+            'titre' => $this->titre,
+            'niveau' => $this->niveau,
+            'duree_min' => $this->duree_min,
+            'competences' => $this->competences,
+        ];
+    }
+}

portail/app/Http/Resources/Api/V1/QuizResource.php

@@ -0,0 +1,29 @@
+<?php
+
+namespace App\Http\Resources\Api\V1;
+
+use App\Models\Quiz;
+use Illuminate\Http\Request;
+use Illuminate\Http\Resources\Json\JsonResource;
+
+/**
+ * Catalogue seulement : titre, thème, nombre de questions — jamais les
+ * questions ni les réponses (banque officielle, lecture publique).
+ *
+ * @mixin Quiz
+ */
+class QuizResource extends JsonResource
+{
+    /**
+     * @return array<string, mixed>
+     */
+    public function toArray(Request $request): array
+    {
+        return [
+            'id' => $this->id,
+            'titre' => $this->titre,
+            'theme' => $this->theme,
+            'questions_count' => $this->whenCounted('questions'),
+        ];
+    }
+}

portail/app/Models/User.php

@@ -13,13 +13,14 @@ use Illuminate\Database\Eloquent\Relations\BelongsTo;
 use Illuminate\Database\Eloquent\Relations\HasMany;
 use Illuminate\Foundation\Auth\User as Authenticatable;
 use Illuminate\Notifications\Notifiable;
+use Laravel\Sanctum\HasApiTokens;
 
 #[Fillable(['name', 'email', 'password', 'etablissement_id'])]
 #[Hidden(['password', 'remember_token', 'jeton_session_actif'])]
 class User extends Authenticatable
 {
     /** @use HasFactory<UserFactory> */
-    use GerePreferences, GereSessionUnique, HasFactory, Notifiable;
+    use GerePreferences, GereSessionUnique, HasApiTokens, HasFactory, Notifiable;
 
     /**
      * Get the attributes that should be cast.

portail/app/Providers/AppServiceProvider.php

@@ -5,7 +5,10 @@ namespace App\Providers;
 use App\Models\Eleve;
 use App\Models\User;
 use App\Services\CompteurDevoirsEnAttente;
+use Illuminate\Cache\RateLimiting\Limit;
+use Illuminate\Http\Request;
 use Illuminate\Support\Facades\Auth;
+use Illuminate\Support\Facades\RateLimiter;
 use Illuminate\Support\Facades\View;
 use Illuminate\Support\ServiceProvider;
 
@@ -39,5 +42,13 @@ class AppServiceProvider extends ServiceProvider
                 'badgeMesDevoirs' => $compte instanceof Eleve ? CompteurDevoirsEnAttente::pour($compte) : 0,
             ]);
         });
+
+        // API publique (bloc B) : quota par jeton Sanctum, pas par compte ni
+        // par IP — un même prof avec deux jetons a deux quotas séparés.
+        // CACHE_STORE=redis en production (voir CLAUDE.md : « Redis pour les
+        // quotas »), stocké dans config/cache.php -> 'database' en local/test.
+        RateLimiter::for('api', fn (Request $request) => Limit::perMinute(60)->by(
+            $request->user()?->currentAccessToken()?->id ?? $request->ip()
+        ));
     }
 }