fix(test): Z3 — strip HTML comments du rendu pour bloquer le decoy

Niveau 3 de theater découvert : les tests qui grep le HTML RENDU
(``html_s7``, ``html_report``) sont trompés par les commentaires
HTML qui survivent au rendu Jinja (Jinja strip ses propres ``{# #}``
mais préserve les ``<!-- -->``).

Sabotage decoy reproduit :

<!-- decoy id="crosses-venn-title" -->
<h3 id="DEAD-VENN-TITLE" <!-- vrai titre cassé -->

Test ``assert 'id="crosses-venn-title"' in html_s7`` passe (decoy
matche), mais l'utilisateur ne voit AUCUN titre — la section
``crosses-venn-title`` est invisible/non navigable.

Fix : appliquer ``strip_comments(html, "html")`` AVANT chaque
assertion dans les tests X2 (les 7 hardenings que j'avais
introduits) :

- test_advanced_report.py : Venn, Wilcoxon, error-clusters,
correlation (4 tests)
- test_error_distribution.py : Gini scatter, Anchor scatter,
VLM badge (3 tests)

Tous utilisent désormais ``strip_comments(html, "html")`` avant
le ``in`` check. Le sabotage decoy est détecté (validé par 2
sabotages distincts : Venn + Gini via i18n dump).

Note de scope : seuls les 7 tests que j'ai durcis en X2 sont
modifiés. Les autres tests pré-existants (Sprint S5-S12) qui
grep html_s7 / html_report ont aussi cette dette ; out of scope
pour le commit X-Y-Z, à traiter dans un sprint dédié si demandé.

134 tests passants (les 2 modules affectés). Ruff propre.

https://claude.ai/code/session_01WYDbfkhKPeBZ15BTP4e9Ye

tests/evaluation/metrics/test_error_distribution.py

@@ -414,21 +414,16 @@ class TestReportSprint10:
         assert "Ancrage" in html_report
 
     def test_report_has_gini_cer_scatter_canvas(self, html_report):
-        # Sprint 11 : ``chart-gini-cer`` Chart.js migré vers SVG sous
-        # le titre « CER × Gini » dans crosses.
-        # X2 (audit) : assertion durcie sur l'aria-label exact du SVG
-        # généré par _build_cer_gini_scatter — unique dans le HTML
-        # (1 occurrence garantie).  L'ancien ``or "CER × Gini" in html``
-        # matchait aussi le titre h3, théoriquement OK mais la version
-        # ``or "Croisement..."`` rendait l'assertion disjonctive et
-        # fragile face à un changement d'un seul des deux libellés.
-        assert 'aria-label="Croisement CER vs Gini"' in html_report
+        # X2 + Z3 : aria-label exact du SVG généré par
+        # _build_cer_gini_scatter, après strip HTML comments pour
+        # empêcher le sabotage par decoy.
+        from tests._strip_helpers import strip_comments
+        assert 'aria-label="Croisement CER vs Gini"' in strip_comments(html_report, "html")
 
     def test_report_has_ratio_anchor_scatter_canvas(self, html_report):
-        # Sprint 11 : ``chart-ratio-anchor`` migré vers SVG
-        # « Ancrage × Longueur ».
-        # X2 : assertion durcie sur l'aria-label exact unique.
-        assert 'aria-label="Croisement ancrage vs ratio de longueur"' in html_report
+        # X2 + Z3 : aria-label exact unique, après strip HTML comments.
+        from tests._strip_helpers import strip_comments
+        assert 'aria-label="Croisement ancrage vs ratio de longueur"' in strip_comments(html_report, "html")
 
     def test_report_has_vlm_badge(self, html_report):
         """Le badge VLM doit apparaître pour le moteur zero-shot.
@@ -441,9 +436,10 @@ class TestReportSprint10:
         rendu.  Désormais on vérifie la chaîne exacte du badge HTML
         (chip pipeline-tag rendu par engines.cer_distribution renderer).
         """
-        assert "👁 VLM" in html_report, (
-            "Badge VLM (chip 👁 VLM) absent du HTML — pipeline zero-shot "
-            "non rendu correctement"
+        from tests._strip_helpers import strip_comments
+        assert "👁 VLM" in strip_comments(html_report, "html"), (
+            "Badge VLM (chip 👁 VLM) absent du HTML actif — pipeline zero-shot "
+            "non rendu correctement (Z3 : strip HTML comments contre decoy)"
         )
 
 

tests/reports/test_advanced_report.py

@@ -649,33 +649,31 @@ class TestHTMLSprint7Features:
 
     def test_html_contains_venn_container(self, html_s7):
         # Sprint 11 : Venn migré vers SVG côté serveur dans Crosses.
-        # X2 (audit) : assertion durcie sur l'ID exact du titre de
-        # section ; les anciennes assertions ``or "venn" in lower()``
-        # matchaient 16 endroits (commentaires, JSON, classes CSS) —
-        # theater.
-        assert 'id="crosses-venn-title"' in html_s7
+        # X2 + Z3 (audit) : assertion durcie sur l'ID exact du titre,
+        # avec strip des commentaires HTML pour empêcher le sabotage
+        # par decoy ``<!-- id="crosses-venn-title" -->`` qui satisferait
+        # le grep sans rien rendre de visible à l'utilisateur.
+        from tests._strip_helpers import strip_comments
+        assert 'id="crosses-venn-title"' in strip_comments(html_s7, "html")
 
     def test_html_contains_wilcoxon_table(self, html_s7):
         # Sprint 11 : Wilcoxon migré vers SVG ``wilcoxon-matrix``.
-        # X2 : assertion durcie sur la classe CSS spécifique
-        # ``wilcoxon-cell`` (utilisée par les <td> de la matrice,
-        # toujours combinée avec une classe variante donc avec
-        # espace trailing).  Le mot "wilcoxon" seul matche 129 fois
-        # dans le HTML (JSON, comments, JS) — theater.
-        assert 'class="wilcoxon-cell ' in html_s7
+        # X2 + Z3 : assertion durcie sur la classe ``wilcoxon-cell``
+        # (toujours combinée avec une variante, donc espace trailing).
+        # Strip des commentaires HTML pour empêcher le decoy.
+        from tests._strip_helpers import strip_comments
+        assert 'class="wilcoxon-cell ' in strip_comments(html_s7, "html")
 
     def test_html_contains_error_clusters(self, html_s7):
-        # X2 : durcissement sur l'ID exact du conteneur — l'ancienne
-        # substring "error-clusters" matchait aussi le commentaire
-        # historique de view_analyses (retiré).
-        assert 'id="error-clusters-container"' in html_s7
+        # X2 + Z3 : ID exact du conteneur, après strip HTML comments.
+        from tests._strip_helpers import strip_comments
+        assert 'id="error-clusters-container"' in strip_comments(html_s7, "html")
 
     def test_html_contains_correlation_matrix(self, html_s7):
-        # X2 : assertion durcie sur la classe CSS exacte rendue par
-        # le renderer Python (``corr-cell`` pour les cellules de la
-        # matrice).  Le mot "correlation" apparaît 21 fois en HTML
-        # (titres, comments, JS comments) — theater.
-        assert 'class="corr-cell mono"' in html_s7
+        # X2 + Z3 : classe CSS exacte rendue par le renderer Python,
+        # après strip HTML comments.
+        from tests._strip_helpers import strip_comments
+        assert 'class="corr-cell mono"' in strip_comments(html_s7, "html")
 
     def test_html_contains_difficulty_badge(self, html_s7):
         assert "difficulty" in html_s7.lower() or "diff-badge" in html_s7