test(sprint-S8.7): real coverage on patch-coverage gaps (88.88% → ~94%)

feat(sprint-S1.5+S1.6+S1.7): tests d'attaque ZIP slip / SSRF / CSRF + durcissement validate_http_url

fix(sprint-S1.4): forbid_dtd=True + tests d'attaque XXE/Billion Laughs/DTD

fix(sprint-S1.1)!: corriger XSS critique via Jinja2 autoescape=False (Bandit B701, CWE-94)

feat(sprint-H.4)!: drop _legacy/ prefix — interfaces/{cli,web} consolidées

feat(sprint-F)!: web/ → interfaces/web/_legacy/ (Phase 9)

fix(architecture): audit complet — corrige les violations de couches détectées par CI

feat(app): Sprint A14-S20 — CorpusService (import ZIP sandboxé + détection patterns image/GT)

feat(app): Sprint A14-S19 — WorkspaceManager + foyer définitif des helpers de path security

fix(security,metrics): Sprint A14-S1 — boucher les 6 P0 du rewrite ciblé