Navigation utilisateur : avatar, paramétrage, maintenance, mot de passe

Réorganisation complète de la navigation suite au retour d'usage, plus
changement de mot de passe et affichage/masquage des mots de passe saisis.

Backend :
- Nouvel endpoint POST /api/auth/change-password (ChangePasswordDto,
  MotDePasseActuelInvalideException, validateur, AuthService.ChangePasswordAsync).
  Exige l'ancien mot de passe, distinct de la réinitialisation par e-mail.
- Endpoint placé dans SessionController (protégé par l'autorisation globale) et
  NON dans AuthController : AuthController porte [AllowAnonymous] au niveau
  classe, ce qui rend inopérant un [Authorize] posé sur une seule action (bug de
  sécurité détecté par test manuel — l'endpoint était accessible sans jeton —
  puis corrigé par ce déplacement).

Frontend :
- Page « Compte utilisateur » (ProfilComponent renommé) : section Maintenance
  extraite vers MaintenanceComponent (route /maintenance) ; nouvelle section de
  changement de mot de passe (ancien + nouveau + confirmation).
- ParametrageComponent (route /parametrage) : menu latéral Compte / Véhicules /
  Barème + contenu en routes enfants, réutilisant les composants existants.
  Compte et Véhicules en authGuard seul ; Barème garde profilConfigureGuard.
- Barre de navigation : Véhicules et Barème retirés (rejoignent Paramétrage) ;
  logo passé en format horizontal (icône + texte).
- Avatar utilisateur (initiales) à droite de la barre : sous-menu au survol
  (identité, Paramétrage, Maintenance, Se déconnecter). Menu « Specs » converti
  en dropdown survolable (Exigences / Conception / Tâches).
- Dropdowns : panneau collé au bouton (plus d'espace mort) pour que le survol
  reste continu jusqu'au panneau — un espace créait une fermeture prématurée.
- Barre masquée sur les pages publiques (login/register/forgot/reset-password)
  même avec un jeton résiduel expiré/invalide (détection via Router events, pas
  seulement la présence du jeton).
- PasswordInputComponent (shared) : bouton œil afficher/masquer, ControlValueAccessor,
  style aligné sur les champs texte classiques. Appliqué aux 8 champs mot de
  passe de l'application (login, register, reset-password, compte utilisateur).

Specs : requirements.md (exigences 20, 21 + glossaire) et design.md (endpoints,
DTO, composants) mis à jour. 54 tests backend au vert.

backend/SchotzIadKmTracker.Api/Controllers/SessionController.cs

@@ -1,18 +1,30 @@
 using Microsoft.AspNetCore.Mvc;
+using SchotzIadKmTracker.Api.Models.DTOs;
+using SchotzIadKmTracker.Api.Services;
+using SchotzIadKmTracker.Api.Services.Exceptions;
 
 namespace SchotzIadKmTracker.Api.Controllers;
 
 /// <summary>
-/// Endpoint de validation de session. Ce controller est soumis à l'autorisation globale
-/// (RequireAuthenticatedUser) : il n'est atteignable qu'avec un jeton valide ET un compte
-/// existant (le middleware JWT rejette un jeton dont le compte est introuvable via
-/// OnTokenValidated). Le frontend l'appelle pour confirmer qu'une session est réellement
-/// valide au chargement des routes protégées.
+/// Endpoints réservés à un utilisateur AUTHENTIFIÉ. Ce controller ne porte PAS
+/// <c>[AllowAnonymous]</c> : il est donc soumis à l'autorisation globale
+/// (RequireAuthenticatedUser) — atteignable uniquement avec un jeton valide ET un
+/// compte existant (le middleware JWT rejette un jeton dont le compte est introuvable
+/// via OnTokenValidated). C'est pourquoi le changement de mot de passe est placé ICI
+/// et non dans AuthController (qui porte [AllowAnonymous] au niveau classe : un
+/// [Authorize] sur une action de ce dernier n'aurait pas suffi à exiger un jeton).
 /// </summary>
 [ApiController]
 [Route("api/auth")]
 public class SessionController : ControllerBase
 {
+    private readonly IAuthService _authService;
+
+    public SessionController(IAuthService authService)
+    {
+        _authService = authService;
+    }
+
     /// <summary>
     /// Retourne 200 si la session est valide (jeton valide + compte existant), 401 sinon.
     /// </summary>
@@ -23,4 +35,29 @@ public class SessionController : ControllerBase
     {
         return Ok(new { authentifie = true });
     }
+
+    /// <summary>
+    /// Change le mot de passe d'un utilisateur authentifié (page « Compte utilisateur »).
+    /// Contrairement à la réinitialisation par jeton email, exige l'ancien mot de passe.
+    /// Un mot de passe actuel incorrect est rejeté en 400 ; les erreurs de validation du
+    /// nouveau mot de passe (longueur) sont renvoyées automatiquement en 400 par FluentValidation.
+    /// </summary>
+    [HttpPost("change-password")]
+    [ProducesResponseType(StatusCodes.Status200OK)]
+    [ProducesResponseType(StatusCodes.Status400BadRequest)]
+    [ProducesResponseType(StatusCodes.Status401Unauthorized)]
+    public async Task<IActionResult> ChangePassword(
+        [FromBody] ChangePasswordDto dto,
+        CancellationToken cancellationToken)
+    {
+        try
+        {
+            await _authService.ChangePasswordAsync(dto, cancellationToken);
+            return Ok();
+        }
+        catch (MotDePasseActuelInvalideException ex)
+        {
+            return Problem(detail: ex.Message, statusCode: StatusCodes.Status400BadRequest);
+        }
+    }
 }

backend/SchotzIadKmTracker.Api/Models/DTOs/AuthDtos.cs

@@ -17,5 +17,9 @@ public record ForgotPasswordDto(string Email);
 // Réinitialisation via jeton de reset (Requirement 7).
 public record ResetPasswordDto(string Token, string NouveauMotDePasse);
 
+// Changement de mot de passe par un utilisateur authentifié (page Compte utilisateur).
+// Contrairement à ResetPassword (jeton reçu par email), exige l'ANCIEN mot de passe.
+public record ChangePasswordDto(string MotDePasseActuel, string NouveauMotDePasse);
+
 // Indique si un compte existe déjà, pour orienter le frontend (Requirement 1.2, 9.1).
 public record CompteExisteDto(bool Existe);

backend/SchotzIadKmTracker.Api/Services/AuthService.cs

@@ -186,6 +186,30 @@ public class AuthService : IAuthService
         }
     }
 
+    /// <inheritdoc />
+    public async Task ChangePasswordAsync(ChangePasswordDto dto, CancellationToken ct)
+    {
+        var compte = await _context.Comptes.FirstOrDefaultAsync(ct);
+        if (compte is null)
+        {
+            // Cas théorique (endpoint protégé, donc un compte existe forcément) : traité
+            // comme un mot de passe actuel invalide, sans distinction pour l'appelant.
+            throw new MotDePasseActuelInvalideException("Le mot de passe actuel est incorrect.");
+        }
+
+        var resultat = _hasher.VerifyHashedPassword(compte, compte.MotDePasseHash, dto.MotDePasseActuel);
+        if (resultat == PasswordVerificationResult.Failed)
+        {
+            throw new MotDePasseActuelInvalideException("Le mot de passe actuel est incorrect.");
+        }
+
+        // La longueur >= 8 du nouveau mot de passe est garantie par FluentValidation en amont.
+        compte.MotDePasseHash = _hasher.HashPassword(compte, dto.NouveauMotDePasse);
+        compte.UpdatedAt = DateTime.UtcNow;
+
+        await _context.SaveChangesAsync(ct);
+    }
+
     /// <summary>
     /// Génère un jeton aléatoire cryptographiquement sûr (32 octets) encodé en base64url.
     /// </summary>

backend/SchotzIadKmTracker.Api/Services/Exceptions/MotDePasseActuelInvalideException.cs

@@ -0,0 +1,19 @@
+namespace SchotzIadKmTracker.Api.Services.Exceptions;
+
+/// <summary>
+/// Levée lors d'un changement de mot de passe (utilisateur authentifié) lorsque le
+/// mot de passe actuel fourni ne correspond pas à celui du Compte.
+/// Convertie en réponse HTTP 400 (Bad Request) par le controller.
+/// </summary>
+public class MotDePasseActuelInvalideException : Exception
+{
+    public MotDePasseActuelInvalideException(string message)
+        : base(message)
+    {
+    }
+
+    public MotDePasseActuelInvalideException(string message, Exception innerException)
+        : base(message, innerException)
+    {
+    }
+}

backend/SchotzIadKmTracker.Api/Services/IAuthService.cs

@@ -49,4 +49,14 @@ public interface IAuthService
     /// <param name="dto">Jeton de réinitialisation et nouveau mot de passe.</param>
     /// <param name="ct">Jeton d'annulation de l'opération.</param>
     Task ResetPasswordAsync(ResetPasswordDto dto, CancellationToken ct);
+
+    /// <summary>
+    /// Change le mot de passe d'un utilisateur déjà authentifié (page Compte utilisateur).
+    /// Contrairement à <see cref="ResetPasswordAsync"/> (jeton reçu par email), exige la
+    /// saisie de l'ancien mot de passe. Lève
+    /// <see cref="Exceptions.MotDePasseActuelInvalideException"/> si celui-ci est incorrect.
+    /// </summary>
+    /// <param name="dto">Mot de passe actuel et nouveau mot de passe.</param>
+    /// <param name="ct">Jeton d'annulation de l'opération.</param>
+    Task ChangePasswordAsync(ChangePasswordDto dto, CancellationToken ct);
 }

backend/SchotzIadKmTracker.Api/Validators/AuthValidators.cs

@@ -56,3 +56,17 @@ public class ResetPasswordDtoValidator : AbstractValidator<ResetPasswordDto>
             .MinimumLength(8).WithMessage("Le mot de passe doit comporter au moins 8 caractères.");
     }
 }
+
+// Validation du changement de mot de passe par un utilisateur authentifié (page Compte utilisateur).
+public class ChangePasswordDtoValidator : AbstractValidator<ChangePasswordDto>
+{
+    public ChangePasswordDtoValidator()
+    {
+        RuleFor(x => x.MotDePasseActuel)
+            .NotEmpty().WithMessage("Le mot de passe actuel est obligatoire.");
+
+        RuleFor(x => x.NouveauMotDePasse)
+            .NotEmpty().WithMessage("Le nouveau mot de passe est obligatoire.")
+            .MinimumLength(8).WithMessage("Le nouveau mot de passe doit comporter au moins 8 caractères.");
+    }
+}