Review PR #91 — Phase 1B.1 : Login HFR + Cookies Persistants
 
=== POINTS POSITIFS ===
 
Architecture propre
- Séparation claire : network (login + cookies), data (repository), auth (UI uniquement). Pas de module auth superflu.
- AuthState sealed class (Anonymous / Authenticated(pseudo))  typage propre, impossible de mélanger les états.
- LoginError sealed avec 4 cas — bon coverage des erreurs HFR (invalid creds, rate limit, network, unknown).
 
Sécurité
- ADR-002 corrigé : DataStore non chiffré + FBE plateforme. La rationale est solide — le password transite en clair sur le réseau HFR, donc chiffrer le cookie localement est du security theater face à un attaquant runtime.
- allowBackup="false" + fullBackupContent="false"  cookies exclus des backups Google Drive.
- Règle Konsist @AnonymousClient anti-leak : empêche au build d'injecter le qualifier sans cookies dans le code auth. Bonne idée de validation architecturale au compile-time.
 
Cold-start
- StateFlow<AuthState?> nullable avec initialValue = null pour éviter le flicker "Se connecter  Connecté" au démarrage. Le choix est explicitement documenté.
 
Tests
- 44 tests au total (6+10+6+7+3+11+1). Bonne couverture sur la chaîne complète : DataStoreCookieStore, PersistentCookieJar, AuthRemoteDataSource, DefaultAuthRepository, AuthChainIntegrationTest, LoginViewModel.
 
Docs/Changelog
- CHANGELOG, app/CHANGELOG, ADR-002, AGENTS.md, roadmap.md tous alignés. C'est méticuleux.
 
=== POINTS D'ATTENTION ===
 
1. Navigation : backStack.removeAt(backStack.lastIndex) — fragile
Le guard size > 1 suppose que LoginRoute est toujours au top du stack. Si jamais on ajoute un dialog ou une bottom sheet au-dessus, ce code casse.
Suggestion : vérifier explicitement que backStack.last() est bien LoginRoute avant de pop, ou utiliser une API Navigation plus idiomatique.
 
2. SharingStarted.Eagerly dans FlagsHomeViewModel
Eagerly lance la collecte immédiatement et la maintient tant que le scope est actif. C'est correct ici, mais si observeAuthState() fait des I/O au démarrage (lecture DataStore), le flow est actif même quand FlagsScreen n'est pas visible.
Pas critique pour 1B.1, mais à surveiller quand d'autres onglets consommeront ce même flow.
 
3. Session expiry reportée  risque UX
Le CHANGELOG note : "Détection session expirée (Interceptor sur 302  /login.php) reportée — Phase 1B.3 ou plus tard"
Conséquence : si le serveur HFR invalide le cookie (expiration serveur, password change côté web), l'app affiche toujours "Connecté en tant que X" mais les requêtes authentifiées échouent silencieusement.
Suggestion minimale : ajouter un TODO dans PersistentCookieJar ou AuthRepository pour documenter ce gap. Optionnel : un interceptor simple qui détecte un 302 vers /login.php et émet un AuthState.Anonymous.
 
4. FlagsHomeViewModel dans le module :app
Le ViewModel est dans fr.forumhfr.redface2 (module app) plutôt que dans flags ou auth. Acceptable en Phase 1B.1 (FlagsScreen est un placeholder), mais à migrer quand flags deviendra un vrai module.
 
5. InMemoryCookieJar supprimé
Pas de problème fonctionnel (aucun consumer), mais la suppression est un peu agressive si des tests d'intégration futurs en avaient besoin. Le CHANGELOG mentionne qu'il sera réintroduit sous src/test/ si besoin — OK.
 
6. android:fullBackupContent="false" — subtilité
fullBackupContent attend une ressource XML (un chemin vers un fichier de config), pas un booléen. La valeur "false" fonctionne par accident (Android ne trouve pas de ressource nommée false et désactive le full backup), mais c'est techniquement incorrect.
Suggestion : soit retirer android:fullBackupContent (puisque allowBackup="false" suffit à désactiver les backups), soit remplacer par un fichier XML <full-backup-content/> vide référencé correctement.
 
7. Konsist rule — scope potentiellement trop large
Le test matche file.path.contains("/auth/" ). Ça intercepte aussi les fichiers dans /authentication/ ou /author/ s'il y en a un jour.
Suggestion : être plus spécifique, ex: contains("/auth/" ) && !contains("/authentication/" ) ou matcher sur le package Kotlin plutôt que le chemin fichier.
 
=== VERDICT ===
- Architecture : ✅ Solide, bien séparée
- Sécurité : ✅ ADR-002 amendée correctement, allowBackup corrigé (voir remarque 6)
- Tests : ✅ 44 tests, bonne couverture
- Navigation :  Fragile sur le pop manuel (remarque 1)
- Docs : ✅ Très complète et cohérente
- Dettes techniques : Session expiry (remarque 3), FlagsHomeViewModel placement (remarque 4)
 
Recommandation : Merge après correction de fullBackupContent="false" (remarque 6, 2 min) et idéalement ajout d'un guard explicite sur le backStack.removeAt (remarque 1). Le reste est du backlog Phase 1B.2+.

There are 30 skills published by a single ClawHub author called imaflytok. They have names like Cron Helper, Env Manager, Workspace Init. If you glance at the descriptions, they look like utilities. Some of them are utilities. Cron Helper has 903 downloads. Agent Security has 685. OADP Agent Discovery has 475.
 
Install one and your AI agent silently registers itself with a server at “onlyflies.buzz.” It reports its name, its capabilities, and what skills it has installed. It stores credentials on disk. It checks in every four hours. If the right skills are installed, it generates a Hedera crypto wallet and registers the private key with the same server.
 
None of this requires you to click anything. The agent does it because the SKILL.md told it to.