fix(M9): corrections d'audit FIXME_M9 — secrets, messages, validation, tests

Cinq corrections de l'audit FIXME_M9 :
- redact_secrets() étendue avec extra_secrets pour masquer les clés brutes ;
  providers stockent SecretStr jusqu'à l'appel SDK.
- _build_prompt() inclut le contenu des messages (tronqué à 500 car.) ;
  prompt système renforcé contre l'injection.
- _validate_output() supprime les emojis et rejette titre/liste/HTML → None.
- Tests litellm utilisent importorskip + LITELLM_LOCAL_MODEL_COST_MAP=true.
- .env.example désactive l'IA par défaut (AI_ENABLED=false).
- Documentation §9.2-§9.5 alignée avec l'implémentation (SDK openai, SecretStr,
  factory réelle, validation sortie, politique hors réseau).

Co-authored-by: opencode/coder <coder@agents.invalid>
Co-authored-by: opencode/test-engineer <test-engineer@agents.invalid>
Co-authored-by: opencode/tech-writer <tech-writer@agents.invalid>

pronote_sync/synthesis/litellm.py

@@ -16,6 +16,7 @@ import logging
 from typing import Any
 
 import litellm
+from pydantic import SecretStr
 
 from pronote_sync.models.synthesis import SynthesisInput, SynthesisResult
 from pronote_sync.synthesis.openai import OpenAISynthesisProvider
@@ -40,11 +41,15 @@ class LiteLLMSynthesisProvider:
     TEMPERATURE = OpenAISynthesisProvider.TEMPERATURE
 
     def __init__(
-        self, api_key: str, base_url: str | None = None, model: str = "gpt-4o-mini"
+        self, api_key: SecretStr, base_url: str | None = None, model: str = "gpt-4o-mini"
     ) -> None:
         """Initialise le fournisseur LiteLLM.
 
-        :param api_key: Clé API du fournisseur.
+        La clé API reste encapsulée dans un :class:`pydantic.SecretStr` et
+        n'est déballée qu'au moment de l'appel à ``litellm.completion``, afin
+        d'éviter toute fuite en clair dans les logs.
+
+        :param api_key: Clé API du fournisseur (secret).
         :param base_url: URL de base de l'API (``None`` pour l'URL par défaut).
         :param model: Identifiant du modèle.
         """
@@ -57,11 +62,14 @@ class LiteLLMSynthesisProvider:
 
         Construit le prompt via ``OpenAISynthesisProvider._build_prompt``,
         appelle ``litellm.completion`` en transmettant explicitement
-        ``api_key`` et ``base_url`` (uniquement si non ``None``) ainsi que
-        ``timeout``, puis nettoie la réponse (troncature à
-        :attr:`MAX_LENGTH`, suppression des sauts de ligne en début et fin).
-        Ne lève jamais d'exception : toute erreur est journalisée (message
-        rédigé) et dégradée en retour ``None``.
+        ``api_key`` (la clé secrète n'est déballée qu'à cet appel) et
+        ``base_url`` (uniquement si non ``None``) ainsi que ``timeout``,
+        puis valide la réponse via
+        ``OpenAISynthesisProvider._validate_output`` (suppression des
+        emojis, rejet des titres/listes/HTML, réduction aux espaces de
+        début et de fin), avant troncature à :attr:`MAX_LENGTH`. Ne lève
+        jamais d'exception : toute erreur est journalisée (message rédigé)
+        et dégradée en retour ``None``.
 
         :param input_data: Données de synthèse (diff agenda, messages, événements).
         :return: Résultat de la synthèse, ou ``None`` en cas d'échec ou de
@@ -82,21 +90,24 @@ class LiteLLMSynthesisProvider:
                 "temperature": self.TEMPERATURE,
                 "timeout": self.TIMEOUT,
             }
-            if self._api_key is not None:
-                completion_kwargs["api_key"] = self._api_key
             if self._base_url is not None:
                 completion_kwargs["base_url"] = self._base_url
-            response = litellm.completion(**completion_kwargs)
-            content = response.choices[0].message.content
-            if not content:
+            response = litellm.completion(
+                api_key=self._api_key.get_secret_value(), **completion_kwargs
+            )
+            raw_text = response.choices[0].message.content
+            if not raw_text:
                 return None
-            synthesis_text = content[: self.MAX_LENGTH].strip()
+            validated = OpenAISynthesisProvider._validate_output(raw_text)
+            if validated is None:
+                return None
+            synthesis_text = validated[: self.MAX_LENGTH].strip()
             if not synthesis_text:
                 return None
             return SynthesisResult(text=synthesis_text)
         except Exception as e:
             logger.error(
                 "Échec de la génération de la synthèse IA (litellm) : %s",
-                redact_secrets(str(e)),
+                redact_secrets(str(e), extra_secrets=[self._api_key]),
             )
             return None