Tests et CI : la discipline qui tient le système

La philosophie : intégration > mocks

La règle du projet : tester contre de vraies dépendances plutôt que des mocks. Les tests Python tournent sur un PostgreSQL réel jetable (testcontainers) et un fakeredis :

# le test d'isolation RLS le plus important du repo (en substance) :
async def test_rls_isolation(pg_container):
    async with session_with_tenant(factory, tenant_a):
        await create_variant(name="secret-A")
    async with session_with_tenant(factory, tenant_b):
        rows = await list_variants()
        assert rows == []          # le tenant B ne voit RIEN de A

Pourquoi c'est non négociable ici : la RLS ne se mocke pas. Un mock de session validerait du code qui fuit en prod ; seul un vrai Postgres avec les vraies policies prouve l'isolation. Même logique pour la recherche hybride (tsvector, pg_trgm, HNSW : comportements réels uniquement). Config pytest stricte : asyncio_mode=auto, et filterwarnings=error — un warning EST un échec.

La pipeline GitLab : chaque invariant a son job

lint:python (ruff)        typecheck (mypy --strict/pkg)   arch:imports (import-linter)
arch:deps (deptry)        test:python (pytest+testcontainers, par package)
lint:web / test:web       test:e2e (Playwright)           secrets (gitleaks)
lint:sql (squawk)         deadcode (vulture)              sonarcloud

À retenir : l'architecture a ses propres jobs (arch:*) au même rang que les tests. Et les hooks locaux vérifient les invariants métier avant même le commit : pas de WHERE tenant_id manuel, pas de schéma en dur, pas de commit sur main.

Deux renforts récents complètent le dispositif :

• le Quality Gate SonarCloud est bloquant sur les MRs (couverture et code smells du new code — on ne juge que ce qu'on ajoute, la dette historique se résorbe séparément) ;
• des suites E2E Playwright (Quotes, Mappings IA — ~35 scénarios chacune) tournent contre l'environnement de dev déployé et publient leur rapport dans un canal Slack dédié, avec le commit ET la version réellement servie par l'env (pour détecter les « déploiements décalés »). Un échec E2E ping le canal : la recette est continue, pas événementielle.

Le déploiement hybride

L'API part sur AWS ECR (release par tag semver, manuelle), le front Nuxt sur GCP Cloud Run — deux clouds, deux cadences, reliés par un repo de changelogs de déploiement (ArgoCD côté prod). La release est un bouton conscient, pas un push automatique : sur un produit B2B, on choisit quand embarquer quoi.

Récap final du cours : le chemin complet

Tu peux maintenant suivre une requête de bout en bout : JWT Logto → tenant_id → session RLS (SET LOCAL) → service → LangGraph astream → SDK Anthropic streaming (caching, tools ReAct, model_view/ui_events) → recherche hybride RRF → SSE AG-UI → UI générative Nuxt — le tout tracé dans Langfuse, gardé par mypy/ruff/import-linter, testé sur vrais conteneurs. C'était la carte ; le territoire t'attend dans le repo. 🎓