feat: RLA API v1.0.0 — API complète + exports + thème McKinsey

- 9 endpoints métier : synthese, alertes, en-service, en-cours,
  par-region, clotures, pilotage-proactif, matrice-risque
- Exports PDF (tous rôles) / XLSX PPTX DOCX (superadmin)
- services/calc.js : helpers normalisés partagés
- services/export-pdf.js : PDF async PDFKit par vue
- Thème McKinsey (#1C2B4B / bleu pétrole / gris sobre)
- Boutons XLSX/DOCX front (superadmin uniquement)
- BASEROW_API_URL → https://baserow.bolbol.tn/api/
- dotenv override: true

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

middleware/auth.js

@@ -0,0 +1,17 @@
+const jwt = require('jsonwebtoken');
+
+module.exports = function authMiddleware(req, res, next) {
+  const header = req.headers['authorization'] || '';
+  const token = header.startsWith('Bearer ') ? header.slice(7) : null;
+
+  if (!token) {
+    return res.status(401).json({ error: 'Token manquant' });
+  }
+
+  try {
+    req.user = jwt.verify(token, process.env.JWT_SECRET);
+    next();
+  } catch {
+    res.status(401).json({ error: 'Token invalide ou expiré' });
+  }
+};

middleware/roles.js

@@ -0,0 +1,32 @@
+module.exports = {
+
+  requireSuperAdmin(req, res, next) {
+    if (req.user?.role !== 'superadmin') {
+      return res.status(403).json({ error: 'Accès réservé au super-administrateur' });
+    }
+    next();
+  },
+
+  requireAdmin(req, res, next) {
+    if (!['superadmin', 'admin'].includes(req.user?.role)) {
+      return res.status(403).json({ error: 'Accès réservé aux administrateurs' });
+    }
+    next();
+  },
+
+  requireUser(req, res, next) {
+    if (!req.user?.role) {
+      return res.status(403).json({ error: 'Accès non autorisé' });
+    }
+    next();
+  },
+
+  // Injecte req.regionFilter : null = toutes régions, string = région filtrée
+  filterByRegion(req, res, next) {
+    req.regionFilter = (req.user?.role === 'user' && req.user.region !== 'all')
+      ? req.user.region
+      : null;
+    next();
+  },
+
+};