Contrôle d'accès des pages du module entre deux salariés, sur un serveur réel DSCDLB-050

Objectif : un salarié qui ne détient que les droits DoliSCAN sur ses propres données ne doit ni voir ni modifier ce qui appartient à un collègue, même en devinant l'identifiant dans l'adresse. Un bouton masqué ne suffit pas : le serveur doit répondre 403, sans aucune donnée du collègue.

Vérifications :

• La fiche, l'onglet justificatifs, l'import, la resynchronisation, la validation et la suppression de la note de frais d'un collègue sont refusés ; le propriétaire garde l'accès aux siennes.
• Les listes des notes de frais et des comptes ne montrent que ce qui appartient au salarié et à l'entité courante, et le filtre par utilisateur ne propose que lui.
• Les actions de masse (import, validation) refusent une note de frais d'un collègue glissée dans la sélection, et restent possibles sur les siennes.
• La synchronisation de tous les comptes est refusée à un salarié.
• Aucune page ne rend en clair le jeton d'un compte ni le jeton administrateur.
• La création et la suppression d'un compte distant, le test de connexion et les synchronisations exigent un jeton CSRF, et les liens d'action en portent un.
• Une date de début invalide n'est pas enregistrée.
• Les réparations de la page de diagnostics ramènent dans la liste les notes de frais rangées dans la mauvaise entité.

Couverture automatique : test/phpunit/http/PagesAccessControlHttpTest.php (49 méthodes, suite http, serveur PHP éphémère).