From 3e58b00c1f10b65954d94a24cb19d53bd8d5dec8 Mon Sep 17 00:00:00 2001
From: Perco <cedric.tomaz@gmail.com>
Date: Thu, 14 May 2026 22:32:44 +0200
Subject: [PATCH] correctif

---
 header.php | 6 +-----
 1 file changed, 1 insertion(+), 5 deletions(-)

diff --git a/header.php b/header.php
index 515a051..b6a150d 100644
--- a/header.php
+++ b/header.php
@@ -118,11 +118,7 @@ $currentLang = $_SESSION['app_lang'] ?? 'fr';
   <main class="pf-main<?= ($mainClass ?? '') ? ' '.htmlspecialchars($mainClass) : '' ?>">
 
   <script>
-    /**
-     * CSRF en premier : si window.I18N contenait une chaîne type "</script>",
-     * le parseur HTML fermait la balise <script> trop tôt et CSRF_TOKEN n'était
-     * jamais défini → formulaires paramètres sans jeton (session invalide).
-     */
+    // CSRF avant I18N : le parseur HTML coupe le script dès la séquence de fin de balise « script » (même dans un commentaire JS).
     window.CSRF_TOKEN = "<?= htmlspecialchars(function_exists('csrf_token') ? csrf_token() : '', ENT_QUOTES, 'UTF-8') ?>";
 
     /**