Feat/broadcast all ptt

[leochely]

Résumé

Ajoute un rôle broadcaster distinct du rôle admin avec un modèle d'authentification par token : un joueur à qui l'admin a accordé ce rôle peut diffuser sa voix sur tous les canaux radio simultanément, peu importe le canal des destinataires. Utile pour les modérateurs et organisateurs d'événements RP.

Couvre serveur + console admin + client. Inclut un modèle d'auth par token push-via-WSS qui ferme un trou d'usurpation de nom inhérent au modèle de player token partagé (n'importe qui avec le player token pouvait se reconnecter sous le nom d'un broadcaster connu et hériter du rôle).

Changements

Protocole audio

Nouveau byte de flag :

Flag	Signification
0x00	Proximité (inchangé)
0x01	Radio canal (inchangé)
0x02	Radio profil (inchangé)
0x03	Diffusion globale (nouveau)

Modèle d'auth broadcaster

• Stockage : server/circusvoip_broadcasters.json au format {name: sha256_hex} (le clair du token n'est jamais persisté côté serveur).
• AuthRegistry.issue() accepte des kwargs supplémentaires stockés dans le ticket. Nouvelle méthode AuthRegistry.verify_full() qui retourne l'entrée complète (le serveur audio en a besoin pour lire can_broadcast). verify() legacy conservé pour les appelants existants.
• grant_broadcaster est async ; requiert que le joueur soit connecté. Le serveur génère un token (16 octets d'entropie → 32 hex chars), stocke son hash, et push {"type": "broadcaster_token_granted", "token": "<clair>"} directement sur la WebSocket du joueur cible. Pas d'affichage en clair côté admin, aucune transmission hors-bande.
• revoke_broadcaster push {"type": "broadcaster_revoked"} au client si connecté, pour qu'il efface son token local.
• Le client présente le token sauvegardé via le champ broadcaster_token du message join. Verification serveur en temps constant (secrets.compare_digest).

Serveur positions (circusvoip_server.py)

• Trois commandes admin : grant_broadcaster {name}, revoke_broadcaster {name}, list_broadcasters.
• Le ticket audio émis à l'auth porte can_broadcast: bool (True uniquement si le token a été vérifié).
• Message welcome étendu :
  • server_caps: ["broadcast_all"] (capability discovery)
  • is_broadcaster: bool (état du joueur courant)
• Message admin_welcome étendu : broadcasters: [...]. Push broadcasters_list envoyé aux admins uniquement sur grant/revoke.
• Nouveau au join :
  • Refuse si le nom est déjà utilisé par une connexion en cours → error: name_in_use. Ferme aussi le scénario "reconnexion sous un autre nom pendant que mon ancien WS est encore actif".
  • Si le nom figure dans _broadcasters, exige un broadcaster_token valide → sinon error: broadcaster_token_invalid. Protège l'identité même pour les non-broadcasters.

Serveur audio (circusvoip_audio_server.py)

• Au join, lit can_broadcast du ticket via verify_full() et le stocke dans state.client_caps[ws].
• Avant relais, vérifie chaque trame binaire : si flag == 0x03 et que l'émetteur n'a pas can_broadcast, drop la trame.
• Log rate-limité à 1× par minute par client refusé pour éviter d'inonder les logs si un client non-broadcaster tient la touche en continu (50 trames/s droppées).

Console admin (circusvoip_admin.py)

• Nouveau panneau BROADCASTERS entre PROFILS et TOKEN JOUEUR.
• Dropdown inline des joueurs connectés non-broadcasters + bouton "Accorder". Se rafraîchit automatiquement sur join/leave et sur changement de la liste broadcasters. Pas de popup modale : le dropdown vit dans le panneau lui-même.
• Croix ✕ par ligne pour révoquer (confirmation messagebox.askyesno).

Client (circusvoip_core.py + circusvoip_client.py)

• Nouveau state : broadcast_all_key, broadcast_all_active, server_supports_broadcast_all, is_broadcaster.
• Émission : nouvelle branche prioritaire dans _on_audio_captured (avant les checks canal/profil) qui émet une trame avec flag 0x03 (+ duplicate proximité 0x00 inchangé) quand la touche est maintenue et que le serveur supporte la capability.
• Réception : _on_audio_received reconnaît le flag 0x03, bypass les filtres canal/profil, applique la chaîne radio (compression + effet). Reste soumis à mute_radio.
• RadioKeyListener : nouveaux helpers _on_broadcast_pressed_impl / _released_impl, miroir du PTT profil. Force l'ouverture du gate audio et joue les bips locaux.
• UI : nouvelle ligne de keybind « Diffusion globale (PTT) » dans les paramètres. Désactivée avec tooltip explicatif quand server_supports_broadcast_all == False (vieux serveur).
• Auth client :
  • Helpers _get_broadcaster_token(ip, port) / _set_broadcaster_token(...). Stockage dans circusvoip_client_config.json sous broadcaster_tokens: {"host:port": "<token>"}. Per-server : un même client peut avoir des rôles différents sur plusieurs serveurs.
  • Le join présente automatiquement le token sauvegardé pour le serveur courant.
  • Handlers broadcaster_token_granted (sauve le token, log à l'utilisateur de se reconnecter pour activer la touche) et broadcaster_revoked (efface le token local).
  • Reasons d'erreur fatale interceptés : name_in_use, broadcaster_token_invalid → arrêt sans retry, l'utilisateur doit changer son nom ou demander un re-grant.

Modèle de permissions et flow

• Rôle broadcaster distinct du rôle admin. Un broadcaster peut diffuser mais n'a aucun privilège admin.
• Seul un admin peut grant/revoke.
• Le grant exige que le joueur cible soit connecté au moment de la commande (sinon error: player_must_be_connected). C'est la seule fenêtre où le token peut être transmis (WS authentifiée, jamais en clair côté admin).
• Latence de révocation : la capability est portée par le ticket audio (TTL 120s). Une révocation devient effective au prochain renouvellement de ticket, soit lors de la reconnexion du joueur au serveur positions.

Anti-impersonation

Le modèle player token partagé permettait à n'importe quel client avec le token de se déclarer sous n'importe quel nom au join (data.get("name", ...) sans vérification). Combiné avec la nouvelle feature broadcaster, ça donnait un trou d'usurpation : un attaquant pouvait se reconnecter sous le nom d'un broadcaster légitime et hériter de can_broadcast=True.

Cette PR ferme le trou avec deux mesures :

1. Unicité de nom : refus si le nom est déjà utilisé par une connexion en cours (name_in_use).
2. Token obligatoire pour les noms réservés : si le nom figure dans la liste des broadcasters, le client doit présenter le token correct. Sans token, le join est refusé — un attaquant ne peut donc pas non plus prendre le nom d'un broadcaster pour usurper son identité dans le chat / les canaux.