fix(frontend): corrections workflow v3.0 — inscription événements, CreateMembreRequest, AJAX session expiry

Services:
- EvenementService: POST /inscriptions (sans membreId), DELETE /inscriptions, GET /recherche, GET /type/{type}
- MembreService: creer() accepte CreateMembreRequest au lieu de MembreResponse
- Nouveaux services: BackupService, EpargneService, FinanceApprovalService, LogsService, MessageService, OrganisationService, PaiementClientService

Beans:
- MembreInscriptionBean: construit CreateMembreRequest.builder() avec organisationId UUID
- EvenementsBean: inscrireParticipant(id) sans userId (backend infère depuis token)
- DashboardBean: checkAccessAndRedirect() SUPER_ADMIN en premier

Sécurité:
- AuthenticationFilter: gestion AJAX PrimeFaces (partial/ajax → XML partial-response redirect)
- PermissionChecker: vérification rôles côté bean
- k8s/: manifestes secrets SMTP et Wave (placeholders à remplir)

Pages XHTML: dashboards rôles, cotisations, membres, événements, organisations

setup-keycloak.sh

@@ -154,8 +154,34 @@ fi
 echo "✅ Client Secret récupéré: $CLIENT_SECRET"
 echo ""
 
-# Étape 6: Configurer le client scope mapper pour les rôles
-echo "📝 Étape 6/7: Configuration du mapper de rôles..."
+# Étape 6: Ajouter l'audience mapper pour unionflow-server
+echo "📝 Étape 6/8: Ajout de l'audience mapper 'unionflow-server'..."
+HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" -X POST \
+  "$KEYCLOAK_URL/admin/realms/$REALM_NAME/clients/$CLIENT_UUID/protocol-mappers/models" \
+  -H "Authorization: Bearer $ADMIN_TOKEN" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "name": "unionflow-server-audience",
+    "protocol": "openid-connect",
+    "protocolMapper": "oidc-audience-mapper",
+    "consentRequired": false,
+    "config": {
+      "included.client.audience": "unionflow-server",
+      "id.token.claim": "false",
+      "access.token.claim": "true"
+    }
+  }')
+if [ "$HTTP_STATUS" = "201" ]; then
+    echo "✅ Audience mapper 'unionflow-server' ajouté"
+elif [ "$HTTP_STATUS" = "409" ]; then
+    echo "⚠️  Audience mapper 'unionflow-server-audience' existe déjà"
+else
+    echo "⚠️  Échec ajout audience mapper (HTTP ${HTTP_STATUS}) — à configurer manuellement"
+fi
+echo ""
+
+# Étape 7: Configurer le client scope mapper pour les rôles
+echo "📝 Étape 7/8: Configuration du mapper de rôles..."
 
 SCOPES=$(curl -s -X GET "$KEYCLOAK_URL/admin/realms/$REALM_NAME/clients/$CLIENT_UUID/default-client-scopes" \
   -H "Authorization: Bearer $ADMIN_TOKEN")
@@ -177,8 +203,8 @@ else
 fi
 echo ""
 
-# Étape 7: Créer un utilisateur test
-echo "📝 Étape 7/7: Création de l'utilisateur test..."
+# Étape 8: Créer un utilisateur test
+echo "📝 Étape 8/8: Création de l'utilisateur test..."
 
 curl -s -X POST "$KEYCLOAK_URL/admin/realms/$REALM_NAME/users" \
   -H "Authorization: Bearer $ADMIN_TOKEN" \