capitalisation: intégration 28 entrées knowledge + 2 CLAUDE.md RL799_V2 (triage branche mcp_v1)

28 nouvelles sections intégrées dans 12 fichiers knowledge (backend risques/patterns,
frontend risques/patterns, workflow risques). Couvre rate limiting, RGPD, CSP Next.js,
refresh token TOCTOU, catch-all Prisma, distinction 401/403, tests E2E Playwright, etc.

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

knowledge/workflow/risques/story-tracking.md

@@ -227,3 +227,27 @@ source_projects: [app-alexandrie, app-template-resto, RL799_V2]
 - **Règle review** : tout type défini localement qui correspond à un DTO existant dans shared est une régression
 
 - Contexte technique : BMAD / agents autonomes — RL799_V2 07-04-2026
+
+---
+
+<a id="risque-completion-notes-incoherentes"></a>
+## Incohérence entre Completion Notes et réalité du code
+
+### Risques
+
+- Les dev agents documentent des métriques dans les Completion Notes (nombre de tests, nombre de routes) sans les vérifier en fin d'implémentation
+- Le reviewer passe du temps à réconcilier des chiffres qui ne matchent pas
+
+### Symptômes
+
+- "20 tests RBAC" revendiqués dans les Completion Notes alors que le fichier test n'en contient que 11
+- Route `DELETE /api/favorites` listée dans le rapport d'audit mais inexistante dans le code
+
+### Bonnes pratiques / mitigations
+
+- Avant de passer une story en `review`, le dev agent doit vérifier que les chiffres dans les Completion Notes correspondent exactement au code
+  - `grep -c 'test(' fichier.test.ts` pour le nombre de tests
+  - `grep -c 'export' fichier.routes.ts` pour le nombre de routes
+- **Règle** : toute métrique dans les Completion Notes doit être vérifiable par une commande simple
+
+- Contexte technique : BMAD / workflow agent — RL799_V2 08-04-2026