capitalisation: intégrer 12 entrées depuis app-alexandrie et app-template-resto

- backend/risques/nestjs : guard multi-statut READ_METHODS avant statut
- backend/patterns/nestjs : fusionner lastSeenAt dans la réconciliation
- backend/risques/contracts : pas de process.env dans services/helpers
- backend/risques/nextjs : self-request Server Action + EXDEV atomic write
- backend/risques/prisma : champ enum-like stocké en String
- frontend/risques/general : Alert.prompt iOS-only
- frontend/risques/tests : 3 anti-patterns (helpers copiés, test indirect, test façade)
- workflow/risques/story-tracking : 2 entrées (hors périmètre, File List approximative)
- skill capitalisation-triage : nouveau format de rapport (tableaux par domaine)
- 95_a_capitaliser.md : purgé

knowledge/backend/risques/contracts.md

@@ -163,3 +163,27 @@ Tableau de correspondance :
 
 - **Règle** : HTTP 403 = "tu n'as pas le droit d'effectuer cette action". HTTP 400 = "ta requête est mal formée".
 - Contexte technique : NestJS / HTTP — 20-03-2026
+
+---
+
+<a id="risque-process-env-direct-service"></a>
+## Feature flags / config : lecture directe de `process.env` dans les services ou helpers métier
+
+### Risques
+
+- Tests verts malgré une dépendance implicite à l'état global du process
+- La validation Zod de l'env (ConfigService) existe mais est contournée au runtime via un helper non injecté
+- Story conforme "pas de process.env direct en service métier" mais violation dans un helper utilisé par le service
+
+### Symptômes
+
+- `process.env.FEATURE_FLAG_X` dans un helper métier plutôt que dans un module ConfigService
+- Tests passent mais comportement diverge selon l'env du process
+
+### Bonnes pratiques / mitigations
+
+- Ne jamais lire `process.env` directement dans les services ni les helpers métier.
+- Injecter `ConfigService` (NestJS) et centraliser la lecture via une fonction pure recevant la config injectée.
+- **Checklist review** : rechercher `process.env` dans `src/` hors `config/` ou `main.ts` — tout hit est suspect.
+
+- Contexte technique : NestJS / ConfigService — 30-03-2026