capitalisation: intégrer 12 entrées depuis app-alexandrie et app-template-resto

- backend/risques/nestjs : guard multi-statut READ_METHODS avant statut
- backend/patterns/nestjs : fusionner lastSeenAt dans la réconciliation
- backend/risques/contracts : pas de process.env dans services/helpers
- backend/risques/nextjs : self-request Server Action + EXDEV atomic write
- backend/risques/prisma : champ enum-like stocké en String
- frontend/risques/general : Alert.prompt iOS-only
- frontend/risques/tests : 3 anti-patterns (helpers copiés, test indirect, test façade)
- workflow/risques/story-tracking : 2 entrées (hors périmètre, File List approximative)
- skill capitalisation-triage : nouveau format de rapport (tableaux par domaine)
- 95_a_capitaliser.md : purgé

knowledge/workflow/risques/story-tracking.md

@@ -48,3 +48,49 @@
 - Ne pas faire confiance au status `done` sans preuve dans le code
 
 - Contexte technique : BMAD / agent Codex — app-template-resto 21-03-2026
+
+---
+
+<a id="risque-file-list-hors-perimetre"></a>
+## Story validée avec changements hors périmètre non documentés
+
+### Risques
+
+- Le reviewer valide un faux scope ou rejette à tort une story correcte.
+- Des changements source non tracés (working tree dirty) peuvent masquer une implémentation partielle ou des effets de bord.
+
+### Symptômes
+
+- Tâches `[x]` et File List propre, mais `git status` montre des fichiers modifiés hors story
+- Aucun bloc "hors périmètre" dans le Dev Agent Record alors que des fichiers non liés ont été touchés
+
+### Bonnes pratiques / mitigations
+
+- Si des changements hors story sont présents dans le working tree, documenter un bloc **"hors périmètre"** explicite dans le Dev Agent Record (liste courte + justification).
+- Ne marquer `done` qu'après clarification de périmètre.
+- **Règle** : le reviewer croise systématiquement `git diff --name-only` avec la File List avant d'accepter.
+
+- Contexte technique : BMAD / workflow agent — 30-03-2026
+
+---
+
+<a id="risque-file-list-approximative"></a>
+## File List approximative — chemins faux ou fichiers source absents
+
+### Risques
+
+- Validation d'une implémentation avec traçabilité mensongère.
+- Chemins fictifs dans la File List non détectés si le reviewer ne croise pas avec `git`.
+
+### Symptômes
+
+- File List courte ou générique alors que le diff réel touche de nombreux fichiers source
+- Fichier listé avec un chemin qui n'existe pas dans le repo
+
+### Bonnes pratiques / mitigations
+
+- **Règle review** : comparer la File List du Dev Agent Record au `git diff --name-only` réel.
+- Tout fichier source modifié absent de la File List → signaler en **MEDIUM**.
+- Tout fichier listé avec un chemin inexistant en git → signaler en **HIGH**.
+
+- Contexte technique : BMAD / workflow agent — app-template-resto 31-03-2026