Migration de t-esc vers t-out dans OWL 3.0 :
Guide pratique d'un architecte senior pour Odoo 19

<!-- Dangereux : le développeur a choisi t-raw pour le "formatage" -->
<span t-raw="record.user_description"/>

<!-- Le champ user_description contient une saisie utilisateur -->
<!-- Résultat : vulnérabilité XSS -->

<!-- Sécurisé : t-out échappe automatiquement les strings -->
<span t-out="record.user_description"/>

<!-- Si vous avez vraiment besoin de HTML brut (ex : champ rich-text assaini) : -->
// Dans votre composant JS :
import { markup } from "@odoo/owl";
get safeDescription() {
    return markup(this.record.user_description);
}

#!/usr/bin/env python3
"""
migrate_tesc_to_tout.py
Remplace t-esc par t-out dans tous les templates XML/QWeb d'une arborescence Odoo.
Génère un journal d'audit CSV pour la revue de code.

Usage :
    python migrate_tesc_to_tout.py /chemin/vers/custom_addons [--dry-run]
"""
import argparse
import csv
import os
import re
import sys
from datetime import datetime
from pathlib import Path

# Correspond à t-esc="..." (guillemets simples et doubles)
T_ESC_PATTERN = re.compile(
    r'\bt-esc\s*=\s*(["\'])(.*?)\1',
    re.DOTALL,
)

# Attrape aussi les t-raw restants (déprécié depuis Odoo 16)
T_RAW_PATTERN = re.compile(
    r'\bt-raw\s*=\s*(["\'])(.*?)\1',
    re.DOTALL,
)

EXTENSIONS = {'.xml', '.qweb'}


def find_template_files(root: Path):
    """Parcourt tous les fichiers XML/QWeb sous la racine."""
    for dirpath, _, filenames in os.walk(root):
        for fname in filenames:
            fpath = Path(dirpath) / fname
            if fpath.suffix.lower() in EXTENSIONS:
                yield fpath


def migrate_file(fpath: Path, dry_run: bool = False):
    """Remplace t-esc et t-raw dans un fichier. Retourne la liste des changements."""
    content = fpath.read_text(encoding='utf-8')
    changes = []

    def replace_tesc(match):
        quote = match.group(1)
        expr = match.group(2)
        changes.append({
            'file': str(fpath),
            'old': match.group(0),
            'new': f't-out={quote}{expr}{quote}',
            'type': 't-esc → t-out',
            'line': content[:match.start()].count('\n') + 1,
        })
        return f't-out={quote}{expr}{quote}'

    def replace_traw(match):
        quote = match.group(1)
        expr = match.group(2)
        changes.append({
            'file': str(fpath),
            'old': match.group(0),
            'new': f't-out={quote}{expr}{quote}',
            'type': 't-raw → t-out (⚠ VÉRIFIER : ajouter markup())',
            'line': content[:match.start()].count('\n') + 1,
        })
        return f't-out={quote}{expr}{quote}'

    new_content = T_ESC_PATTERN.sub(replace_tesc, content)
    new_content = T_RAW_PATTERN.sub(replace_traw, new_content)

    if changes and not dry_run:
        fpath.write_text(new_content, encoding='utf-8')

    return changes


def main():
    parser = argparse.ArgumentParser(
        description='Migrer t-esc/t-raw → t-out pour Odoo 19 / OWL 3.0'
    )
    parser.add_argument('root', help='Répertoire racine des addons personnalisés')
    parser.add_argument(
        '--dry-run',
        action='store_true',
        help='Aperçu des changements sans écrire les fichiers',
    )
    args = parser.parse_args()

    root = Path(args.root).resolve()
    if not root.is_dir():
        print(f"Erreur : {root} n'est pas un répertoire", file=sys.stderr)
        sys.exit(1)

    all_changes = []
    file_count = 0

    for fpath in find_template_files(root):
        changes = migrate_file(fpath, dry_run=args.dry_run)
        if changes:
            file_count += 1
            all_changes.extend(changes)

    # Générer le journal d'audit CSV
    timestamp = datetime.now().strftime('%Y%m%d_%H%M%S')
    log_file = root / f'tesc_migration_log_{timestamp}.csv'
    with open(log_file, 'w', newline='', encoding='utf-8') as f:
        writer = csv.DictWriter(
            f, fieldnames=['file', 'line', 'type', 'old', 'new']
        )
        writer.writeheader()
        writer.writerows(all_changes)

    mode = "SIMULATION" if args.dry_run else "APPLIQUÉ"
    print(f"\n[{mode}] Migration terminée.")
    print(f"  Fichiers affectés : {file_count}")
    print(f"  Total changements : {len(all_changes)}")
    t_raw_hits = sum(
        1 for c in all_changes if 't-raw' in c['type']
    )
    if t_raw_hits:
        print(
            f"  ⚠ t-raw → t-out : {t_raw_hits} "
            f"(REVUE MANUELLE : ajouter markup() en JS)"
        )
    print(f"  Journal d'audit  : {log_file}")


if __name__ == '__main__':
    main()

# Bash : trouver les t-esc restants dans les littéraux JS et XML
grep -rn --include="*.js" --include="*.xml" \
  't-esc=' ./custom_addons/ | grep -v node_modules