refactor(backend): add output DTOs for existing endpoints

review.md

@@ -137,6 +137,12 @@ En terminal interactif (VS Code), `migrate dev` fonctionne normalement (taper `y
 - Refactor du routage : `currentUser` appliqué par sous-routeur (au lieu d'un middleware global) pour laisser la route d'identification publique.
 - Vérifié au runtime : `/me` 200 (profil Marie) et 401 sans en-tête ; `/carte` QR valide 200 sans en-tête (route publique), QR inconnu 404.
 
+### Étape 17 — DTO de sortie sur les endpoints existants
+- Dossier `src/dtos/` : une interface DTO + un mapper pur `toXxxDto` par ressource (utilisateur, matériel, emprunt).
+- Mapping effectué dans le controller (couche présentation) ; les services continuent de renvoyer les entités (réutilisables).
+- Champs internes désormais masqués : `microsoftId`, timestamps, FK brutes, `numeroInventaire`/`numeroSerie`.
+- Vérifié au runtime sur `/me`, `/materiels`, `/mes-emprunts`.
+
 ---
 
 ## Dette technique en attente
@@ -149,8 +155,7 @@ En terminal interactif (VS Code), `migrate dev` fonctionne normalement (taper `y
 4. Tailles de colonnes `@db.NVarChar(n)` (actuellement `NVARCHAR(1000)` partout)
 5. Swagger/OpenAPI (Block 1, reporté après les endpoints)
 6. Auth réelle Azure AD (Block 3) — remplacera l'auth simulée par en-tête
-7. DTO de sortie : les endpoints renvoient l'entité Prisma brute (`microsoftId`, timestamps exposés) — à filtrer avant la prod
 
 ---
 
-*Dernière mise à jour : 2026-06-22 — Profil et identification par QR en place (3/6 du Block 4).*
+*Dernière mise à jour : 2026-06-22 — DTO de sortie en place sur les 3 endpoints de lecture.*