[DTP-Worker] Sprint 8 · buffer L75 · Reproductibilité checkout propre : hand-off out/ des 4 générateurs RBAC était .gitignore-é (gate rouge en CI, vert local seulement) + durcissement check_artifacts (build produit ⇒ DOIT être suivi par git)

Défaut réel (même classe que le bug regression_run.json corrigé plus tôt) :
les 4 générateurs RBAC (fixtures_gen/userperm_gen/roleprofile_gen/apply_plan)
.gitignore-aient leur out/, alors qu'ils sont audités en archétype `generator`
(critère HANDOFF). En checkout PROPRE (git archive HEAD = ce que voit le runner
Gitea) leur out/ est absent → qa/audit_4big (dont le build relit le out/ de
CHAQUE module) les note 80<95 ⇒ INV7 ⇒ build refusé ⇒ check-artifacts ET
check-regression ROUGES. Ça ne passait qu'en local via les out/ non suivis
laissés par des build manuels.

Fix : committer le out/ des 4 générateurs (build byte-déterministe prouvé ;
apply_plan lit ses frères en process, pas via out/) → alignement sur les 15
autres générateurs ; audit 100/100 en checkout propre.

Durcissement : check_artifacts.sh exige désormais `git ls-files --error-unmatch`
sur chaque fichier produit → un out/ ignoré/non commité devient une erreur
LOCALE honnête au lieu d'une surprise en CI. Bite-proof : git rm --cached d'un
artefact (laissé sur disque) ⇒ exit 1 ; re-add ⇒ exit 0.

Régénéré : quality_report.json (dérive DOC = taille des 4 README édités).
Vérifs : 6 gates verts sur git archive propre ; 534/21 inchangé ; suites OK.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

ci/README.md

@@ -52,9 +52,13 @@ Un JSON cassé casse le pipeline aval → attrapé ici.
 
 ### `check_artifacts.sh`
 Régénère chaque artefact `05_deliverables_mvp/**/out/` versionné depuis son
-générateur (`build -o <tmp>`) et exige une **égalité byte-for-byte** avec le
-fichier commité. Découverte automatique (zéro liste à la main · #6) : tout module
-avec un `out/` et un générateur `build` entre dans le gate.
+générateur (`build -o <tmp>`) et exige que tout fichier produit soit (a) **suivi
+par git** — jamais un artefact seulement sur disque (`out/` `.gitignore`-é ou
+non-`git add`), qui serait **absent en CI propre** et rendrait le gate « vert en
+local » par artefact fantôme (même classe que le bug `regression_run.json`) — et
+(b) en **égalité byte-for-byte** avec le fichier commité. Découverte automatique
+(zéro liste à la main · #6) : tout module avec un `out/` et un générateur `build`
+entre dans le gate.
 
 Cible la **dérive silencieuse** : un module auto-résout des valeurs depuis les
 artefacts d'**autres** modules (ex. `demo/scenarios` lit