[DTP-Worker] Sprint 2 · Générateur plan User Permission (RBAC row-level scope_donnees → Frappe)

Complète le pipeline RBAC (Role + Custom DocPerm déjà livrés) par la dimension
row-level. Mapping natif ERPNext v15 des 4 scope_donnees :
- entite → User Permission allow=Company (28 templates, user=sentinelle)
- own    → if_owner (déjà posé par fixtures_gen)
- groupe → aucune restriction (vue consolidée)
- equipe → pas de dimension native → signalé VPS (jamais mappé, #6)

Module userperm_gen/ : permlib/{frappe,builder}, CLI build/validate (refuse
d'écrire si invariant KO), userperm.schema.json (validateur maison, zéro pip),
12 tests unittest, README. Job CI rbac-userperm-tests ajouté au gate.
Docs SPEC §7 + fixtures_gen README cousues. Régression 72 tests verts, gate OK.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -107,10 +107,28 @@ jobs:
       - name: Tests générateur de fixtures RBAC
         run: python3 -m unittest discover -s tests -v
 
+  # --------------------------------------------------------------------------
+  # Générateur de plan User Permission (Sprint 2 · ERPNext Backend) : le contrat
+  # rbac_50_roles.json → plan row-level (scope_donnees → mécanisme Frappe natif +
+  # template User Permission allow=Company pour la portée `entite`). Valide le
+  # plan contre userperm.schema.json + invariants (couverture bijective des 50
+  # rôles, template SSI `entite`, anti-invention utilisateur). stdlib pur.
+  # --------------------------------------------------------------------------
+  rbac-userperm-tests:
+    name: RBAC · plan User Permission (row-level)
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: 05_deliverables_mvp/rbac/userperm_gen
+    steps:
+      - uses: actions/checkout@v4
+      - name: Tests générateur de plan User Permission
+        run: python3 -m unittest discover -s tests -v
+
   gate:
     name: Gate qualité (agrégat)
     runs-on: ubuntu-latest
-    needs: [constraints-guard, validate-json, check-docs, publiciste-tests, rbac-tests, faisabilite-gen-tests, rbac-fixtures-tests]
+    needs: [constraints-guard, validate-json, check-docs, publiciste-tests, rbac-tests, faisabilite-gen-tests, rbac-fixtures-tests, rbac-userperm-tests]
     steps:
       - name: Résultat
         run: echo "✅ Gate qualité 4Big franchi — tous les checks verts."