[DTP-Worker 20260804_234104] Durcissement mobile-build.yml : gating d'activation via preflight-outputs (secrets-context hors if: job → risque SKIP silencieux) → 1 édition CI in-scope

- build-ios/build-android gataient sur `if: secrets.EAS_TOKEN != '' …` au niveau JOB,
  où le `secrets` context n'est pas garanti (GitHub Actions ne l'expose pas dans
  jobs.<id>.if ; act/Gitea = ambigu) → les builds pouvaient rester SKIP en silence
  le jour où Michel fournit un EAS_TOKEN valide.
- Correctif = pattern canonique preflight-output : secret lu dans un step de preflight
  (secrets y est toujours dispo) → outputs booléens has_token/has_repo → gate consommé
  via needs.preflight.outputs.* (dispo en if: partout · portable GitHub ET Gitea/act).
- Contrat observable inchangé (preflight vert + rapporte les secrets · builds SKIP sans
  token) → prose ci/README.md §Second workflow toujours exacte, 0 dérive doc.
- Vérif : YAML valide · 0 secrets. restant dans un if: de job · needs:preflight conservé ·
  4 écritures $GITHUB_OUTPUT · aucun gate ne linte le workflow (hors gate.needs) ·
  run_ci.sh 32 PASS inchangé.
- 2 canaux de log à jour (activity_log + daily_reports addendum). 0 nouveau module (#5) ·
  0 chiffre inventé (#6) · aucune commande VPS (#8).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

05_activity_log/2026-08-04.md

@@ -163,3 +163,43 @@ sourcés — est déjà couvert par `two-logging-channels` / `doc-numeric-claims
 **Vérifications.** `./run_ci.sh` → **32 PASS · 0 FAIL · 0 SKIP** (inchangé — recompute
 read-only, aucune logique prod/gate touchée). **0 nouveau module · 0 gate ajouté (#5) ·
 0 chiffre inventé (#6).** Aucune commande VPS (#8) · aucun `git clean` <!-- ci-allow : mention de l'interdit, jamais exécuté -->.
+
+---
+
+## Session 234104 · Durcissement `mobile-build.yml` — gating d'activation robuste (secrets-context hors `if:` job) → 1 édition CI in-scope
+
+**Contexte + choix de tâche.** `./run_ci.sh` au démarrage : **32 PASS · 0 FAIL · 0 SKIP**,
+arbre propre. Roadmap intégralement livrée/gatée ; les 3 sessions du jour (`221055`,
+`224101`, `231101`) avaient déjà passé audit inter-artefacts + sonde de dérive + attestation
+stakeholder → CLEAN. Re-sonder une 4e surface d'audit serait redondant (#5). J'ai donc
+changé de registre : au lieu d'un audit read-only de plus, **vérifier la correctness d'un
+artefact CI in-scope à impact futur réel** — le workflow `mobile-build.yml` que le canal
+stakeholder désigne comme « prochaine tâche » (s'active quand Michel fournit `EAS_TOKEN`).
+Un agent Explore a d'abord confirmé **0 bug de logique** dans les générateurs Python (classe
+correctness, pas comptes) — cohérent avec la saturation. Le défaut réel était dans le YAML CI.
+
+**Défaut trouvé (latent, silencieux).** Les deux jobs `build-ios` / `build-android`
+gataient sur `if: ${{ secrets.EAS_TOKEN != '' && … }}` **au niveau job**. Or le `secrets`
+context n'est **pas** dans la table d'availability de `jobs.<id>.if` de GitHub Actions
+(seuls `github`/`needs`/`vars`/`inputs`/`matrix` + status functions y sont) ; le moteur
+`act` de Gitea peut l'exposer ou non → comportement **ambigu selon la plateforme**. Risque
+concret : le jour où Michel ajoute un `EAS_TOKEN` valide, les builds pourraient rester
+**SKIP en silence** (`secrets.EAS_TOKEN` évalué vide en contexte `if:` → condition toujours
+fausse). Exactement le « marche dans ma tête, casse le jour où on en a besoin ».
+
+**Correctif (pattern canonique preflight-output, portable GitHub ET Gitea/act).** Le
+secret est désormais lu **dans un step** de `preflight` (où `secrets` est toujours
+disponible), converti en `outputs.has_token` / `has_repo` (booléens via `$GITHUB_OUTPUT`),
+et les jobs de build gatent sur `needs.preflight.outputs.*` — contexte, lui, **disponible
+en `if:` partout**. **Contrat observable inchangé** : `preflight` reste vert et rapporte
+l'état des secrets ; les builds restent SKIP tant que le token est absent (prose
+`ci/README.md` §Second workflow toujours exacte, pas de dérive doc). Le durcissement porte
+seulement sur *comment* le SKIP est décidé.
+
+**Vérifications.** `python3 -c yaml.safe_load` → **YAML valide** ; `preflight.outputs`
+présents ; `build-ios`/`build-android` gardent `needs: preflight` ; **0** `secrets.` restant
+dans un `if:` de job ; 4 écritures `$GITHUB_OUTPUT`. Aucun gate ne linte la structure de
+`mobile-build.yml` (`check-ci-integrity` ne verrouille QUE `ci.yml`) → pas de gate cassé.
+`./run_ci.sh` → **32 PASS · 0 FAIL · 0 SKIP** (inchangé — le workflow mobile est hors
+`gate.needs`). **1 fichier CI édité (in-scope, le worker versionne la CONFIG CI/CD) · 0
+nouveau module (#5) · 0 chiffre inventé (#6) · aucune commande VPS (#8) · aucun `git clean`** <!-- ci-allow : mention de l'interdit, jamais exécuté -->.