[DTP-Worker] Sprint 8 · buffer · Gate reproductibilité artefacts (ci/check_artifacts.sh) + fix dérive run_sheet demo 18→21

Nouveau gate CI bloquant : régénère chaque 05_deliverables_mvp/**/out/ depuis son
générateur `build` et exige l'égalité byte-for-byte avec le fichier commité
(découverte auto · stdlib pur · zéro pip). Attrape la dérive silencieuse d'un
artefact qui auto-résout une valeur depuis un autre module et devient périmé quand
la source grandit — dérive qu'aucune suite tests/ (fonctions, pas fichier commité)
n'attrapait.

Défaut détecté et corrigé par ce gate : demo/scenarios/out/run_sheet.json
embarquait ci_modules_count=18 (buildé Sprint 7) alors que qa/audit_4big en compte
désormais 21. Régénéré (diff 1 ligne). Consistance live re-vérifiée.

Wiring : job check-artifacts + needs du gate agrégé (.gitea/workflows/ci.yml) ·
doc (ci/README.md). Vérifs : test négatif du gate OK (dérive → EXIT 1), 4 gates
statiques EXIT 0, suites CI-parsing vertes (regression/acceptance/audit_4big/demo),
21/21 suites · 534 tests, compteurs dérivés stables.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

ci/check_artifacts.sh

@@ -0,0 +1,95 @@
+#!/usr/bin/env bash
+# ============================================================================
+# check_artifacts.sh · OTO Enterprise OS DTP
+# ----------------------------------------------------------------------------
+# Gate de REPRODUCTIBILITÉ des artefacts (roadmap Sprint 8 · « Regression tests
+# exhaustifs » · DevOps CI/CD). Prouve, en une commande, que CHAQUE artefact
+# `out/` versionné se régénère À L'IDENTIQUE (byte-for-byte) depuis son
+# générateur — donc qu'aucun `out/*.json` n'a dérivé de sa source.
+#
+# Pourquoi ce gate : plusieurs modules auto-résolvent des valeurs depuis les
+# artefacts d'AUTRES modules (ex. demo/scenarios lit qa/audit_4big). Quand la
+# source grandit (un compteur passe de 18 à 21…), l'artefact consommateur
+# devient périmé s'il n'est pas régénéré — dérive silencieuse qu'aucune suite
+# `tests/` (qui teste des FONCTIONS, pas le fichier commité) n'attrape. Ce gate
+# la bloque : il compare le build frais au fichier commité.
+#
+# Contrat vérifié : pour chaque `05_deliverables_mvp/**/out/`, le générateur
+# racine (le .py portant une sous-commande `build`) est ré-exécuté vers un
+# répertoire temporaire ; tout fichier produit DOIT exister et être identique
+# à son jumeau commité. Les artefacts d'EXÉCUTION (non produits par `build`,
+# p.ex. qa/regression/out/regression_run.json issu de `run`) ne sont pas
+# comparés — le gate n'assert que ce que `build` (déterministe) produit.
+#
+# Dépendances : bash, git, python3, diff, mktemp. Aucun réseau requis
+# (stdlib pur · CLAUDE.md #2 — runner Gitea sans pip).
+# ============================================================================
+set -uo pipefail
+cd "$(git rev-parse --show-toplevel)"
+
+FAIL=0
+report() { printf '  \033[31m✗\033[0m %s\n' "$1"; FAIL=1; }
+ok()     { printf '  \033[32m✓\033[0m %s\n' "$1"; }
+
+ROOT="05_deliverables_mvp"
+
+# Découverte : tout répertoire `out/` sous les livrables. Zéro liste à la main
+# (#6) — un module ajouté entre automatiquement dans le gate.
+mapfile -t outdirs < <(find "$ROOT" -type d -name out | sort)
+
+if [[ "${#outdirs[@]}" -eq 0 ]]; then
+  echo "Aucun répertoire out/ — rien à vérifier."
+  exit 0
+fi
+
+echo "== Reproductibilité des artefacts out/ (build frais == commité ?) =="
+for outdir in "${outdirs[@]}"; do
+  mod="$(dirname "$outdir")"
+  rel="${mod#"$ROOT"/}"
+
+  # Générateur = l'unique .py à la racine du module portant `add_parser("build")`.
+  gen="$(grep -rln 'add_parser("build"\|add_parser('\''build'\''' "$mod"/*.py 2>/dev/null | head -1)"
+  if [[ -z "$gen" ]]; then
+    report "$rel — répertoire out/ sans générateur 'build' (config invalide)"
+    continue
+  fi
+
+  tmp="$(mktemp -d)"
+  if ! ( cd "$mod" && python3 "$(basename "$gen")" build -o "$tmp" ) >/dev/null 2>"$tmp/.err"; then
+    report "$rel — 'build' a échoué :"
+    sed 's/^/        /' "$tmp/.err"
+    rm -rf "$tmp"
+    continue
+  fi
+
+  drift=0
+  produced=0
+  for f in "$tmp"/*; do
+    [[ -e "$f" ]] || continue
+    bn="$(basename "$f")"
+    produced=$((produced + 1))
+    committed="$outdir/$bn"
+    if [[ ! -f "$committed" ]]; then
+      report "$rel/$bn — produit par 'build' mais ABSENT du dépôt (non commité)"
+      drift=1
+    elif ! diff -q "$f" "$committed" >/dev/null 2>&1; then
+      report "$rel/$bn — DÉRIVE : le fichier commité diffère du build frais (régénérer)"
+      drift=1
+    fi
+  done
+
+  if [[ "$produced" -eq 0 ]]; then
+    report "$rel — 'build' n'a produit aucun fichier (générateur cassé ?)"
+  elif [[ "$drift" -eq 0 ]]; then
+    ok "$rel — $produced artefact(s) reproductible(s) à l'identique"
+  fi
+  rm -rf "$tmp"
+done
+
+echo
+if [[ "$FAIL" -eq 0 ]]; then
+  echo -e "\033[32m✅ Tous les artefacts out/ sont reproductibles (aucune dérive).\033[0m"
+else
+  echo -e "\033[31m❌ Artefact périmé/dérivé détecté — régénérer avec 'build -o out'.\033[0m"
+fi
+exit "$FAIL"