Bibliothèque de sprites animaux CraftPix (1/3) : catalogue, galerie, accès admin

Premier commit d'une fonctionnalité découpée en plusieurs lots (voir le
plan "Bibliothèque de sprites animaux CraftPix") : intègre 14 familles
d'animaux (15 variantes de couleur chacune) comme personnages Forge
sélectionnables, à côté des 6 Kenney existants — réservé au rôle admin,
licence CraftPix oblige (interdiction contractuelle de rendre ces sprites
utilisables par un compte "user" via l'application).

- screens/labels/animal_sprite_library.py (nouveau) : charge un manifest
  JSON généré une fois (voir scripts/generate_animal_sprite_manifest.py,
  commit suivant) et construit ADMIN_SPRITE_LIBRARY, dans le même format
  que l'existant PUBLIC_SPRITE_LIBRARY (screens/labels/sprite_library.py,
  ex-SPRITE_LIBRARY, renommé pour distinguer les deux). screens.SPRITE_LIBRARY
  reste le catalogue FUSIONNÉ (utilisé par resolve_personnage_animations
  pour la résolution runtime, sans filtrage par rôle — voir le constat
  d'exploration : le payload de jeu et /jouer/<slug> ne vérifient déjà
  aucun rôle nulle part).
- screens/labels/sprite_gallery.py (nouveau) : sprite_gallery_families()
  groupe la galerie par famille — un animal n'apparaît qu'une fois (sa
  variante "de base"), ses 15 couleurs se choisissent depuis le panneau
  de propriétés (render_variant_gallery, templates/screen_edit.html),
  répondant à la suggestion de l'utilisateur plutôt que d'encombrer la
  galerie d'ajout de 210 tuiles quasi identiques.
- routes/screens/screen_edit.py, routes/scenes/scene_edit_view.py :
  la galerie passée au template est filtrée par rôle
  (PUBLIC_SPRITE_LIBRARY pour un compte "user", SPRITE_LIBRARY complet
  pour un admin) — même idiome que core/auth_guard.py.
- core/sprite_gate.py (nouveau) + 4 routes d'écriture (element_add,
  element_set_personnage_data, scene_object_add, scene_object_personnage_data) :
  ferme la brèche d'un POST direct qui contournerait la galerie filtrée
  (403 si un compte non-admin tente d'assigner un personnage animal).
- tests/conftest.py : nouvelles fixtures user_client/user_game (compte
  "user" non-admin avec un projet assigné) pour tester le filtrage par
  rôle de bout en bout.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/scenes/scene_edit_view.py

@@ -1,6 +1,6 @@
 import json
 
-from flask import render_template, request, abort
+from flask import render_template, request, abort, g
 
 import db
 import screens
@@ -46,11 +46,18 @@ def render_scene_edit(slug, screen_id, game):
     screens_map = {s["id"]: s["name"] for s in all_screens}
     blocks_view = screens.blocks_view(flow_blocks, flow_nodes, object_labels)
 
+    # Sprites animaux CraftPix (screens.ADMIN_SPRITE_LIBRARY) : réservés au
+    # rôle admin (licence CraftPix, voir core/sprite_gate.py et le plan
+    # "Bibliothèque de sprites animaux CraftPix").
+    sprite_library = screens.SPRITE_LIBRARY if g.current_user["role"] == "admin" else screens.PUBLIC_SPRITE_LIBRARY
+    sprite_library_families = screens.sprite_gallery_families(sprite_library)
+
     return render_template(
         "scene_edit.html",
         game=game, screen=screen, all_screens=all_screens,
         objects=objects, selected_id=selected_id, personnage_data=personnage_data,
-        sprite_library=screens.SPRITE_LIBRARY, sprite_library_json=json.dumps(screens.SPRITE_LIBRARY),
+        sprite_library=sprite_library, sprite_library_families=sprite_library_families,
+        sprite_library_json=json.dumps(sprite_library),
         element_animations_map_json=json.dumps(element_animations_map),
         element_orientation_values=screens.ELEMENT_ORIENTATION_VALUES,
         element_orientation_labels_json=json.dumps(screens.ELEMENT_ORIENTATION_LABELS),

routes/scenes/scene_object_add.py

@@ -3,6 +3,7 @@ from flask import request, redirect, url_for
 import screens
 
 from core.flask_app import app
+from core.sprite_gate import forbid_admin_only_character
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/scene-objects/add", methods=["POST"])
@@ -12,6 +13,8 @@ def scene_object_add(slug, screen_id):
     add_scene_object.py)."""
     kind = request.form.get("kind", "personnage")
     forge_character = request.form.get("forge_character")
+    if forge_character:
+        forbid_admin_only_character(forge_character)
     new_id = screens.add_scene_object(slug, screen_id, kind=kind, forge_character=forge_character)
     # Même route que l'éditeur document (/game/<slug>/screens/<id>/edit,
     # endpoint "screen_edit") — c'est CE dispatcher qui bascule vers la

routes/scenes/scene_object_personnage_data.py

@@ -3,6 +3,7 @@ from flask import request, jsonify
 import screens
 
 from core.flask_app import app
+from core.sprite_gate import forbid_admin_only_character
 
 
 @app.route("/game/<slug>/scene-objects/<int:object_id>/personnage", methods=["POST"])
@@ -17,6 +18,8 @@ def scene_object_personnage_data(slug, object_id):
     obj = screens.get_scene_object(slug, object_id)
     if not obj:
         return jsonify({"error": "objet introuvable"}), 404
+    if body.get("source") == "forge" and body.get("forge_character"):
+        forbid_admin_only_character(body["forge_character"])
     screens.set_scene_object_personnage_data(slug, object_id, body)
     obj = screens.get_scene_object(slug, object_id)
     return jsonify({"ok": True, "animations": screens.resolve_personnage_animations(obj)})