Bibliothèque de sprites animaux CraftPix (1/3) : catalogue, galerie, accès admin

Premier commit d'une fonctionnalité découpée en plusieurs lots (voir le
plan "Bibliothèque de sprites animaux CraftPix") : intègre 14 familles
d'animaux (15 variantes de couleur chacune) comme personnages Forge
sélectionnables, à côté des 6 Kenney existants — réservé au rôle admin,
licence CraftPix oblige (interdiction contractuelle de rendre ces sprites
utilisables par un compte "user" via l'application).

- screens/labels/animal_sprite_library.py (nouveau) : charge un manifest
  JSON généré une fois (voir scripts/generate_animal_sprite_manifest.py,
  commit suivant) et construit ADMIN_SPRITE_LIBRARY, dans le même format
  que l'existant PUBLIC_SPRITE_LIBRARY (screens/labels/sprite_library.py,
  ex-SPRITE_LIBRARY, renommé pour distinguer les deux). screens.SPRITE_LIBRARY
  reste le catalogue FUSIONNÉ (utilisé par resolve_personnage_animations
  pour la résolution runtime, sans filtrage par rôle — voir le constat
  d'exploration : le payload de jeu et /jouer/<slug> ne vérifient déjà
  aucun rôle nulle part).
- screens/labels/sprite_gallery.py (nouveau) : sprite_gallery_families()
  groupe la galerie par famille — un animal n'apparaît qu'une fois (sa
  variante "de base"), ses 15 couleurs se choisissent depuis le panneau
  de propriétés (render_variant_gallery, templates/screen_edit.html),
  répondant à la suggestion de l'utilisateur plutôt que d'encombrer la
  galerie d'ajout de 210 tuiles quasi identiques.
- routes/screens/screen_edit.py, routes/scenes/scene_edit_view.py :
  la galerie passée au template est filtrée par rôle
  (PUBLIC_SPRITE_LIBRARY pour un compte "user", SPRITE_LIBRARY complet
  pour un admin) — même idiome que core/auth_guard.py.
- core/sprite_gate.py (nouveau) + 4 routes d'écriture (element_add,
  element_set_personnage_data, scene_object_add, scene_object_personnage_data) :
  ferme la brèche d'un POST direct qui contournerait la galerie filtrée
  (403 si un compte non-admin tente d'assigner un personnage animal).
- tests/conftest.py : nouvelles fixtures user_client/user_game (compte
  "user" non-admin avec un projet assigné) pour tester le filtrage par
  rôle de bout en bout.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

tests/conftest.py

@@ -74,6 +74,46 @@ def client():
         yield c
 
 
+_TEST_USER_COUNTER = [0]
+
+
+@pytest.fixture
+def user_client():
+    """Un compte "user" (jamais le premier de la session de tests, donc
+    jamais admin — voir auth/create_user.py), connecté mais SANS projet
+    assigné pour l'instant (voir la fixture `user_game` ci-dessous) —
+    pour les tests qui vérifient qu'un rôle non-admin voit/peut moins de
+    choses qu'un admin (ex. galerie de sprites animaux CraftPix, voir
+    core/sprite_gate.py)."""
+    _TEST_USER_COUNTER[0] += 1
+    email = f"pytest-user-{_TEST_USER_COUNTER[0]}@pytest.local"
+    user_id = auth.create_user(email, "Test1234!", "Test", "User")
+    auth.confirm_totp(user_id)
+    flask_app.config["TESTING"] = True
+    with flask_app.test_client() as c:
+        with c.session_transaction() as sess:
+            sess["user_id"] = user_id
+        yield c
+
+
+@pytest.fixture
+def user_game(client, user_client):
+    """Un jeu appartenant au compte `user_client` (project_slug assigné,
+    voir auth.set_project_slug — même mécanisme que l'inscription réelle,
+    routes/auth/register_2fa.py). Créé via le client ADMIN (`client`,
+    illimité) puis rattaché, pour ne pas dépendre du parcours
+    d'inscription complet dans les tests qui n'en ont pas besoin."""
+    resp = client.post("/games/new", data={"name": "pytest_user_game"}, follow_redirects=False)
+    assert resp.status_code == 302
+    slug = resp.headers["Location"].rstrip("/").split("/")[-1]
+    with user_client.session_transaction() as sess:
+        auth.set_project_slug(sess["user_id"], slug)
+    yield slug
+    game_dir = db.game_dir(slug)
+    if os.path.isdir(game_dir):
+        shutil.rmtree(game_dir)
+
+
 @pytest.fixture
 def game(client):
     """Crée un jeu de test frais et le supprime après le test, quel que