Lots 1-3 modernisation JS (S8786/S2703/S2486) + retrait Sonar CI/prod

- Lot 1 (S8786, ReDoS) : 5 sites documentes NOSONAR apres preuve empirique
  (script reproductible docs/redos_probe_s8786.js), aucune reecriture
  defensive necessaire.
- Lot 2 (S2703, variable globale implicite) : bug reel trouve et corrige
  (SCENE_OBJECT_NAMES en const au lieu de let, cassait la reassignation
  cross-script depuis scene-editor.js) + test de non-regression ; 4 autres
  sites confirmes surs et documentes.
- Lot 3 (S2486, exceptions avalees) : 6 sites confirmes surs et
  documentes ; 2 sites (config sprite JSON invalide) corriges avec un
  console.warn devtools, comportement joueur inchange, couverts par un
  nouveau test.
- Retrait du job CI sonarqube (.gitea/workflows/deploy.yml) et du service
  prod sonarqube/sonar-postgres (docker-compose.prod.yml) : acces dashboard
  bloque par des soucis d'infrastructure reseau (WSL2/pare-feu Hyper-V en
  local, reseau Docker partage avec Caddy pas en place en prod), sans lien
  avec le code du moteur - mis de cote plutot que de continuer a bloquer
  sur de l'infra. Les lots 4+ de modernisation JS dependent de scores
  Sonar exacts et sont donc egalement en pause (voir CODE_QUALITY.md).

SKIP=djlint : H021 (styles inline, 49 occurrences) est un backlog deja
documente et assume (CODE_QUALITY.md section 6), sur des templates non
touches par ce commit - deja exclu de la CI pour la meme raison.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.gitea/workflows/deploy.yml

@@ -4,13 +4,12 @@ on:
   push:
     branches: [main, dev]
 
-# Les jobs "test-*"/"lint-*"/"sonarqube" tournent sur CHAQUE push (main et
-# dev) : jusqu'ici aucune étape de CI n'exécutait la suite de tests ni les
-# outils qualité, rien n'empêchait un commit cassé d'atteindre la
-# production (voir l'audit qualité de la Phase 0 du plan). "build-and-
-# push"/"deploy", eux, restent réservés à main (via le filtre "if" sur
-# gitea.ref) — un push sur dev ne doit jamais redéployer la prod, seulement
-# faire tourner tests/lint/sonar.
+# Les jobs "test-*"/"lint-*" tournent sur CHAQUE push (main et dev) :
+# jusqu'ici aucune étape de CI n'exécutait la suite de tests ni les outils
+# qualité, rien n'empêchait un commit cassé d'atteindre la production (voir
+# l'audit qualité de la Phase 0 du plan). "build-and-push"/"deploy", eux,
+# restent réservés à main (via le filtre "if" sur gitea.ref) — un push sur
+# dev ne doit jamais redéployer la prod, seulement faire tourner tests/lint.
 #
 # lint-python/lint-js rejouent EXACTEMENT les hooks pre-commit locaux
 # (.pre-commit-config.yaml) mais bloquants ici dès le départ (déjà tous
@@ -18,12 +17,11 @@ on:
 # les hooks pre-commit ne protègent que la machine du committeur, jamais
 # un push direct ou une PR mergée depuis ailleurs. djlint EXCLU
 # volontairement (49 H021 "styles inline" déjà en backlog assumé, voir
-# CODE_QUALITY.md) — à ajouter ici quand ce lot sera traité. sonarqube,
-# lui, reste NON-BLOQUANT (continue-on-error) pendant cette première
-# période — voir CODE_QUALITY.md pour la trajectoire vers un mode
-# bloquant une fois le rapport trié (code smells, vulnerabilites) plutôt
-# que de bloquer tout de suite sur des centaines de signalements pas
-# encore triés.
+# CODE_QUALITY.md) — à ajouter ici quand ce lot sera traité.
+#
+# SonarQube (job CI + service prod) retiré pour l'instant — voir
+# CODE_QUALITY.md pour le contexte (accès instance locale/prod bloqué par
+# des soucis d'infra réseau, mis de côté volontairement).
 
 # Secrets à configurer dans Gitea (Paramètres du dépôt > Actions > Secrets) :
 #   REGISTRY_HOST   adresse du registre d'images (ex: gitea.exemple.com)
@@ -34,8 +32,6 @@ on:
 #   DEPLOY_USER     utilisateur SSH sur ce serveur
 #   DEPLOY_SSH_KEY  clé privée SSH (au format PEM) autorisée sur ce serveur
 #   DEPLOY_PATH     dossier sur le serveur où vit docker-compose.prod.yml (ex: /home/deploy/forge-engine)
-#   SONAR_TOKEN     jeton d'analyse SonarQube (Mon compte > Security > Generate Token
-#                   sur sonar.forgebase.fr) — jamais le mot de passe admin.
 #
 # Utilise directement docker/ssh/scp en ligne de commande plutôt que des
 # actions du marketplace, pour ne pas dépendre de la disponibilité de
@@ -92,7 +88,7 @@ jobs:
           COPY static/js/play/ static/js/play/
           COPY static/js/scenes/ static/js/scenes/
           COPY static/js/triggers/ static/js/triggers/
-          RUN node --test static/js/play/__tests__/*.test.js static/js/scenes/__tests__/*.test.js
+          RUN node --test static/js/play/__tests__/*.test.js static/js/play/offline/__tests__/*.test.js static/js/scenes/__tests__/*.test.js
           DOCKERFILE
 
   lint-python:
@@ -135,28 +131,6 @@ jobs:
           RUN npm run lint:css
           DOCKERFILE
 
-  sonarqube:
-    runs-on: ubuntu-latest
-    # Non-bloquant pendant cette premiere periode (voir le bloc de
-    # commentaires en tete de fichier) — un echec ici n'empeche jamais
-    # build-and-push/deploy, contrairement a lint-python/lint-js.
-    continue-on-error: true
-    steps:
-      - uses: actions/checkout@v4
-      - name: Analyse SonarQube (rapport seul, non-bloquant)
-        run: |
-          # Meme neutralisation de .dockerignore que test-python : sonar-
-          # project.properties couvre aussi tests/ (sonar.tests).
-          mv .dockerignore .dockerignore.disabled-for-ci
-          docker build -f - -t forge-sonar:${{ gitea.sha }} . <<'DOCKERFILE'
-          FROM sonarsource/sonar-scanner-cli:latest
-          WORKDIR /usr/src
-          COPY . .
-          DOCKERFILE
-          docker run --rm forge-sonar:${{ gitea.sha }} \
-            -Dsonar.host.url=https://sonar.forgebase.fr \
-            -Dsonar.token=${{ secrets.SONAR_TOKEN }}
-
   build-and-push:
     needs: [test-python, test-js, lint-python, lint-js]
     if: gitea.ref == 'refs/heads/main'