Lots 1-3 modernisation JS (S8786/S2703/S2486) + retrait Sonar CI/prod

- Lot 1 (S8786, ReDoS) : 5 sites documentes NOSONAR apres preuve empirique
  (script reproductible docs/redos_probe_s8786.js), aucune reecriture
  defensive necessaire.
- Lot 2 (S2703, variable globale implicite) : bug reel trouve et corrige
  (SCENE_OBJECT_NAMES en const au lieu de let, cassait la reassignation
  cross-script depuis scene-editor.js) + test de non-regression ; 4 autres
  sites confirmes surs et documentes.
- Lot 3 (S2486, exceptions avalees) : 6 sites confirmes surs et
  documentes ; 2 sites (config sprite JSON invalide) corriges avec un
  console.warn devtools, comportement joueur inchange, couverts par un
  nouveau test.
- Retrait du job CI sonarqube (.gitea/workflows/deploy.yml) et du service
  prod sonarqube/sonar-postgres (docker-compose.prod.yml) : acces dashboard
  bloque par des soucis d'infrastructure reseau (WSL2/pare-feu Hyper-V en
  local, reseau Docker partage avec Caddy pas en place en prod), sans lien
  avec le code du moteur - mis de cote plutot que de continuer a bloquer
  sur de l'infra. Les lots 4+ de modernisation JS dependent de scores
  Sonar exacts et sont donc egalement en pause (voir CODE_QUALITY.md).

SKIP=djlint : H021 (styles inline, 49 occurrences) est un backlog deja
documente et assume (CODE_QUALITY.md section 6), sur des templates non
touches par ce commit - deja exclu de la CI pour la meme raison.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

static/js/play/actions.js

@@ -330,14 +330,23 @@ function runActionNode(node) {
     // musique de fond de l'écran (runScreenBackgroundMusic() dans
     // screens.js, qui elle boucle et s'arrête au changement d'écran).
     // Fire-and-forget : ne bloque jamais la suite du graphe.
-    if (node.data_value) new Audio(node.data_value).play().catch(() => {});
+    if (node.data_value) new Audio(node.data_value).play().catch(() => {}); // NOSONAR S2486, CODE_QUALITY.md
     return Promise.resolve();
   } if (node.action_type === 'jouer_animation_sprite' && (node.target_element_id || node.target_object_id)) {
     const spriteTargetId = node.target_element_id || node.target_object_id;
     const targetEl = document.querySelector(`[data-element-id="${spriteTargetId}"]`);
     if (targetEl) {
       let spriteData = {};
-      try { spriteData = JSON.parse(node.data_value || '{}'); } catch (e) { /* data_value invalide : rien à jouer */ }
+      try {
+        spriteData = JSON.parse(node.data_value || '{}');
+      } catch (e) {
+        // Signalement devtools uniquement (voir CODE_QUALITY.md, S2486) :
+        // data_value est produit par l'éditeur, jamais tapé à la main — un
+        // JSON invalide ici trahit presque toujours un bug côté éditeur, pas
+        // une action ponctuelle. Comportement joueur inchangé : l'animation
+        // reste silencieusement absente (spriteData reste {}).
+        console.warn('configuration sprite invalide', e);
+      }
       runSpriteAnimation(targetEl, resolveSpriteFrames(spriteTargetId, spriteData));
     }
     return Promise.resolve();