Retire l'export exécutable (.exe) et la partie publique en ligne (/jouer)

Décision produit : seul l'export Web/SCORM (LMS) est pertinent — l'export
exécutable Windows autonome (publish/build_package.py, bouton "Publier")
et la partie publique par joueur (/jouer/<slug>, routes/public_play/,
"Publier en ligne") sont jugés redondants et retirés.

Conserve le mécanisme d'état "par joueur" (db/global_vars,
db/rows, per_player) : infrastructure générique déjà utilisée par
Score/Progression et testée indépendamment de toute route publique
(voir tests/test_player_state.py), aucune raison de la retirer.

_STATIC_ITEMS/_copy_characters (copie sélective des sprites CraftPix
réellement utilisés) migrent de build_package.py vers
build_scorm_package.py, seul appelant restant.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

core/auth_guard.py

@@ -19,20 +19,9 @@ from .flask_app import app
 # Endpoints accessibles SANS être connecté — tout le reste exige une
 # session valide. "static" (CSS/JS/images) doit rester public : la page
 # de connexion elle-même en a besoin pour s'afficher.
-#
-# game_play_public/runtime_payload_public/flow_node_run_data_public/
-# flow_node_run_variable_public (routes/public_play/) : la route PUBLIQUE
-# /jouer/<slug>, pour un vrai visiteur anonyme (état par joueur, Phase 1)
-# — chaque vue vérifie ELLE-MÊME db.is_public_played(slug) (404 sinon),
-# cette garde générique ne fait qu'autoriser l'accès sans connexion, elle
-# ne dispense d'aucune autre vérification.
 _PUBLIC_ENDPOINTS = {
     "static", "login", "login_2fa", "register", "register_2fa", "logout",
     "forgot_password", "reset_password",
-    "game_play_public", "runtime_payload_public",
-    "flow_node_run_data_public", "flow_node_run_variable_public",
-    "flow_node_run_score_public", "flow_node_run_status_public",
-    "flow_node_run_add_row_public",
 }
 
 # Endpoints de gestion de COMPTE (routes/auth/profile.py) — connexion

core/player_identity.py

@@ -1,35 +0,0 @@
-"""Identité d'un visiteur anonyme de la route publique /jouer/<slug> (voir
-routes/public_play/) — état par joueur, Phase 1. Un cookie NON SIGNÉ (pas
-besoin de itsdangerous/app.secret_key ici) : c'est une simple clé de
-PARTITION des données (quelles lignes/valeurs appartiennent à ce visiteur),
-jamais un jeton d'autorisation — la contrefaçon la plus grave possible
-serait de se faire passer pour un AUTRE joueur anonyme du même jeu, pas de
-franchir une frontière de sécurité (l'aperçu créateur, lui, reste protégé
-par core/auth_guard.py, complètement indépendant de ce mécanisme)."""
-import secrets
-
-from flask import request
-
-PLAYER_ID_COOKIE = "forge_player_id"
-_PLAYER_ID_MAX_AGE = 60 * 60 * 24 * 365  # 1 an
-
-
-def get_or_create_player_id():
-    """Renvoie (player_id, is_new) — is_new indique s'il faut poser le
-    cookie sur la réponse avant de la renvoyer (voir
-    set_player_id_cookie ci-dessous) : à utiliser aussi bien depuis une
-    route qui rend une page (GET /jouer/<slug>) qu'une route API JSON
-    (runtime-payload, run-data, run-variable), dont la réponse n'est
-    construite qu'APRÈS avoir déjà besoin du player_id pour agir."""
-    existing = request.cookies.get(PLAYER_ID_COOKIE)
-    if existing:
-        return existing, False
-    return secrets.token_urlsafe(16), True
-
-
-def set_player_id_cookie(response, player_id):
-    response.set_cookie(
-        PLAYER_ID_COOKIE, player_id,
-        max_age=_PLAYER_ID_MAX_AGE, httponly=True, samesite="Lax",
-    )
-    return response