fix(validate): make the geometry pass call the engine instead of reimplementing it

[LeadcodeDev]

Round 4, vague B — lot validation géométrique, 9 constats vérifiés.

Presque tous sont la même erreur structurelle : le validateur reforke un morceau du moteur — une constante de padding, un style racine, un pivot de transform — au lieu d'appeler la fonction que le moteur utilise. Puis les deux dérivent, et le validateur se met à raisonner sur une géométrie qui n'est pas celle qui sera rendue. La correction consiste donc surtout à supprimer le doublon, pas à corriger sa valeur.

Le validateur est le seul garde-fou entre une génération et une vidéo cassée, et ses deux modes de défaillance ont un coût asymétrique — d'où le classement.

Faux négatifs — une vidéo cassée qui sort sans alerte

Constat	Symptôme
États timeline et audio-réactif	Invisibles même en --strict-anim : l'arbre était construit une seule fois avec anim: None, et ces deux mécanismes ne s'appliquent qu'en présence d'un vrai contexte d'animation. Reconstruit désormais par échantillon via build_scene_from_refs + BuildAnimationCtx — l'appel exact que fait render_with_new_pipeline_iter par frame rendue.
Rotation animée	Pas modélisée du tout : transform_bbox ne lisait que translate et scale. Un spin sortait du cadre sans être détecté à aucun échantillon. Replié désormais par apply_static_node_transform, l'AABB à 4 coins déjà correct côté statique.
Plafond de 40 échantillons	Sur une scène de 60 s, un échantillon toutes les 1,5 s : toute excursion plus brève passait entre les mailles. Relevé à 480, ce qui tient la cadence promise de 8/s jusqu'à 60 s.

Coût mesuré du relèvement, sur une scène de 60 s à 15 composants animés : 309 ms en release, 543 ms en debug. --strict-anim reste opt-in.

Faux positifs — un scénario correct bloqué, et --fix qui l'abîme ensuite

Constat	Symptôme
unwrappable_text_overflow	Seul check « contenu vs sa propre boîte » hors du garde d'ancêtre clippant. Un texte légitimement clippé par un overflow: hidden était rejeté — et --fix lui retirait alors un white-space correct.
transform-origin	Ignoré par le pliage statique, qui pivotait toujours au centre de la boîte.
content_overflows_card	Retiré, pas rapiécé. Voir ci-dessous.

Pourquoi content_overflows_card est retiré plutôt que corrigé

Son garde ne le rendait atteignable que si ni la carte ni rien entre elle et le nœud ne clippe — c'est-à-dire exactement le cas overflow: visible que CLAUDE.md et geometry-safety.md déclarent tous deux légal (« a badge sticking out of a card is legal »). Et quand la carte clippe, le garde supprime déjà tout le bloc.

Il n'existe donc aucune configuration où déclencher soit à la fois atteignable et cohérent avec le contrat documenté. Le rapiécer avec une échappatoire aurait produit un check qui ne se déclenche jamais.

Ce qui reste couvert : du contenu qui sort du device n'est jamais légal, et c'est le travail de check_viewport, pas du check retiré. J'ai ajouté un test qui épingle cette garantie — même fixture, descendue dans le cadre pour que le débordement sorte du viewport — afin que la suppression ne puisse pas devenir silencieusement un angle mort.

Le variant ViolationKind::ContentOverflowsCard est conservé sans être construit : le contrat des noms de violation est gelé (--fix, --report).

Si vous voulez un filet de sécurité contre les cartes sous-dimensionnées, il faudra un mécanisme neuf — un marqueur d'intention explicite, par exemple — pas une résurrection de celui-ci.

Géométrie rapportée fausse

• Les vues world étaient validées contre le layout racine des vues slide. Le layout centré que synthétise le rendu world est désormais un world_default_scene_layout partagé, utilisé par les deux.
• check_auto_scroll supposait 16+16 px de padding et, pour terminal, la mauvaise taille de police par défaut plus un line-height CSS que le peintre ignore. Il appelle maintenant CodeblockIntrinsic et TerminalIntrinsic, les mesureurs que le layout utilise lui-même.

Les refus --fix de la PR #145 : vérifiés, pas réécrits

Deux tests bout-en-bout pilotent désormais cmd_validate en entier — un scénario templaté avec config + $var, un scénario include à deux fichiers réels — chacun avec une vraie violation géométrique, et affirment que les fichiers source reviennent octet pour octet identiques.

Verdict sur « peut-on faire mieux que refuser » : non. Pour include, un chemin de violation porte l'index de scène résolu, qui n'a structurellement aucune correspondance dans le JSON brut du parent. Pour les templates, variables::substitute peut remplacer un scalaire par un objet ou un tableau : la substitution restructure l'arbre, donc un chemin calculé sur l'arbre résolu peut désigner une position qui n'existe pas dans la source. Le refus est la bonne réponse, pas seulement la prudente.

Dette de fond restante

L'agent a cartographié les endroits où le validateur duplique encore le moteur, même non touchés : resolve_transform_origin_2d (introduit ici — resolve_origin est privé à paint_pass.rs, hors périmètre ; les primitives d'unité sont partagées, seule l'orchestration est dupliquée), fold_static_camera, apply_transform_chain, container_clips, check_legibility/text_sizes, deserialize_children_indexed. Chacun porte désormais un commentaire nommant la fonction moteur dont il doit rester solidaire.

Vérification

cargo test --workspace sur cette branche seule : 20 cibles, 0 échec. 7 des 8 exemples valident, avec et sans --strict-anim ; le huitième est l'issue #157, préexistante à main.