feat(sites) : outillage opt-in site-aware (ticket 4/4)

Livre l'infrastructure permettant aux modules metier de declarer leurs
entites comme "scopees par site" via SiteAwareInterface. Strictement
opt-in : aucune entite metier touchee, aucune migration sur tables
existantes.

Composants :
- SiteAwareInterface (Shared/Domain/Contract) : getSite/setSite
- CurrentSiteProvider + interface (Module/Sites/Application) : resolve
  ?Site selon 3 conditions (module actif, user authentifie, currentSite).
  Interface extraite pour mockabilite en tests (implementation reste final).
- SiteScopedQueryExtension : QueryCollection + QueryItem API Platform,
  ajoute WHERE site = :currentSite si resource SiteAware + provider
  non-null + pas sites.bypass_scope.
- SiteAwareInjectionProcessor : decorator de api_platform.doctrine.orm.
  state.persist_processor (#[AsDecorator]). Injecte currentSite sur
  entites SiteAware sans site ; throw 400 si provider null.
- Permission sites.bypass_scope declaree dans SitesModule::permissions().

Tests :
- FakeSiteAwareEntity dans tests/Fixtures/ + mapping when@test dans
  doctrine.yaml. Table creee a la volee via SchemaTool dans setUp.
  schema:update --force ajoute dans test-db-setup pour que fixtures:load
  ne crashe pas au purger.
- 17 tests dedies au ticket 4 (CurrentSiteProvider unitaire, Injection
  Processor unitaire, Extension integration avec 7 cas couvrant filtrage
  collection + item, bypass, no-op, resource non SiteAware).
- SitesModuleTest : verifie le set de 3 permissions + que le decorator
  est bien enregistre sur le persist processor.

Documentation docs/modules/site-aware.md : guide developpeur 8 sections
(quand/ne pas adopter, comment, migration, mode degrade, anti-patterns,
exemple d'adoption Supplier, cascade delete).

Upgrade @malio/layer-ui 1.4.0 → 1.4.2 (bug 1.4.0 : tailwind.config.ts
oublie dans les files publies npm → classe rounded-malio manquante sur
les DataTables). Simplification tailwind.config.ts Coltura : retrait des
colors/fontFamily/borderRadius dupliques, seule la specifique projet
(primary, secondary, tertiary, m.secondary, m.tertiary) est conservee.

Tests : 201/201 avec et sans SitesModule actif (2 skipped en disabled).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

tests/Module/Sites/SitesModuleTest.php

@@ -0,0 +1,53 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Tests\Module\Sites;
+
+use App\Module\Sites\Infrastructure\ApiPlatform\State\Processor\SiteAwareInjectionProcessor;
+use App\Module\Sites\SitesModule;
+use Symfony\Bundle\FrameworkBundle\Test\KernelTestCase;
+
+/**
+ * Tests structurels du module Sites : contrat `permissions()` et
+ * invariants d'enregistrement des services.
+ *
+ * @internal
+ */
+final class SitesModuleTest extends KernelTestCase
+{
+    public function testPermissionsSetContainsExactlyThreeCodes(): void
+    {
+        // Garde-fou : si quelqu'un ajoute une permission sans ajuster les
+        // tests ou la doc, ce test casse explicitement. Si au contraire une
+        // permission disparait (ex: bypass_scope retire par erreur), meme
+        // effet. Le set de 3 permissions est fige par ce test.
+        $codes = array_column(SitesModule::permissions(), 'code');
+        sort($codes);
+
+        self::assertSame(
+            ['sites.bypass_scope', 'sites.manage', 'sites.view'],
+            $codes,
+        );
+    }
+
+    public function testSiteAwareInjectionProcessorIsRegisteredAsDecoratorOfPersistProcessor(): void
+    {
+        // Garde d'integration : le ticket 4 compte sur le fait que tous
+        // les processors existants qui deleguent au persist processor
+        // (UserRbacProcessor, RoleProcessor, etc.) passent par notre
+        // decorator SiteAwareInjectionProcessor. Si un refactor Symfony
+        // change la resolution du service decore, ce test cassera en
+        // amont des regressions invisibles dans les tests metier.
+        self::bootKernel();
+        $container = self::getContainer();
+
+        $persistProcessor = $container->get('api_platform.doctrine.orm.state.persist_processor');
+
+        self::assertInstanceOf(
+            SiteAwareInjectionProcessor::class,
+            $persistProcessor,
+            'Le service api_platform.doctrine.orm.state.persist_processor doit etre decore par SiteAwareInjectionProcessor (#[AsDecorator]).',
+        );
+    }
+}