test: гейт «новый код не добавляет any»

В src/** сейчас 1034 вхождения явного any в 49 файлах — больше, чем называл
аудит (330), потому что монолит с тех пор разделился и его обвязка уехала в
houseplan-editor-runtime.ts. Разовая замена такого объёма — месяц риска ради
нуля пользовательской ценности, поэтому долг снимается при плановом извлечении
подсистем (#34). Задача гейта одна: не давать долгу расти.

Судятся только добавленные строки диапазона. Изменённая строка со старым any
выглядит в диффе добавленной, и это намеренно: тронул — либо типизируй, либо
обоснуй на той же строке `// any-ok: <причина>`. Голый маркер, пустая причина и
шаблоны вроде todo, hack, потом не проходят.

Ложных срабатываний нет по построению, а не по старанию: текст разбирается
парсером TypeScript, и нарушением считается узел AnyKeyword. Регулярка по строке
ловила бы слово any в прозе внутри шаблона html и в комментариях; здесь
комментарии, строковые литералы, многострочные шаблоны и идентификаторы
company, anyOf, manyRooms узлами такого вида не являются вовсе.

Проверено исполнением на настоящем дереве, а не только юнитами: пробные коммиты
в src/wall-thickness.ts показали, что добавленный any падает с файлом и строкой,
типизированная строка в файле с 122 старыми any проходит, any-ok с конкретной
причиной проходит, а голый и «todo» — нет, и что any в прозе, строке и
идентификаторах не даёт ни одного срабатывания.

В job frontend checkout получил полную историю без блобов: diff-aware проверке
нужен диапазон, а содержимое старых ревизий — нет.

Заодно закрыта ловушка в test/validate-workflow.test.mjs: имя job искалось через
indexOf('  frontend:'), а эта строка встречается внутри `      frontend: ${{ ...
}}` в outputs job changes, поэтому срез уходил не туда. Теперь имя ищется с
начала строки.

Четыре мутанта проверены руками, два добавлены в реестр: гейт, судящий все
строки, и гейт, принимающий голый маркер.

Issue: #342
User-Visible: no

.github/workflows/validate.yml

@@ -320,7 +320,10 @@ jobs:
     if: needs.changes.outputs.frontend == 'true'
     runs-on: ubuntu-latest
     steps:
+      # Полная история без блобов (#342): гейт «новый код не добавляет any»
+      # diff-aware, ему нужен диапазон, а содержимое старых ревизий — нет.
       - uses: actions/checkout@v7
+        with: { fetch-depth: 0, filter: 'blob:none' }
       - uses: actions/setup-node@v7
         with:
           node-version: 22
@@ -328,6 +331,33 @@ jobs:
       - run: npm ci
       - name: Typecheck
         run: npm run typecheck
+      # Долг типизации снимается при извлечении подсистем (#34), а не разовой
+      # заменой: в src/** его 1034 вхождения в 49 файлах. Гейт держит приращение
+      # на нуле — судит только добавленные строки (#342).
+      - name: "Новый код не добавляет any"
+        env:
+          EVENT_NAME: ${{ github.event_name }}
+          BEFORE_SHA: ${{ github.event.before }}
+          BASE_SHA: ${{ github.event.pull_request.base.sha }}
+          HEAD_SHA: ${{ github.sha }}
+          REF: ${{ github.ref }}
+        run: |
+          set -euo pipefail
+          git fetch -q origin dev
+          zero=$(printf '%040d' 0)
+          base="$BEFORE_SHA"
+          if [ "$EVENT_NAME" = "pull_request" ]; then base="$BASE_SHA"; fi
+          # Пуш прямо в dev: диапазон — то, что этот пуш добавил. Новая ветка или
+          # перезаписанная история: точки отсчёта нет, берём merge-base с dev.
+          if [ "$REF" != "refs/heads/dev" ] || [ -z "$base" ] || [ "$base" = "$zero" ] \
+             || ! git cat-file -e "$base" 2>/dev/null; then
+            base=$(git merge-base origin/dev "$HEAD_SHA" || echo "")
+          fi
+          if [ -z "$base" ]; then
+            echo "не нашёл базу диапазона — гейт пропущен, это увидит следующий пуш"
+            exit 0
+          fi
+          node scripts/no-new-any.mjs --base "$base" --head "$HEAD_SHA"
       - name: Unit tests
         run: npm test
       - name: Build