test: гейт «новый код не добавляет any»

В src/** сейчас 1034 вхождения явного any в 49 файлах — больше, чем называл
аудит (330), потому что монолит с тех пор разделился и его обвязка уехала в
houseplan-editor-runtime.ts. Разовая замена такого объёма — месяц риска ради
нуля пользовательской ценности, поэтому долг снимается при плановом извлечении
подсистем (#34). Задача гейта одна: не давать долгу расти.

Судятся только добавленные строки диапазона. Изменённая строка со старым any
выглядит в диффе добавленной, и это намеренно: тронул — либо типизируй, либо
обоснуй на той же строке `// any-ok: <причина>`. Голый маркер, пустая причина и
шаблоны вроде todo, hack, потом не проходят.

Ложных срабатываний нет по построению, а не по старанию: текст разбирается
парсером TypeScript, и нарушением считается узел AnyKeyword. Регулярка по строке
ловила бы слово any в прозе внутри шаблона html и в комментариях; здесь
комментарии, строковые литералы, многострочные шаблоны и идентификаторы
company, anyOf, manyRooms узлами такого вида не являются вовсе.

Проверено исполнением на настоящем дереве, а не только юнитами: пробные коммиты
в src/wall-thickness.ts показали, что добавленный any падает с файлом и строкой,
типизированная строка в файле с 122 старыми any проходит, any-ok с конкретной
причиной проходит, а голый и «todo» — нет, и что any в прозе, строке и
идентификаторах не даёт ни одного срабатывания.

В job frontend checkout получил полную историю без блобов: diff-aware проверке
нужен диапазон, а содержимое старых ревизий — нет.

Заодно закрыта ловушка в test/validate-workflow.test.mjs: имя job искалось через
indexOf('  frontend:'), а эта строка встречается внутри `      frontend: ${{ ...
}}` в outputs job changes, поэтому срез уходил не туда. Теперь имя ищется с
начала строки.

Четыре мутанта проверены руками, два добавлены в реестр: гейт, судящий все
строки, и гейт, принимающий голый маркер.

Issue: #342
User-Visible: no

PROCESS.md

@@ -567,12 +567,23 @@ npm run build && cmp dist/houseplan-card.js custom_components/houseplan/frontend
               # копия стенда собирается `npm run bundle:sync`, в репозитории её нет (#255)
 node scripts/smoke-select.mjs --base origin/dev --head HEAD   # какие смоки относятся к диффу
 node demo/smoke_<целевые>.mjs
+node scripts/no-new-any.mjs --base origin/dev --head HEAD     # новый код не добавляет any
 npm run golden:verify                 # если менялся визуал
 node scripts/check-docs.mjs           # если менялся src/**
 node scripts/model-invariants.mjs --config <экспорт>   # если правилась геометрия или ссылки
 python -m pytest tests_backend -q     # py3.13, если менялся бэкенд
 ```
 
+**Новый код не добавляет `any`** (#342). В `src/**` уже 1034 вхождения явного
+`any` в 49 файлах; перетипизировать это одним заходом — месяц риска ради нуля
+пользовательской ценности, поэтому долг снимается при плановом извлечении
+подсистем (#34), а не разовой заменой. Гейт `scripts/no-new-any.mjs` судит
+**только добавленные строки**: существующий долг на нетронутой строке законен,
+правка строки со старым `any` — новая ответственность. Исключение объявляется на
+той же строке, `// any-ok: <конкретная причина>`; голый маркер и причины вида
+«todo» не проходят. Текст разбирается парсером TypeScript, поэтому слово «any» в
+комментарии, строке или идентификаторе ложных срабатываний не даёт.
+
 **Объём гейтов на код-ревью соразмерен задаче** (issue #127). Всегда:
 `typecheck`, `npm test`, `npm run build` со сверкой трёх копий бандла, а при
 любом diff'е по `src/**` — ещё и `node scripts/check-docs.mjs`. По