infra(process): bundle and review index change only on the way to dev (#657)

Решения владельца: 1б — индекс ревью не пересобирается в ветке задачи,
только коммитами, идущими в dev; 2б — бандл меняет только кандидат
беты/релиза, стенд dev берёт его из артефакта Validate.

- scripts/bundle-policy.mjs: коммит, трогающий dist/** или
  custom_components/houseplan/frontend/**, обязан нести Release:
  (хук commit-msg и история в CI через validate-commit-provenance;
  коммиты с датой автора до 2026-09-27 не судятся); --verify судит
  целостность свежей сборки всегда, побайтовую сверку с закоммиченной
  копией — только на коммите, меняющем бандл, или кандидате; --clean.
- release-prerelease: публикация отказывает, если отпечаток исходников
  в закоммиченном манифесте не равен отпечатку дерева (хотфикс поверх
  кандидата без пересборки).
- bundle-sync: по умолчанию только demo/srv/assets; --release
  (npm run bundle:release) — ещё и custom_components.
- rebase-on-dev: конфликт в бандле берёт копию dev, без пересборки
  и amend.
- validate.yml: job dev_build публикует card-bundle головы dev в
  сиротскую ветку dev-build (scripts/dev-build.mjs); стенд накладывает
  её demo/stand/update-dev-bundle.sh.
- _process.yml: индекс ревью больше не пересобирается при приведении
  к dev и при публикации документа в ветку задачи.
- golden-wsl-artifact/golden-container: сборка перед съёмкой не
  считается правкой источника, после — bundle:clean.
- test/bundle-tree-committed: судит закоммиченный снимок, не диск.
- 11 мутантов в реестре; PROCESS/AGENTS/DEVELOPMENT/AUTHOR/REVIEWER.

Issue: #657
User-Visible: no

scripts/bundle-sync.mjs

@@ -2,12 +2,17 @@
 /**
  * Разложить собранный бандл по местам, которым он нужен (#255).
  *
- * Копий две с половиной. `custom_components/houseplan/frontend` — та, что
- * ставит HACS, она в репозитории и обязана совпадать с `dist` побайтово.
- * `demo/srv/assets` — рабочая копия стенда: её читают браузерные смоки, golden
- * и съёмка скриншотов, но в репозитории её больше нет. Раньше «скопировать
- * туда» жило шестью разными `cp` в воркфлоу и трижды в документации; когда
- * копию забывали, смок врал согласованно (#236).
+ * Копий две с половиной. `demo/srv/assets` — рабочая копия стенда: её читают
+ * браузерные смоки, golden и съёмка скриншотов, в репозитории её нет (#255).
+ * `custom_components/houseplan/frontend` — та, что ставит HACS; с #657 она
+ * обновляется только для релизного кандидата (`--release`, `npm run
+ * bundle:release`): в остальных коммитах закоммиченный бандл законно отстаёт
+ * от исходников, и обычная задача его не трогает. Раньше «скопировать туда»
+ * жило шестью разными `cp` в воркфлоу и трижды в документации; когда копию
+ * забывали, смок врал согласованно (#236).
+ *
+ *   node scripts/bundle-sync.mjs             # dist → demo/srv/assets
+ *   node scripts/bundle-sync.mjs --release   # и в custom_components/houseplan/frontend
  */
 import { createHash } from 'node:crypto';
 import {
@@ -22,10 +27,9 @@ import {
 const ROOT = resolve(dirname(fileURLToPath(import.meta.url)), '..');
 const SOURCE_ROOT = resolve(ROOT, 'dist');
 const MANIFEST_NAME = 'houseplan-assets.json';
-const TARGETS = [
-  'custom_components/houseplan/frontend',
-  'demo/srv/assets',
-];
+const DEMO_TARGET = 'demo/srv/assets';
+const RELEASE_TARGET = 'custom_components/houseplan/frontend';
+const TARGETS = process.argv.includes('--release') ? [RELEASE_TARGET, DEMO_TARGET] : [DEMO_TARGET];
 
 const manifestPath = resolve(SOURCE_ROOT, MANIFEST_NAME);
 if (!existsSync(manifestPath)) {