feat(r0.10): apps/api — auth fermée par défaut, matrice en base, démo-login ADR-002, seed

- packages/shared : rôles/catégories, schémas Zod, contrat d'API ;
  pnpm contract → docs/openapi.json committée (règle d'or ADR-001)
- apps/api : NestJS 11 + Prisma 6, migration r0_identity (Role/Permission/User) ;
  guard JWT global + @Public() ; PermissionsGuard (@RequirePermission,
  matrice relue en base, cache 60 s) ; FileStorage (seul import MinIO) ; /health
- démo-login ADR-002 : module conditionnel DEMO_MODE (404 sinon, testé e2e),
  double verrou production, refus des comptes isDemo=false
- seed idempotent : 7 rôles, matrice complète (70 lignes), 7 comptes démo
- 19 tests Jest (unit + e2e) ; smoke test sur build de prod

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

apps/api/src/app.module.ts

@@ -0,0 +1,41 @@
+import { DynamicModule, Module } from '@nestjs/common';
+import { APP_GUARD } from '@nestjs/core';
+import { AuthModule } from './auth/auth.module';
+import { DemoAuthModule } from './auth/demo/demo-auth.module';
+import { JwtAuthGuard } from './auth/jwt-auth.guard';
+import { demoModeEnabled } from './config/env';
+import { FilesModule } from './files/files.module';
+import { HealthModule } from './health/health.module';
+import { PermissionsGuard } from './permissions/permissions.guard';
+import { PermissionsModule } from './permissions/permissions.module';
+import { PrismaModule } from './prisma/prisma.module';
+import { UsersModule } from './users/users.module';
+
+/**
+ * Composé via forRoot() (et non statiquement) pour que l'enregistrement
+ * conditionnel de DemoAuthModule (ADR-002) soit décidé au démarrage —
+ * et testable dans les deux états (module présent / routes 404).
+ */
+@Module({})
+export class AppModule {
+  static forRoot(): DynamicModule {
+    return {
+      module: AppModule,
+      imports: [
+        PrismaModule,
+        PermissionsModule,
+        FilesModule,
+        AuthModule,
+        UsersModule,
+        HealthModule,
+        // ADR-002 : hors DEMO_MODE, le module n'est pas enregistré → 404
+        ...(demoModeEnabled() ? [DemoAuthModule] : []),
+      ],
+      providers: [
+        // Ordre significatif : authentification puis permissions
+        { provide: APP_GUARD, useClass: JwtAuthGuard },
+        { provide: APP_GUARD, useClass: PermissionsGuard },
+      ],
+    };
+  }
+}