feat: garde-fous d'écriture des classeurs Excel #153 (P0)

L'édition d'un .xlsx pouvait détruire une partie du classeur, le
concurrencer en silence, ou diffuser une injection de formule.

- BUG-085 : inspect_workbook() détecte ce qu'un round-trip openpyxl perd
  (valeurs calculées en cache, slicers, contrôles, connexions, custom
  XML, signature, commentaires enrichis, macros) → xlsx_lossy_features
  exposé en lecture, bandeau FR/EN, et 409 xlsx_lossy_content sans
  `force` (confirmation explicite puis reprise). Périmètre réel
  revalidé : graphiques, images et TCD survivent au round-trip.
- BUG-086 : écriture atomique (fichier .tmp + os.replace) : un plantage
  ne peut plus tronquer le classeur, le backup reste intact.
- BUG-087 : verrou par fichier autour du read-modify-write (timeout 15 s,
  409 conflict) ; endpoint xlsx/save devenu synchrone pour que
  l'attente s'exécute dans le threadpool.
- BUG-088 : une saisie en '=' ou '@' est stockée en texte, sauf opt-in
  `allow_formula` ou le bouton f(x) de la visionneuse. Le handler
  ServiceError expose désormais code + details, que api() propage.
- BUG-084 : la suppression d'une vault purge enfin l'index inversé
  (documents fantômes qui continuaient de matcher) et is_stale() devient
  is_ready(), le nom étant trompeur (la staleness n'existe plus).

Tests : 1390 pytest, 10 JSDOM (xlsx-viewer.test.mjs, branché au CI),
3 E2E Playwright, suite E2E complète verte, ruff/mypy 0.

🤖 Generated with Codebuff
Co-Authored-By: Codebuff <[email protected]>

frontend/js/auth.js

@@ -72,14 +72,25 @@ async function api(path, opts) {
   }
   if (!res.ok) {
     var detail = "";
+    var code = "";
+    var details = null;
     try {
       var body = await res.json();
       detail = body.detail || "";
+      // #153 A1 : the service layer exposes a stable code + details so callers
+      // can branch on the failure (e.g. confirm a lossy .xlsx write) instead of
+      // matching on the message.
+      code = body.code || "";
+      details = body.details || null;
     } catch (_) {
       /* no json body */
     }
     showToast(detail || "Erreur API : " + res.status, "error");
-    throw new Error(detail || "API error: " + res.status);
+    var apiError = new Error(detail || "API error: " + res.status);
+    apiError.status = res.status;
+    apiError.code = code;
+    apiError.details = details;
+    throw apiError;
   }
   return res.json();
 }