refactor(deploy): restore simple FortiGate address selection

[Tetrax]

Objectif

Revenir à une sélection d’adresse FortiGate simple et stateless, tout en conservant Policy Engine V2, FlowAtoms, Traffic Scope, service affinity et les validations de génération.

Changements

• gate bloquant de cohérence télémétrie/configuration : hostname/devname, serial/devid/HA, VDOM, interfaces et réseaux ;
• sélection d’adresse simple : objet FortiGate existant, subnet calculé ou hôtes /32 ;
• matching exclusivement IP/CIDR avec longest-prefix match ;
• drawer historique sans NetworkCandidate, UserDecision, ranking, hash ni détails internes ;
• policies de déploiement reconstruites depuis le résultat V2 serveur ;
• champs techniques client non autoritaires : interfaces, partition, tuples, ports, CIDR bruts et services fusionnés ;
• revalidation stateless avant preflight et génération ;
• compatibilité workspace : ancien networkDecisions ignoré.

Sécurité

• incohérence config/télémétrie : HTTP 422 CONFIG_TELEMETRY_MISMATCH ;
• provenance absente/inconnue : HTTP 422 POLICY_ENGINE_PROVENANCE_INVALID ;
• aucune utilisation de ALL/ALL_ICMP ;
• services, interfaces, VDOM, partition et autre côté restent issus du moteur serveur ;
• collecte d’identité bornée et testée avec 1,2 million de flows sous 40 Mio de heap.

Validation

• Suite repository : 177/177 PASS
• Suite image : 175 PASS + 2 skips hors image attendus
• Build Docker depuis le SHA exact
• Smoke mismatch 422
• Smoke cohérent : preflight/génération 200, objet existant réutilisé
• Probes de falsification : champs techniques ignorés, provenance absente refusée
• Smoke Chromium du drawer simple
• npm audit critical : exit 0
• Trivy HIGH/CRITICAL : 0 nouveau finding par rapport au runtime déployé
• CI GitHub
• Smoke post-merge et post-déploiement

Rollback

• runtime précédent : fortiflow:505ce97f259333e2da408093ac38de49839df8d2 ;
• v1.1.0 reconstruite et testée : fortiflow:3c7ef192f84ffd4416b505f6bbf8181d14953f3d.

Aucune release v1.2.0 n’est créée par cette PR.