Epic: fork web do editor LDtk (peça 2/2 do porte web)

[afonsof]

Epic da peça 2 do porte web. Fork só-web do editor, consumindo a API da peça 1 (server/).

Ref: docs/superpowers/specs/2026-07-27-ldtk-web-port-design.md (abordagem C — VFS em memória + flush).

Etapas — todas concluídas ✅

• Editor web #1: levantamento da superfície nativa (grep NT./ET./js.node.*) #6 — Levantamento da superfície nativa
• Editor web #2: VirtualFS + WebFS (substituir NodeTools por alias) #7 — VirtualFS + WebFS (alias de NodeTools)
• Editor web #3: ProjectTransport (HTTP: loadBundle / flush / uploadImage) #8 — ProjectTransport (loadBundle / flush / uploadImage)
• Editor web #4: stubs de plataforma (ElectronTools, Dialogs, FileWatcher) #9 — Stubs de plataforma + picker de imagem web
• Editor web #5: limpeza de build (remover Electron main/IPC/updater + importers/exporters) #10 — Limpeza de build (electron/hxnodejs fora do classpath)
• Editor web #6: build só-renderer (.hxml -D web) + index.html host + LDTK_CONFIG #11 — Build só-renderer (-D web) + app/web.html + LDTK_CONFIG
• Editor web #7: bootstrap (bypass Home → loadBundle → Editor) #12 — Bootstrap (bypass Home → loadBundle → Editor)
• Editor web #8: tratamento de erros de rede (load/flush/409/upload) #13 — Tratamento de erros de rede
• Editor web #9: testes (VFS/transport unit + smoke e2e Playwright) #14 — Testes automatizados

Estado

O editor LDtk roda no navegador contra o servidor: abrir → editar → salvar → recarregar fecha o ciclo, com níveis externos (#3), upload de tileset, falhas de rede tratadas, e 76 asserções automatizadas (VirtualFS 17, ProjectTransport 17, servidor 38, e2e 4).

O build web não depende mais de electron nem hxnodejs: require() no bundle caiu de 28 para 3 (só externs de UI).

Para produção

• Web server: autenticação (bloqueador de deploy) #1 (auth + CORS) é bloqueador — o MVP não tem autenticação por decisão de escopo.
• Web server: ciclo de vida de imagens (DELETE + limpeza de órfãs) #2 / Web server: hardening menor (TOCTOU em fs, acoplamento do body-parser) #4 — hardening do servidor.
• Fora de escopo até agora: excluir importers/exporters do build (só tamanho de bundle) e automatizar o clique em "Pick image" (diálogo nativo).

Planos em docs/superpowers/plans/.