fix: le dossier dit la verite sur le code, et la garde peut echouer

Cinq constats, aucun sur la frontiere des droits : le dossier et la garde.

LE MOTIF ENREGISTRE SUR `copyWithin` ETAIT FAUX, et c-etait raisonne, pas joue -
dans le meme lot que `rule_justify-a-return-value-by-running-it`, dont la
premiere application est a son propre voisin. Mesure : le vrai `readOnlyArray`
ne leve PAS, il execute et DETRUIT le premier element (["A","B","C"] devient
["B","C","C"]), tandis que `push`/`splice`/`sort`/`reverse`/`fill`/`shift`
levent a la lecture. `copyWithin` echappe a cette garde pour la raison exacte
qui le fait nommer ici : il est dans la meme liste mal etiquetee dont la garde
est faite. Le refuser est donc PLUS protecteur que la cible, pas equivalent :
une divergence deliberee, consignee comme telle, avec la mesure a cote.

LE FICHIER DOCUMENTAIT ENCORE LA REGLE QUE CE ROUND A SUPPRIMEE, et se
contredisait : deux en-tetes decrivaient le defaut par TYPE ("un compte, un
drapeau passent") et disaient que `isLoading` n-est pas nomme, alors que la
ligne 759 le nomme. Le contrat gardait les deux politiques a la fois. Une
doctrine qui survit a une reecriture est precisement ce qui egare le suivant.

LA GARDE NE VERIFIAIT PAS CE QU-ELLE ANNONCAIT. Prouve : une copie verbatim avec
{copyWithin, slice} en exceptions et `slice` retire de la liste servie passait
1 pass / 0 fail. Elle compare maintenant une PARTITION - l-ensemble effectif
amont egale l-union, les trois parts sont disjointes, l-exception vaut exactement
un membre nomme - et lit aussi les entrees SYMBOLE, invisibles a l-ancienne
expression. Verifie rouge dans les trois directions.

LA DEROGATION ECMASCRIPT ETAIT INFONDEE TELLE QUE RAISONNEE : la specification
ferme les CLES, pas les VALEURS. Un `Symbol.toStringTag` implemente en accesseur
rendant `Set(${size})` publiait le compte non filtre. Les deux cles sont
calculees a partir de la forme enveloppee. Et ce que la vue divulgue par
ailleurs - l-existence d-une cle sur la cible - est dit exactement, avec la
mesure qui montre qu-aucune presence de cle ne depend des objets.

`reduce` branchait sur `init === undefined` au lieu de l-arite.

packages/polyfill/src/surface/use-shape.ts

@@ -3,9 +3,12 @@
  * arguments. Once the cap emulation is in force, what comes back is a read-filtered VIEW
  * over the RESULT ENVELOPE the hook returns - `data` and `promise` carry only items in
  * documents the current holder has the `ReadCap` of, `subscription` is refused, and the
- * page commands and the load state pass through. A member's DESCRIPTOR answers what
- * reading it answers, so the spread and the inspections built on that call read through
- * the view rather than round it. Before the first cap is issued the real
+ * page commands and the load state pass through. A member's DESCRIPTOR answers what reading
+ * it answers, so what is built on that call reads through the view rather than round it -
+ * which for the envelope means a SPREAD of the result THROWS on `subscription` rather than
+ * copying it out. What no trap reaches is the HOST's own introspection: `console.log` and a
+ * devtools inspector read the object behind the proxy and print every identity's items
+ * (measured on Bun/JSC). The contract says so; there is nothing here to fix. Before the first cap is issued the real
  * result passes through unchanged. At migration the filtering disappears: the broker only
  * delivers documents whose cap the wallet holds.
  *