fix: le descripteur d-un membre repond ce que le lire repond

Trouve en rejouant l-adversaire sur le correctif precedent, et mesure :
`Object.getOwnPropertyDescriptor(resultat, "data")` rendait la collection BRUTE,
et `(..., "subscription")` le handle que `get` refuse. Cet appel ne passe pas
par le piege `get` - ni l-etalement, ni `Object.entries`, ni `JSON.stringify`,
ni une inspection console. Une deuxieme porte sur la meme piece, ouverte par un
piege que personne n-avait ecrit. Le meme trou existait sur la vue de collection
pour la trappe dunder.

La forme ordonnee dit combien d-objets elle porte a QUATRE endroits : `length`,
`Object.keys`, `in`, et le descripteur de chaque index. Un seul etait filtre,
donc le compte de ce que le porteur ne peut pas lire ressortait par les trois
autres, et le descripteur rendait les objets eux-memes.

Les quatre pieges appellent maintenant une seule fonction `read`, pas trois
copies de la regle : une frontiere faite de `switch` paralleles est une
frontiere qui derive. Et l-index nomme une position dans ce qui est LISIBLE,
donc la forme ordonnee sert son porteur au lieu de refuser.

packages/polyfill/src/surface/use-shape.ts

@@ -3,7 +3,9 @@
  * arguments. Once the cap emulation is in force, what comes back is a read-filtered VIEW
  * over the RESULT ENVELOPE the hook returns - `data` and `promise` carry only items in
  * documents the current holder has the `ReadCap` of, `subscription` is refused, and the
- * page commands and the load state pass through. Before the first cap is issued the real
+ * page commands and the load state pass through. A member's DESCRIPTOR answers what
+ * reading it answers, so the spread and the inspections built on that call read through
+ * the view rather than round it. Before the first cap is issued the real
  * result passes through unchanged. At migration the filtering disappears: the broker only
  * delivers documents whose cap the wallet holds.
  *