refactor(api): précis en sortie, permissif en entrée — plus de guard publié

Un polyfill ne doit rien faire de plus que ce qui est prévu. `isNuri` /
`hasReadCap` et les utilitaires SPARQL `escapeLiteral` / `escapeIri` /
`assertNuri` n'ont de pendant à aucun niveau et n'en auront pas : le binding
prend `nuri: String`, le moteur est fortement typé en Rust et n'a besoin
d'aucun prédicat, l'ORM n'expose rien de tel. Le contrat les justifiait parce
qu'ils « restent utiles à n'importe quelle app » — c'est exactement le
raisonnement à refuser : utile n'est pas prévu, et chacun serait un appel à
réécrire le jour du SDK.

Le besoin d'un guard venait de notre propre signature : les entrées publiques
exigeaient `Nuri`, donc un consommateur devait narrower ce qu'il lisait d'une
URL ou du stockage. Elles prennent désormais `NuriLike` — n'importe quelle
chaîne — et valident à l'intérieur (`toNuri`). Ce que la bibliothèque REND
reste typé `Nuri` : l'app en profite gratuitement, et un type plus large ne
cassera rien quand le SDK rendra des chaînes.

Les guards et les utilitaires restent, internes, là où la validation se fait.

Un défaut introduit puis corrigé en chemin, qui valait le test qu'il a produit :
`readUnion` a toujours toléré les trous dans sa liste — un index de scope peut
porter une entrée blanche, et un appelant qui assemble depuis des valeurs
optionnelles n'a pas à compacter. Valider AVANT de filtrer a transformé cette
tolérance en exception. Vide est une absence, pas une référence malformée ; les
deux sont désormais distingués par un test.

170 tests unitaires, e2e 42/42 contre le broker, typecheck vert sur la
bibliothèque, l'exemple et le harnais.

packages/client/src/surface/docs.ts

@@ -15,9 +15,9 @@
 
 import { getCaps, getConfig } from "../shared-wallet/bootstrap";
 import { logAccess, enabled as accessLogEnabled } from "../shared-wallet/access-log";
-import { isNuri } from "../model/nuri";
+import { isNuri, toNuri } from "../model/nuri";
 import { assertMayReach } from "../emulated-verifier/reach";
-import type { Nuri } from "../model/types";
+import type { Nuri, NuriLike } from "../model/types";
 
 // The low common point for ALL document access: every read in the SDK routes
 // through `sparqlQuery`, every write through `sparqlUpdate` (+ container creation
@@ -85,10 +85,11 @@ export async function docCreate(
 export async function sparqlUpdate(
   sessionId: string,
   query: string,
-  anchor?: Nuri,
+  anchorLike?: NuriLike,
   label = "sparqlUpdate",
 ): Promise<void> {
   const { ng } = getConfig();
+  const anchor = anchorLike === undefined ? undefined : toNuri(anchorLike, "docs.sparqlUpdate");
   // The boundary: a write may only touch what the connected virtual user reaches.
   if (anchor !== undefined) assertMayReach(anchor, "docs.sparqlUpdate");
   // `label` is a lib-internal access-log tag, NOT forwarded to `ng`.
@@ -131,10 +132,11 @@ export async function sparqlQuery(
   sessionId: string,
   query: string,
   base?: string,
-  anchor?: Nuri,
+  anchorLike?: NuriLike,
   label = "sparqlQuery",
 ): Promise<unknown> {
   const { ng } = getConfig();
+  const anchor = anchorLike === undefined ? undefined : toNuri(anchorLike, "docs.sparqlQuery");
   // The boundary: an ANCHORED read may only touch what the connected virtual user
   // reaches. An anchorless query spans the local union — a different problem (it is
   // O(wallet size), and the read path never uses it), not one this guard can bound.