fix(build): rendre effectifs deux garde-fous qui passaient à vide

Deux trouvailles de la revue CodeRabbit sur #220, vérifiées avant correction.

assertLgpl propageait l'environnement partagé à -L et -buildconf mais pas au
contrôle -encoders ni à la bannière -version finale. Sur un build SHARED Linux,
ffmpeg ne résout pas ses propres libav*.so sans LD_LIBRARY_PATH : il n'imprime
rien, et le contrôle ceinture-bretelles qui cherche libx264/libx265 opérait donc
sur une chaîne vide. Il ne rejetait rien, jamais. Mesuré : 0 octet sans
l'environnement, 13 397 octets et 229 encodeurs avec.

C'est un garde-fou de conformité LGPL. Passer à vide y est pire qu'échouer.

Les téléchargements macOS d'artefacts portaient continue-on-error: true, alors
qu'un workflow_dispatch peut cibler une seule arch tout en fournissant un
release_tag. Le contrôle final ne rejette qu'un répertoire entièrement vide, si
bien qu'une release pouvait se publier avec un seul DMG sur les deux, sans que
rien ne rougisse. C'est le mode d'échec silencieux que cette PR entend supprimer,
appliqué à macOS au lieu de Windows. Le revert avait déjà retiré le même drapeau
côté Linux ; les deux macOS le suivent.

Un dispatch délibérément mono-arch échouera désormais à la publication plutôt
que de livrer une release incomplète. C'est le comportement voulu : l'opérateur
le verra et tranchera.

Author: EtienneLescot

.github/workflows/build.yml

@@ -415,14 +415,12 @@ jobs:
           path: artifacts/windows
 
       - name: Download macOS arm64 DMG
-        continue-on-error: true
         uses: actions/download-artifact@v4
         with:
           name: openscreen-mac-arm64
           path: artifacts/mac-arm64
 
       - name: Download macOS x64 DMG
-        continue-on-error: true
         uses: actions/download-artifact@v4
         with:
           name: openscreen-mac-x64

scripts/fetch-ffmpeg.mjs

@@ -190,7 +190,11 @@ function assertLgpl(exePath, extraEnv) {
 
 	// Belt and braces: whatever the flags claim, the binary must not actually
 	// expose a GPL encoder.
-	const encoders = run(exePath, ["-hide_banner", "-encoders"]).stdout ?? "";
+	// `opts` here too: without it a SHARED build cannot resolve its own libav*.so,
+	// prints nothing, and this check passes on an empty string — silently vouching
+	// for exactly the binaries it exists to reject. Measured: 0 bytes without the
+	// env, 229 encoders with it.
+	const encoders = run(exePath, ["-hide_banner", "-encoders"], opts).stdout ?? "";
 	for (const lib of ["libx264", "libx265"]) {
 		if (new RegExp(`\\s${lib}\\s`).test(encoders)) problems.push(`exposes the ${lib} encoder`);
 	}
@@ -202,7 +206,7 @@ function assertLgpl(exePath, extraEnv) {
 				"Bundling it would relicense OpenScreen under the GPL.",
 		);
 	}
-	const ver = run(exePath, ["-hide_banner", "-version"]).stdout ?? "";
+	const ver = run(exePath, ["-hide_banner", "-version"], opts).stdout ?? "";
 	return ver.split("\n")[0]?.trim() ?? "";
 }