fix(build): гейт дрейфа сгенерированного кода + запрет прямой сборки из provider/

TOOLS/scripts/build-provider.sh

@@ -33,6 +33,18 @@ PROVIDER_DIR="${PROVIDER_DIR:-${ROOT_DIR}/provider}"
 BUILD_DIR="${BUILD_DIR:-${ROOT_DIR}/artifacts/provider_build}"
 GPG_KEY_FILE="${GPG_KEY_FILE:-${ROOT_DIR}/secrets/private_key.asc}"
 
+# Гейт дрейфа: прямая сборка из общего provider/ запрещена.
+# В provider/internal/resources_gen может лежать устаревшая копия (каталог
+# в .gitignore, дрейф не виден в git). Канонический путь — через
+# 03_build_and_upload_provider.sh: он собирает из временной копии со
+# свежесгенерированным кодом. Детект дрейфа: TOOLS/scripts/check_generated_drift.sh.
+if [[ "$PROVIDER_DIR" == "${ROOT_DIR}/provider" ]]; then
+  echo "Error: refused to build directly from the shared provider dir." >&2
+  echo "       It may contain a stale generated copy of another stand." >&2
+  echo "       Use: TOOLS/scripts/03_build_and_upload_provider.sh --profile <dev|test|prod>" >&2
+  exit 2
+fi
+
 VERSION="${1:-2.0.3}"
 REGISTRY_HOSTNAME="${REGISTRY_HOSTNAME:-tf-registry.containerk8s.services.ngcloud.ru}"
 NAMESPACE="${NAMESPACE:-nubes}"