Migra a suite para PHPUnit 13, mantendo suporte à 12

[gersonfs]

Sobe o PHPUnit para ^12.0 || ^13.0. Em PHP 8.3 o composer resolve a 12 (a 13 exige >= 8.4.1); nas demais versões, a 13.

O que a PHPUnit 13 quebrava

Na primeira execução com a 13: 63 erros, 1 falha e 297 deprecations em 3976 testes.

TestCase::any() virou hard-deprecation (removida na 14) — 136 call sites. Os 121 que só configuravam retorno viraram stub simples ($mock->method()); os 14 que também usavam with() foram revistos um a um e viraram atLeastOnce(), once() ou never() conforme o corpo do teste.

Um método dublado só aceita uma configuração de with(), o que inviabiliza o encadeamento at(N)->method()->with() — a razão de existir do shim at(). O shim passou a receber as expectativas de argumento e as verifica em invokedDo(), que o PHPUnit só alcança depois de o nome do método casar (matches() sozinho dispara para chamadas de outros métodos do mesmo mock). 314 sites convertidos.

Doubles apoiados em CakeStubTrait (CakeRequest/CakeResponse) não expõem o atalho method() do PHPUnit — CakeRequest declara um method() real, que é justamente por que esses casos usam stub escrito à mão. Para eles entrou o matcher anyInvocation(), que exprime "zero ou mais" sem passar pela API deprecada.

Poluição de estado entre testes

Cinco pontos em que um teste deixava estado global sujo. Nenhum quebrava na ordem default, então passavam despercebidos até a suíte ser reordenada.

• CakeFixtureManager::_setupTable() — o guard que detectaria uma tabela dropada por outra classe esperava uma exceção do truncate(), mas CakeTestFixture::truncate() captura o PDOException e devolve false. Nunca disparou; a falha só aparecia depois, no insert(). Derrubava a fixture core.translate para BehaviorCollectionTest e TreeBehaviorScopedTest.
• SecurityComponentTest deixava HTTPS ligado em $_SERVER, e o CakeSession passa a acrescentar session.cookie_secure a todo teste seguinte.
• CakeRequestTest, CakeResponseTest e RequestHandlerComponentTest limpavam $_SERVER por lista curada de chaves, e as listas tinham ficado para trás: HTTP_USER_AGENT e CONTENT_TYPE escapavam. Passam a restaurar o array inteiro.
• CakeSessionTest não zerava CakeSession::$_userAgent, estático que sobrevive ao destroy().
• CakeEventManagerTest anexava listeners ao manager global sem soltá-los, e listeners() mescla os globais no resultado de qualquer manager local.

CakeRequestStub ganhou accepts(), parseAccept() e clientIp(): os testes dublavam esses métodos, mas o stub não os interceptava, então rodavam de verdade contra $_SERVER.

Rector removido

rector/rector estava preso na ^0.12.5, de 2021: não executa no PHP 8.5, usa a API antiga de configuração e registra uma regra que não existe mais. Saiu junto com rector.php e RECTOR.md (o phpstan veio junto, era dependência transitiva). As regras que ajudaram na migração vieram de um Rector 2 avulso, fora do projeto.

Vale registrar: o RemoveExpectAnyFromMockRector não é seguro aqui. Ele remove expects() cegamente, e nos doubles de CakeStubTrait isso transforma a configuração do mock numa chamada ao acessor real do CakeRequest. Rodar Rector neste repo exige a suíte logo depois.

CI

Volta a testar 8.3 e passa a rodar composer update em vez de install — o lock fixa uma versão só do PHPUnit, e instalar a partir dele falharia no leg do 8.3. Resolvendo por leg, a matriz acaba cobrindo as duas versões de verdade.

Verificação

3976 testes, sem falhas, sem deprecations do PHPUnit:

	PHPUnit 12.5.33	PHPUnit 13.3.0
--order-by=default	ok	ok
--order-by=reverse	ok	ok
--order-by=random (seeds 1, 7, 42, 99)	ok (99)	ok

Antes das correções de poluição, reverse e random quebravam.