fix(storage): la foto di una corte approvata resta modificabile dal proponente #46

Emerso dalla review di Phase 1 (migration 010/012), non ancora chiuso.

Problema

Le policy storage di court-photos sono chiaveate solo sul prefisso {auth.uid()}/. Chi ha proposto una corte può quindi sostituire o cancellare il file anche dopo che la corte è stata approvata e la foto è pubblica: un'immagine live può essere cambiata in qualsiasi momento. Non c'è nessuna copia immutabile né un freeze all'approvazione.

Da decidere prima di implementare

• Copiare l'oggetto su un path immutabile al momento dell'approvazione (richiede una chiamata allo Storage API, non si può fare da SQL).
• Oppure revocare UPDATE/DELETE dopo l'approvazione tramite una tabella di riferimento interrogabile dalla policy.
• Oppure accettare il rischio e documentarlo, ma allora la foto va trattata come contenuto non fidato.

Correlato

Gli oggetti orfani (upload riuscito, submit_court fallito, o proposta rifiutata) non vengono mai rimossi: serve un job di pulizia.