chore: le migration 010-014 non sono mai girate fuori dal locale #53

Phase 1 è mergiata su master, ma il database di staging/produzione non ha visto nessuna delle cinque migration.

Da fare, in ordine

1. 010_court_submissions → crea colonne, tabella di audit, policy RLS, bucket court-photos con le sue policy, RPC. È la più rischiosa: cambia la policy SELECT su courts e revoca i grant DML blanket della 005.
2. 011_court_photo_path (rename), 012_moderation_hardening, 013_open_lobbies, 014_court_photo_freeze.
3. Verifica post-migrazione sui dati reali: la policy su courts non deve nascondere righe legittime (in locale il backfill ha toccato solo righe esistenti, ma i dati di produzione potrebbero avere sport NULL in quantità diverse).
4. Bucket: controllare che storage.buckets in produzione abbia public=true, 5 MB e i mime types, perché in locale è creato dalla migration ma i progetti ospitati possono avere limiti diversi.
5. Far girare npm run test:rls contro un database di staging, non solo locale.

Attenzione

005_grants_fix concedeva DML su tutte le tabelle ad authenticated; la 010 revoca solo su courts/court_submissions. Su un database reale vale la pena controllare che non ci siano altre tabelle scritte dal client che dovrebbero essere chiuse.