v1.5: Selbst gehostete Auth (Passwort + Passkeys), Postgres statt Supabase

Fundament: db/migrations/0001_init.sql (users/sessions/passkey_credentials/
webauthn_challenges + Inhaltstabellen ohne RLS), db/migrate.mjs
(idempotenter Migrationsrunner), lib/db (pg-Pool + query-Wrapper),
lib/auth/password.ts (Node-crypto.scrypt, keine neue Abhängigkeit),
lib/auth/session.ts (opake DB-Session-Tokens, Sliding-Refresh in proxy.ts).

Passkeys: @simplewebauthn/server + /browser ersetzen Supabase's
experimentelles WebAuthn-API (dafür gab es bisher kein eigenes
Credential-Schema); RP-Konfiguration kommt jetzt direkt aus APP_URL statt
über scripts/configure-passkeys.mjs und die Supabase-Management-API.

scripts/bootstrap-admin.mjs legt bei leerer users-Tabelle automatisch
einen Admin mit zufälligem Passwort an und hängt die Zugangsdaten an
ZUGANGSDATEN.md an (idempotent, via predev/prestart-Hooks aufgerufen).

Bugfix im Zuge des Umbaus: "mind. 1 Passkey nötig, um Passwort-Login zu
deaktivieren" wurde bisher nur clientseitig geprüft – jetzt zusätzlich
serverseitig in PATCH /api/account.

E-Mail-Änderung im eigenen Konto läuft jetzt direkt nach
Passwort-Bestätigung statt über eine Supabase-Bestätigungsmail (kein
SMTP-Server vorhanden).

Rest der Anwendung (Gerichte/Essenszeiten/Kennzeichnung/Vorschläge/
Benutzerverwaltung/Branding) nutzt noch den alten Supabase-Client –
folgt in weiteren Commits.

components/PasskeyManager.tsx

@@ -1,19 +1,18 @@
 "use client";
 
-import { useCallback, useEffect, useMemo, useState } from "react";
-import { createClient } from "@/lib/supabase/client";
+import { useCallback, useEffect, useState } from "react";
+import { startRegistration } from "@simplewebauthn/browser";
 import { formatMessage } from "@/lib/i18n/shared";
 import { useDict } from "@/components/i18n/LocaleProvider";
 
 interface PasskeyItem {
   id: string;
-  friendly_name?: string;
+  name: string | null;
   created_at: string;
-  last_used_at?: string;
+  last_used_at: string | null;
 }
 
 export default function PasskeyManager() {
-  const supabase = useMemo(() => createClient(), []);
   const dict = useDict();
   const [passkeys, setPasskeys] = useState<PasskeyItem[]>([]);
   const [error, setError] = useState<string | null>(null);
@@ -21,11 +20,13 @@ export default function PasskeyManager() {
   const [busy, setBusy] = useState(false);
 
   const load = useCallback(async () => {
-    const { data, error } = await supabase.auth.passkey.list();
-    if (error)
-      setError(formatMessage(dict.passkeys.loadError, { message: error.message }));
-    else setPasskeys((data ?? []) as PasskeyItem[]);
-  }, [supabase, dict]);
+    const res = await fetch("/api/auth/passkeys");
+    if (!res.ok) {
+      setError(formatMessage(dict.passkeys.loadError, { message: String(res.status) }));
+      return;
+    }
+    setPasskeys(await res.json());
+  }, [dict]);
 
   useEffect(() => {
     load();
@@ -36,13 +37,22 @@ export default function PasskeyManager() {
     setInfo(null);
     setBusy(true);
     try {
-      const { error } = await supabase.auth.registerPasskey();
-      if (error) {
-        setError(formatMessage(dict.passkeys.registerError, { message: error.message }));
-      } else {
-        setInfo(dict.passkeys.registered);
-        await load();
+      const optionsRes = await fetch("/api/auth/passkeys/register-options", { method: "POST" });
+      if (!optionsRes.ok) throw new Error(String(optionsRes.status));
+      const options = await optionsRes.json();
+      const response = await startRegistration({ optionsJSON: options });
+
+      const verifyRes = await fetch("/api/auth/passkeys/register-verify", {
+        method: "POST",
+        headers: { "Content-Type": "application/json" },
+        body: JSON.stringify({ response }),
+      });
+      if (!verifyRes.ok) {
+        const data = await verifyRes.json().catch(() => ({}));
+        throw new Error(data.error ?? String(verifyRes.status));
       }
+      setInfo(dict.passkeys.registered);
+      await load();
     } catch (err) {
       setError(
         /NotAllowedError|abort/i.test(String(err))
@@ -57,9 +67,9 @@ export default function PasskeyManager() {
 
   async function remove(pk: PasskeyItem) {
     if (!window.confirm(dict.passkeys.confirmDelete)) return;
-    const { error } = await supabase.auth.passkey.delete({ passkeyId: pk.id });
-    if (error)
-      setError(formatMessage(dict.passkeys.deleteError, { message: error.message }));
+    const res = await fetch(`/api/auth/passkeys/${pk.id}`, { method: "DELETE" });
+    if (!res.ok)
+      setError(formatMessage(dict.passkeys.deleteError, { message: String(res.status) }));
     await load();
   }
 
@@ -88,9 +98,7 @@ export default function PasskeyManager() {
         {passkeys.map((pk) => (
           <li key={pk.id} className="flex items-center gap-3 py-1.5 text-sm">
             <span className="mr-auto">
-              <span className="font-semibold">
-                {pk.friendly_name || "Passkey"}
-              </span>{" "}
+              <span className="font-semibold">{pk.name || "Passkey"}</span>{" "}
               <span className="text-gray-500">
                 {formatMessage(dict.passkeys.createdOn, {
                   date: new Date(pk.created_at).toLocaleDateString(dict.dateLocale),