v1.5: Selbst gehostete Auth (Passwort + Passkeys), Postgres statt Supabase

Fundament: db/migrations/0001_init.sql (users/sessions/passkey_credentials/
webauthn_challenges + Inhaltstabellen ohne RLS), db/migrate.mjs
(idempotenter Migrationsrunner), lib/db (pg-Pool + query-Wrapper),
lib/auth/password.ts (Node-crypto.scrypt, keine neue Abhängigkeit),
lib/auth/session.ts (opake DB-Session-Tokens, Sliding-Refresh in proxy.ts).

Passkeys: @simplewebauthn/server + /browser ersetzen Supabase's
experimentelles WebAuthn-API (dafür gab es bisher kein eigenes
Credential-Schema); RP-Konfiguration kommt jetzt direkt aus APP_URL statt
über scripts/configure-passkeys.mjs und die Supabase-Management-API.

scripts/bootstrap-admin.mjs legt bei leerer users-Tabelle automatisch
einen Admin mit zufälligem Passwort an und hängt die Zugangsdaten an
ZUGANGSDATEN.md an (idempotent, via predev/prestart-Hooks aufgerufen).

Bugfix im Zuge des Umbaus: "mind. 1 Passkey nötig, um Passwort-Login zu
deaktivieren" wurde bisher nur clientseitig geprüft – jetzt zusätzlich
serverseitig in PATCH /api/account.

E-Mail-Änderung im eigenen Konto läuft jetzt direkt nach
Passwort-Bestätigung statt über eine Supabase-Bestätigungsmail (kein
SMTP-Server vorhanden).

Rest der Anwendung (Gerichte/Essenszeiten/Kennzeichnung/Vorschläge/
Benutzerverwaltung/Branding) nutzt noch den alten Supabase-Client –
folgt in weiteren Commits.

lib/auth/webauthn-challenges.ts

@@ -0,0 +1,34 @@
+import "server-only";
+import { query, queryOne } from "@/lib/db";
+
+const CHALLENGE_TTL_MS = 5 * 60 * 1000;
+
+export type ChallengeType = "registration" | "authentication";
+
+export async function storeChallenge(
+  challenge: string,
+  type: ChallengeType,
+  userId: string | null
+): Promise<void> {
+  // Kein Cron nötig: abgelaufene Zeilen bei jeder neuen Challenge
+  // gleich mit aufräumen.
+  await query("delete from webauthn_challenges where expires_at < now()");
+  await query(
+    "insert into webauthn_challenges (user_id, challenge, type, expires_at) values ($1, $2, $3, $4)",
+    [userId, challenge, type, new Date(Date.now() + CHALLENGE_TTL_MS)]
+  );
+}
+
+/** Einmalig verwendbar: die Zeile wird beim Abruf sofort gelöscht. */
+export async function consumeChallenge(
+  challenge: string,
+  type: ChallengeType
+): Promise<{ userId: string | null } | null> {
+  const row = await queryOne<{ user_id: string | null }>(
+    `delete from webauthn_challenges
+     where challenge = $1 and type = $2 and expires_at > now()
+     returning user_id`,
+    [challenge, type]
+  );
+  return row ? { userId: row.user_id } : null;
+}