RLS-Policy vertraut auf vom Nutzer setzbare Metadaten

Supabase speichert zu jedem Konto zwei Arten von Metadaten: `app_metadata` setzt nur der Server, `user_metadata` setzt der Nutzer selbst — mit einer Zeile im Browser, `supabase.auth.updateUser({ data: { role: 'admin' } })`. Eine Policy, die auf `auth.jwt() -> 'user_metadata' ->> 'role'` prüft, fragt also den Nutzer, ob er Admin ist.

Der Fehler entsteht fast immer beim Bau eines Admin-Bereichs: Die Rolle wird beim Registrieren in die Metadaten geschrieben, weil das ohne eigene Tabelle geht, und die Policy liest sie von dort. Im Test funktioniert alles, weil sich niemand selbst befördert.

Fix: Rollen in einer eigenen Tabelle führen (bei Lovable `user_roles` mit `has_role()`), deren Schreibrechte nur Admins haben, oder serverseitig in `app_metadata`. Danach jede Policy prüfen, die `user_metadata` oder `raw_user_meta_data` liest.