DD-011: make Google login the only way in

Remove the free player selection from /benvenuto: without a Supabase session
no screen renders, and the VITE_AUTH_OBBLIGATORIA bridge flag is gone.
Admin rights now come only from user_roles, so the hardcoded name list in
crapp-data.ts is deleted along with its tests.

Add migration m4_solo_autenticati, which revokes anon access to the v1.0
tables. Apply it only once the whole team has linked an account.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/lib/auth.ts

@@ -3,15 +3,10 @@ import type { Session } from "@supabase/supabase-js";
 import { supabase } from "@/integrations/supabase/client";
 
 /**
- * Autenticazione reale con Google (DD-011). Il login non ha ancora sostituito la
- * selezione del giocatore: finché `VITE_AUTH_OBBLIGATORIA` non è `true`, `/benvenuto`
- * offre entrambe le strade, così la produzione continua a funzionare mentre la squadra
- * collega gli account.
+ * Autenticazione reale con Google (DD-011). Il login ha sostituito la selezione del
+ * giocatore: senza sessione non si entra, e i permessi di amministrazione arrivano solo
+ * da `user_roles` (vedi `ruoli.ts`).
  */
-export function authObbligatoria(): boolean {
-  return import.meta.env["VITE_AUTH_OBBLIGATORIA"] === "true";
-}
-
 export function useSessione() {
   const [sessione, setSessione] = useState<Session | null>(null);
   const [pronta, setPronta] = useState(false);

src/lib/crapp-data.ts

@@ -169,10 +169,5 @@ export function formatData(iso: string) {
   return d.toLocaleDateString("it-IT", { weekday: "short", day: "2-digit", month: "long" });
 }
 
-/** Referenti che possono gestire eventi e sollecitare le risposte. */
-export const adminNomi = ["Ivan Cacciari", "Iacopo Ricci", "Cristina Titone"];
-
-export function isAdmin(giocatoreId: string) {
-  const g = giocatori.find((x) => x.id === giocatoreId);
-  return Boolean(g && adminNomi.includes(g.nome));
-}
+/* I permessi di amministrazione stanno in `user_roles` (DD-011), non in una lista di nomi:
+   vedi `src/lib/ruoli.ts`. */

src/lib/ruoli.ts

@@ -1,22 +1,13 @@
 import { useQuery } from "@tanstack/react-query";
 import { supabase } from "@/integrations/supabase/client";
-import { isAdmin as nomeInListaAdmin } from "./crapp-data";
 import { useSessione } from "./auth";
-import { useGiocatoreBase } from "./user-store";
 
 export const RUOLI_KEY = ["ruolo-admin"] as const;
 
 /**
- * Permessi di amministrazione. La fonte è `user_roles` nel database (DD-011): la lista di
- * nomi in `crapp-data.ts` resta solo come ponte per chi non ha ancora collegato l'account,
- * e sparisce quando `VITE_AUTH_OBBLIGATORIA` viene acceso in produzione.
- *
- * ponytail: doppia fonte temporanea, si riduce a `ruoloDb` appena l'auth è obbligatoria.
+ * Permessi di amministrazione: unica fonte è `user_roles` nel database (DD-011).
+ * Nessuna lista di nomi, altrimenti basterebbe scegliere il nome giusto per amministrare.
  */
-export function risolviAdmin(ruoloDb: boolean | null, giocatoreId: string | null): boolean {
-  if (ruoloDb !== null) return ruoloDb;
-  return giocatoreId ? nomeInListaAdmin(giocatoreId) : false;
-}
 
 /** `null` = nessuna sessione, quindi il database non ha una risposta da dare. */
 async function fetchRuoloAdmin(utenteId: string | null): Promise<boolean | null> {
@@ -33,12 +24,11 @@ async function fetchRuoloAdmin(utenteId: string | null): Promise<boolean | null>
 
 export function useIsAdmin(): boolean {
   const { utenteId } = useSessione();
-  const io = useGiocatoreBase();
   // Il ruolo cambia solo quando un admin lo assegna: una lettura per sessione basta.
   const query = useQuery({
     queryKey: [...RUOLI_KEY, utenteId],
     queryFn: () => fetchRuoloAdmin(utenteId),
     staleTime: 30 * 60_000,
   });
-  return risolviAdmin(query.data ?? null, io?.id ?? null);
+  return query.data === true;
 }