Aggiunge infrastruttura PocketBase locale (Docker, schema, hook)

Introduce PocketBase come sostituto di Supabase solo per l'ambiente di
sviluppo locale (docs/PORTABILITA.md): docker-compose.pocketbase.yml,
schema iniziale in pocketbase/pb_migrations/ (collection equivalenti alle
tabelle Supabase, con le stesse API rule dove esprimibili) e la logica
procedurale che in Postgres viveva in trigger/funzioni riscritta come
hook JS in pocketbase/pb_hooks/ (claim slot giocatore, blocco autovoto,
convocati/pagelle chiuse, immutabilità di risposto_il).

Il superuser e il provider Google OAuth2 si ricreano da soli a ogni
avvio da variabili d'ambiente (script scripts/pocketbase-reset.sh),
così un reset non richiede passaggi manuali da dashboard.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

pocketbase/pb_hooks/giocatori_squadra_claim.pb.js

@@ -0,0 +1,49 @@
+/// <reference path="../pb_data/types.d.ts" />
+//
+// Equivalente del trigger enforce_giocatori_squadra_update (M1/M5/M8, DD-016/DD-018):
+// un non-admin può aggiornare uno slot di giocatori_squadra solo per reclamarlo (slot
+// libero, email dell'account uguale a quella registrata sulla riga), senza cambiare nessun
+// altro campo. La updateRule della collection apre la porta solo quando auth_user_id è
+// vuoto o l'utente è admin; qui si valida il resto.
+
+onRecordUpdateRequest((e) => {
+  // Superuser (pbAdmin lato server, dashboard, script di migrazione dati) e admin
+  // applicativi (role="admin" sulla collection users) bypassano il vincolo di claim.
+  const isAdmin = e.hasSuperuserAuth() || (e.auth && e.auth.get("role") === "admin");
+  if (isAdmin) {
+    e.next();
+    return;
+  }
+
+  const originale = e.app.findRecordById("giocatori_squadra", e.record.id);
+
+  const campiBloccati = [
+    "nome",
+    "cognome",
+    "numero",
+    "ruolo",
+    "attivo",
+    "email",
+    "numero_tessera",
+    "data_tessera",
+  ];
+  for (const campo of campiBloccati) {
+    if (String(e.record.get(campo)) !== String(originale.get(campo))) {
+      throw new BadRequestError("Aggiornamento non autorizzato su giocatori_squadra");
+    }
+  }
+
+  const utenteId = e.auth ? e.auth.id : "";
+  const emailAccount = (e.auth ? e.auth.get("email") || "" : "").toLowerCase();
+  const emailSlot = (originale.get("email") || "").toLowerCase();
+
+  const slotLibero = !originale.get("auth_user_id");
+  const claimSuAccountCorrente = e.record.get("auth_user_id") === utenteId;
+  const emailCombacia = emailSlot !== "" && emailSlot === emailAccount;
+
+  if (!slotLibero || !claimSuAccountCorrente || !emailCombacia) {
+    throw new BadRequestError("Aggiornamento non autorizzato su giocatori_squadra");
+  }
+
+  e.next();
+}, "giocatori_squadra");