Dashboard amministratore e profilo per il tesseramento

Implementa la voce "Dashboard amministratore" della roadmap v1.1, come descritta
in docs/modules/profilo-giocatore.md, insieme alla parte di profilo che la
alimenta.

- /admin: stato dei profili della squadra, download di documento, certificato e
  foto tessera, export CSV con i 12 campi del tesseramento CSI. Un certificato
  scaduto non conta come valido.
- Profilo giocatore: dati personali, documento (fronte e retro), certificato e
  foto tessera, con widget di completamento in Home che sparisce al 100%.
- I permessi di amministrazione arrivano da user_roles (DD-011) e non più dalla
  lista di nomi in crapp-data.ts, che resta come ponte finché
  VITE_AUTH_OBBLIGATORIA non viene acceso in produzione.
- Login Google via Supabase Auth: al primo accesso l'account si collega a uno
  slot libero di giocatori_squadra, e il vincolo lo fa rispettare il trigger di
  M1 (DD-016 regola 2).

Migration additive: M2 crea profili_giocatore, M3 il bucket privato
profili-giocatore. Nessuna tabella v1.0 viene toccata, quindi si possono
applicare senza cambiare il comportamento attuale dell'app.

supabase/config.toml e seed.sql configurano lo stack locale: serve perché il
progetto Supabase è uno solo, condiviso tra sviluppo e produzione.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/lib/auth.ts

@@ -0,0 +1,61 @@
+import { useEffect, useState } from "react";
+import type { Session } from "@supabase/supabase-js";
+import { supabase } from "@/integrations/supabase/client";
+
+/**
+ * Autenticazione reale con Google (DD-011). Il login non ha ancora sostituito la
+ * selezione del giocatore: finché `VITE_AUTH_OBBLIGATORIA` non è `true`, `/benvenuto`
+ * offre entrambe le strade, così la produzione continua a funzionare mentre la squadra
+ * collega gli account.
+ */
+export function authObbligatoria(): boolean {
+  return import.meta.env["VITE_AUTH_OBBLIGATORIA"] === "true";
+}
+
+export function useSessione() {
+  const [sessione, setSessione] = useState<Session | null>(null);
+  const [pronta, setPronta] = useState(false);
+
+  useEffect(() => {
+    let attivo = true;
+    // Il client Supabase esplode alla costruzione se mancano le variabili d'ambiente:
+    // qui va assorbito, altrimenti la schermata di accesso non si disegna proprio e
+    // resta irraggiungibile anche la selezione del giocatore.
+    try {
+      supabase.auth
+        .getSession()
+        .then(({ data }) => {
+          if (!attivo) return;
+          setSessione(data.session);
+          setPronta(true);
+        })
+        .catch(() => attivo && setPronta(true));
+      const { data } = supabase.auth.onAuthStateChange((_evento, nuova) => setSessione(nuova));
+      return () => {
+        attivo = false;
+        data.subscription.unsubscribe();
+      };
+    } catch (errore) {
+      console.error("[auth] Supabase non disponibile", errore);
+      setPronta(true);
+      return () => {
+        attivo = false;
+      };
+    }
+  }, []);
+
+  return { sessione, pronta, utenteId: sessione?.user.id ?? null };
+}
+
+export async function accediConGoogle(): Promise<void> {
+  const { error } = await supabase.auth.signInWithOAuth({
+    provider: "google",
+    options: { redirectTo: window.location.origin },
+  });
+  if (error) throw error;
+}
+
+export async function esci(): Promise<void> {
+  const { error } = await supabase.auth.signOut();
+  if (error) throw error;
+}