fix(storage): split_part statt storage.foldername in Policies

Die Storage-API droppt/erstellt storage.foldername() bei ihren Boot-
Migrations neu. Policies, die davon abhingen, blockierten den Drop
('cannot drop function foldername') und schickten die Storage-API in
eine Crash-Loop. split_part(name,'/',1) liefert dieselbe erste
Pfad-Komponente (studio_id) ohne diese Kopplung.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

supabase/migrations/0002_storage.sql

@@ -11,44 +11,55 @@
 -- Buckets sind PRIVATE — Zugriff nur über signierte URLs (zeitlich begrenzt).
 -- ============================================================================
 
-insert into storage.buckets (id, name, public)
+-- Hinweis: KEINE `public`-Spalte angeben. Beim Postgres-Init existiert sie in
+-- storage.buckets noch nicht (die fügt die Storage-API erst beim Boot per
+-- eigener Migration hinzu). Default ist `false` → Buckets sind privat, wie
+-- gewünscht. Würden wir `public` referenzieren, bräche der Init hier ab und
+-- ALLE folgenden Migrations (inkl. ensure_profile in 0005) liefen nicht mehr.
+insert into storage.buckets (id, name)
 values
-  ('receipts', 'receipts', false),
+  ('receipts', 'receipts'),
-  ('logos',    'logos',    false)
+  ('logos',    'logos')
 on conflict (id) do nothing;
 
 -- ────────────────────────────────────────────────────────────────────────────
 -- RLS-Policies auf storage.objects
 -- ────────────────────────────────────────────────────────────────────────────
 -- Prinzip: erste Pfad-Komponente ist studio_id; Zugriff nur wenn Member.
--- `(storage.foldername(name))[1]` gibt die erste Pfad-Komponente zurück.
+-- `split_part(name, '/', 1)` gibt die erste Pfad-Komponente zurück.
+--
+-- Bewusst NICHT storage.foldername() benutzen: die Storage-API droppt/erstellt
+-- diese Funktion bei ihren eigenen Boot-Migrations neu. Eine Policy-Abhängigkeit
+-- darauf würde diesen Drop blockieren ("cannot drop function foldername") und
+-- die Storage-API in eine Crash-Loop schicken. split_part ist ein eingebautes
+-- Postgres-Builtin ohne diese Kopplung.
 
 create policy "rapport_storage_read"
   on storage.objects for select
   using (
     bucket_id in ('receipts','logos')
-    and is_studio_member( (storage.foldername(name))[1]::uuid )
+    and is_studio_member( split_part(name, '/', 1)::uuid )
   );
 
 create policy "rapport_storage_insert"
   on storage.objects for insert
   with check (
     bucket_id in ('receipts','logos')
-    and is_studio_member( (storage.foldername(name))[1]::uuid )
+    and is_studio_member( split_part(name, '/', 1)::uuid )
   );
 
 create policy "rapport_storage_update"
   on storage.objects for update
   using (
     bucket_id in ('receipts','logos')
-    and is_studio_member( (storage.foldername(name))[1]::uuid )
+    and is_studio_member( split_part(name, '/', 1)::uuid )
   );
 
 create policy "rapport_storage_delete"
   on storage.objects for delete
   using (
     bucket_id in ('receipts','logos')
-    and is_studio_member( (storage.foldername(name))[1]::uuid )
+    and is_studio_member( split_part(name, '/', 1)::uuid )
   );
 
 -- ────────────────────────────────────────────────────────────────────────────