Quitar a los roles de la API los permisos de escritura que no usan

La migración 20261007000000_permisos_explicitos.sql copió tal cual los permisos que Supabase daba por defecto: anon y authenticated conservan insert, update y delete sobre tablas como auditoria, avales, intentos_aval, verificadas, moderadoras o xp_libro. Hoy no pasa nada porque RLS lo bloquea todo (comprobado en producción el 7-oct-2026), pero RLS es la única barrera. Si alguien desactiva RLS en una tabla desde el panel, por error o con una cuenta robada, esa tabla queda abierta a cualquiera con la clave pública.

1. Para cada tabla, listar qué operaciones usa de verdad cada rol: políticas RLS existentes, llamadas desde src/, y funciones security invoker que escriben con el rol de quien llama.
2. Migración nueva que revoque lo que sobra (por ejemplo, revoke insert, update, delete on auditoria, avales, intentos_aval from anon, authenticated). Las funciones security definer siguen escribiendo.
3. Ampliar tests/db/permisos.test.ts: con RLS desactivado a propósito en la base de prueba, anon sigue sin poder escribir en las tablas sensibles.
4. Aplicar en producción con npm run db:aplicar y pasar npm run instancia:comprobar.