Ajoute la V1 fonctionnelle : upload invité, galerie admin, QR code, backend Supabase

Schéma dédié `photobooth` (jamais exposé via PostgREST, accès exclusivement
via fonctions SECURITY DEFINER dans public) avec RLS, policies Storage sur
bucket privé event-photos, Edge Functions admin-gallery et expire-events,
et job pg_cron d'expiration J+7. Le tout déployé et testé en conditions
réelles sur le projet Supabase kevin-lecou-hub avant relecture sécurité
(faille d'abus sur insert_public_photo corrigée en cours de route).

Côté front : page upload invité (compression + HEIC + RGPD), galerie admin
avec export ZIP, générateur de QR code autonome. Workflow n8n de purge
Storage J+7 fourni (à activer manuellement côté n8n).

supabase/functions/_shared/cors.ts

@@ -0,0 +1,40 @@
+// Helpers CORS partagés entre les Edge Functions du projet photobooth-qr.
+//
+// `admin-gallery` est appelée directement depuis le navigateur (page galerie
+// admin, cf. contrat fixé par le chef de projet) : elle a donc besoin de
+// CORS. `expire-events` est appelée uniquement en serveur-à-serveur
+// (cron/n8n), elle n'en a pas besoin mais ça ne coûte rien de partager le
+// helper.
+//
+// APP_BASE_URL doit être configurée comme secret de l'Edge Function
+// (`supabase secrets set APP_BASE_URL=...`), avec la même valeur que
+// .env.example côté front : c'est l'unique origine autorisée à appeler ces
+// fonctions en cross-origin. Volontairement PAS de fallback vers "*" : une
+// route qui peut renvoyer des données nominatives (nom_invite, message) ne
+// doit pas être appelable depuis n'importe quelle origine.
+const APP_BASE_URL = Deno.env.get("APP_BASE_URL");
+
+if (!APP_BASE_URL) {
+  console.warn(
+    "[_shared/cors] APP_BASE_URL n'est pas configurée : Access-Control-Allow-Origin sera 'null' " +
+      "(aucune origine navigateur ne pourra appeler cette fonction en cross-origin)."
+  );
+}
+
+export function corsHeaders(): HeadersInit {
+  return {
+    "Access-Control-Allow-Origin": APP_BASE_URL ?? "null",
+    "Access-Control-Allow-Headers":
+      "authorization, x-client-info, apikey, content-type",
+    "Access-Control-Allow-Methods": "GET, POST, OPTIONS",
+    Vary: "Origin",
+  };
+}
+
+/** Renvoie une réponse pour une requête OPTIONS (preflight), sinon null. */
+export function handleCorsPreflight(req: Request): Response | null {
+  if (req.method === "OPTIONS") {
+    return new Response("ok", { headers: corsHeaders() });
+  }
+  return null;
+}