Branche la galerie invité au vrai backend (Edge Function public-gallery)

Nouvelle Edge Function publique (aucun token requis — même modèle de
confiance que l'upload, le slug n'est pas un secret) qui résout un slug
via get_public_event puis renvoie les photos de get_event_photos avec
des URLs signées. Déployée et testée en conditions réelles sur
kevin-lecou-hub (slug inconnu -> 404, event sans photo -> 200 vide,
event avec photo -> signed_url fonctionnelle), CORS vérifié.

Front (src/galerie/) : remplace les données factices par un vrai fetch +
sondage (polling 25s, pas de Supabase Realtime — le schéma photobooth
reste volontairement jamais exposé, l'activer aurait demandé de rouvrir
ce verrou RLS). Rotation des cartes figée par photo (pas de "tremblement"
au rafraîchissement), seules les nouvelles photos jouent l'animation de
chute. États chargement/erreur/vide ajoutés (absents de la maquette).
Testé en réel : une photo uploadée apparaît bien sur le mur.

Suppression des données de maquette (gallery-mock.js, mock-photos/).

src/galerie/config.example.js

@@ -0,0 +1,10 @@
+// Copier ce fichier en config.js (non commité, voir .gitignore) et renseigner
+// les vraies valeurs Supabase avant déploiement. Ce fichier est chargé avant
+// gallery.js dans index.html.
+//
+// SUPABASE_ANON_KEY est la clé PUBLIQUE (anon) Supabase — jamais la
+// service_role key, qui ne doit jamais être exposée côté client.
+window.__PHOTOBOOTH_CONFIG__ = {
+  SUPABASE_URL: "https://xxxxxxxxxxxx.supabase.co",
+  SUPABASE_ANON_KEY: "REMPLACER_PAR_LA_CLE_ANON_PUBLIQUE",
+};