Merge branch 'feature/rbac-04-modul-scoped-berechtigungen' into feature/qa-03-pruefgate-rechte-policy

migrations/0004_feature_flags.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS feature_flags;

migrations/0004_feature_flags.up.sql

@@ -0,0 +1,10 @@
+-- Feature-Flags zentral je Mandant/Zielgruppe (LIC-02, siehe core-kanban/tickets/LIC-02.md).
+-- Lebt in der Registry-DB, nicht pro Tenant-Datenbank — Flags sind eine
+-- Core-weite Konfiguration, keine Mandanten-Geschaeftsdaten.
+CREATE TABLE feature_flags (
+    key                 TEXT PRIMARY KEY,
+    enabled             BOOLEAN NOT NULL DEFAULT false,
+    rollout_percentage  INT NOT NULL DEFAULT 0 CHECK (rollout_percentage BETWEEN 0 AND 100),
+    target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+    updated_at          TIMESTAMPTZ NOT NULL DEFAULT now()
+);

migrations/0005_policy_module_scopes.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS policy_module_scopes;

migrations/0005_policy_module_scopes.up.sql

@@ -0,0 +1,11 @@
+-- Modul-Scoping fuer Policy-Regeln (RBAC-04, siehe core-kanban/tickets/RBAC-04.md).
+-- Existiert fuer eine (role, permission)-Regel ein Eintrag hier, gilt sie
+-- NUR, wenn zusaetzlich das verknuepfte Feature-Flag (LIC-02) fuer den
+-- Tenant aktiv ist — Rechte folgen der Lizenz, nicht umgekehrt.
+CREATE TABLE policy_module_scopes (
+    role       TEXT NOT NULL,
+    permission TEXT NOT NULL,
+    module     TEXT NOT NULL,
+    flag_key   TEXT NOT NULL,
+    PRIMARY KEY (role, permission)
+);