feat: add supabase jwt auth context

docs/refactor/next-development-todo.md

@@ -28,10 +28,10 @@
 ### P0 上云测试前必须补齐
 
 1. 生产鉴权
-   - 用 Supabase Auth/JWT 或服务端 session 替换迁移期 `x-tenant-id`、`x-user-id`、`x-platform-admin-key`。
-   - 校验平台管理员、租户管理员、运营、教师、销售、代理、学生的访问边界。
-   - 做一轮真实 JWT + RLS 回归测试。
-   - 已补生产配置 fail-fast 和 JSON body size limit；后续继续补正式身份上下文。
+   - 已支持 Supabase Auth JWT 和迁移期 `tk_` session 双入口；JWT 通过 `auth.users.id -> platform_users.auth_user_id -> tenant_memberships` 映射业务身份。
+   - 已覆盖学生、租户管理员、平台管理员、错租户、坏签名、禁用 legacy header 的 API 集成测试。
+   - 继续补真实云端 Auth/JWKS 回归、RLS 深测、自定义角色模板和菜单/模块/字段级权限。
+   - 前端联调时禁止继续使用 `x-user-id`；`x-tenant-id` 只作为租户上下文，不能作为身份依据。
 
 2. 对象存储
    - 已接阿里云 OSS、腾讯云 COS、Supabase Storage 的上传/下载签名 provider。