feat(V2-2): Supabase 인프라 — 스키마 + RLS + Edge Functions 스캐폴딩

server/supabase/ 신규 디렉토리:

config.toml — Supabase CLI 설정
  - 프로젝트 ID, DB 포트, auth providers (Google/GitHub/Apple),
    edge_runtime, functions.*.verify_jwt 설정

migrations/ (PostgreSQL DDL, 시간순):
  - 20260409000001_initial_schema.sql
    12개 테이블: profiles, teams, team_members, meetings,
    meeting_memos, meeting_documents, transcripts, history,
    dictionary, memo_tags, daily_usage, subscriptions
    + 인덱스 + FK CASCADE + transcripts Realtime publication
  - 20260409000002_rls_policies.sql
    개인 전용(history/dictionary): user_id = auth.uid()
    팀 공유(meetings 등): 본인 OR team_members 조회 subquery
    daily_usage: 읽기만, 쓰기는 service_role RPC
  - 20260409000003_auth_triggers.sql
    handle_new_user — auth.users INSERT → profiles+subscriptions 자동 생성
    moddatetime — 8개 테이블 updated_at 자동 갱신
    increment_daily_usage — service_role 전용 쿼터 RPC
  - 20260409000004_storage_buckets.sql
    audio/exports/avatars 3개 버킷 + 경로 기반 접근 정책
    (파일 경로가 {user_id}/...로 시작해야 쓰기 허용)

functions/ (Deno/TypeScript Edge Functions):
  - _shared/cors.ts — CORS 헤더 + preflight 핸들러
  - _shared/auth.ts — requireUser (JWT 검증 + User 반환)
  - _shared/quota.ts — 티어별 쿼터 체크 + consume + service role client
  - stt-proxy/index.ts — Google Cloud STT 래퍼 스캐폴딩
    placeholder 응답, 실제 API 호출 코드는 주석으로 포함
  - llm-proxy/index.ts — Anthropic Messages API 래퍼 스캐폴딩
    티어별 허용 모델 정책 (free=Haiku, pro=Sonnet, team=Opus)

설계 문서:
  - docs/v2/phase-V2-2.md — 상세 설계 (스키마/RLS/Edge Functions/Realtime)
  - docs/v2/phase-V2-2-setup.md — 사용자 액션 가이드 (Supabase 계정/
    OAuth 등록/CLI/배포/검증)

apps/desktop typecheck 통과 (server/는 Deno 런타임이라 별도).
실제 Supabase 프로젝트 배포는 사용자가 phase-V2-2-setup.md 따라 수행.

server/supabase/functions/_shared/auth.ts

@@ -0,0 +1,49 @@
+// server/supabase/functions/_shared/auth.ts
+// JWT 검증 + 인증된 유저 반환
+
+// @ts-expect-error — Deno 런타임 import (타입 보강은 deno.json 또는 skipLibCheck)
+import { createClient, type User } from 'https://esm.sh/@supabase/supabase-js@2.39.7'
+
+export interface AuthError {
+  status: number
+  message: string
+}
+
+export function authErrorResponse(error: AuthError, corsHeaders: Record<string, string>): Response {
+  return new Response(JSON.stringify({ error: error.message }), {
+    status: error.status,
+    headers: { ...corsHeaders, 'Content-Type': 'application/json' }
+  })
+}
+
+/**
+ * Authorization 헤더에서 JWT를 추출하여 유저를 검증한다.
+ * 실패 시 예외 대신 AuthError 객체를 throw.
+ */
+export async function requireUser(req: Request): Promise<User> {
+  const authHeader = req.headers.get('Authorization')
+  if (!authHeader) {
+    // eslint-disable-next-line @typescript-eslint/no-throw-literal
+    throw { status: 401, message: 'Missing Authorization header' } as AuthError
+  }
+
+  // @ts-expect-error — Deno.env는 Deno 런타임 전역
+  const supabaseUrl = Deno.env.get('SUPABASE_URL') ?? ''
+  // @ts-expect-error — Deno.env는 Deno 런타임 전역
+  const supabaseAnonKey = Deno.env.get('SUPABASE_ANON_KEY') ?? ''
+
+  const supabase = createClient(supabaseUrl, supabaseAnonKey, {
+    global: { headers: { Authorization: authHeader } }
+  })
+
+  const {
+    data: { user },
+    error
+  } = await supabase.auth.getUser()
+
+  if (error || !user) {
+    // eslint-disable-next-line @typescript-eslint/no-throw-literal
+    throw { status: 401, message: error?.message ?? 'Invalid auth token' } as AuthError
+  }
+  return user
+}