-- F-17: TOTP-Replay-Schutz — zuletzt akzeptierter RFC-6238-Zeitschritt je Identität.
-- Ein bereits verwendeter (oder älterer) Zeitschritt wird beim Login/2FA abgelehnt.
--
-- Nur EIGENE DDL (die geteilte lokale DB kann Änderungen paralleler Branches
-- enthalten; fremde Blöcke wurden bewusst NICHT übernommen). "users" hat bereits
-- eine aktive RLS-Policy (tenant_isolation, Migration 20260702095816); das reine
-- Hinzufügen einer Spalte erfordert keinen neuen RLS-DO-Block. "platform_admins"
-- ist plattformweit (kein tenant_id/RLS).

-- AlterTable
ALTER TABLE "platform_admins" ADD COLUMN     "last_totp_step" BIGINT;

-- AlterTable
ALTER TABLE "users" ADD COLUMN     "last_totp_step" BIGINT;