-- ============================================================================
-- Contract-Migration (Option C) — ungenutzte Auth-Spalten von `users` entfernen
-- ============================================================================
-- Abschluss des Expand/Contract-Umbaus: Passwort/MFA/Kill-Switch/Lockout leben seit
-- WS1–WS4b ausschließlich an der GLOBALEN `Identity`. Die per-Mandant-Zeile `users`
-- ist reine Mitgliedschaft — ihre früheren (Legacy-)Auth-Spalten werden hier entfernt.
-- Nach WS1–WS4b referenziert kein Code diese Spalten mehr (durch tsc verifiziert).
-- DROP COLUMN läuft auch auf gefüllten Tabellen (kein Reset nötig).
-- ============================================================================

ALTER TABLE "users" DROP COLUMN "failed_logins",
DROP COLUMN "is_platform_admin",
DROP COLUMN "last_totp_step",
DROP COLUMN "locked_until",
DROP COLUMN "mfa_enrolled_at",
DROP COLUMN "mfa_secret",
DROP COLUMN "must_change_password",
DROP COLUMN "password_hash",
DROP COLUMN "recovery_codes",
DROP COLUMN "sessions_valid_after";