Postgres rol ayrımı (RLS'in üretimde etkin olması)

docker compose --env-file .env.prod -f infra/compose/docker-compose.prod.yml exec -T postgres psql -U pushizo -d pushizo -v ON_ERROR_STOP=1 \
  -v su_password="$POSTGRES_SUPERUSER_PASSWORD" -v exporter_password="$POSTGRES_EXPORTER_PASSWORD" <<'SQL'
create role postgres login superuser password :'su_password';
create extension if not exists pg_stat_statements;
create role pushizo_exporter login nosuperuser nobypassrls password :'exporter_password';
grant pg_monitor to pushizo_exporter;
grant connect on database pushizo to pushizo_exporter;
grant usage on schema public to pushizo_exporter;
grant select on all tables in schema public to pushizo_exporter;
alter default privileges for role pushizo in schema public grant select on tables to pushizo_exporter;
alter role pushizo_exporter set app.rls_bypass = 'on';
SQL
# Süper kullanıcı yetkisi yeni `postgres` rolüyle alınır:
docker compose --env-file .env.prod -f infra/compose/docker-compose.prod.yml exec -T postgres psql -U postgres -d pushizo \
  -c "alter role pushizo nosuperuser nobypassrls nocreatedb nocreaterole"
```text

Ardından yeni compose dosyasıyla `deploy.sh prod` (postgres-exporter yeni rolle başlar).

## Doğrulama

```bash
docker compose --env-file .env.prod -f infra/compose/docker-compose.prod.yml exec -T postgres psql -U postgres -d pushizo -tAc \
  "select rolname, rolsuper, rolbypassrls from pg_roles where rolname like 'pushizo%'"
```text

Beklenen: `pushizo|f|f` ve `pushizo_exporter|f|f`. Tablo düzeyinde `select relname from pg_class where relkind in ('r','p') and relrowsecurity and not relforcerowsecurity` boş dönmelidir.

## Kubernetes / yönetilen Postgres

Helm chart veritabanını içermez (`DATABASE_URL` gizli değeri). Yönetilen hizmetlerde de uygulama kullanıcısı **süper kullanıcı veya `BYPASSRLS` olmamalı** (ör. RDS'te `rds_superuser` üyeliği verilmez); veritabanı ve `public` şema sahibi uygulama kullanıcısıdır. Exporter için yukarıdaki `pushizo_exporter` tanımı aynen uygulanır.