[major] checkout 성공만 믿고 권한 부여 TL;DR: 프론트 리다이렉트는 위조 가능 — 권한의 진실은 webhook→DB여야 함 ✓ Good: 트라이얼 분기 로직 자체는 깔끔 → Fix: // webhook 핸들러에서 DB 업데이트로 권한 부여 await supabase.from('subscriptions').upsert({ user_id, status: 'active' })
