Durcit la sécurité : plafond de score réaliste, REVOKE explicites, banque de questions du Char réservée aux juges

Un score falsifié envoyé directement à submit_icarus_score/submit_melon_score pouvait se convertir en vraies gloires au Tribunal (plafond abaissé de 1 000 000 à 5000, contrainte + RPC). Les fonctions cron-only award_*_points_if_due() n'étaient protégées que par un commentaire, pas un vrai REVOKE. Le bucket avatars n'avait aucune limite de taille/type. La banque complète des questions du Char (spoiler du jeu) était lisible par tout Citoyen via /char ou un appel direct — RLS restreinte aux juges, /char passe désormais par la RPC chariot_revealed_question().

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

src/lib/icarus/constants.ts

@@ -77,4 +77,7 @@ export const BOOST_DASH_DISTANCE = 22;
 export const SHATTER_ANIM_MS = 450;
 
 export const MIN_SCORE = 0;
-export const MAX_SCORE = 1000000;
+// Doit rester aligné avec la contrainte icarus_scores_best_score_check
+// (supabase/schema.sql) — celle-ci est la vraie garantie, cette constante
+// n'est qu'une valeur de référence côté client.
+export const MAX_SCORE = 5000;