Ejercitar las rutas autenticadas antes de publicar con un doble en la frontera del resolvedor: hoy nada autenticado se prueba porque la compuerta exige una identidad de Google real

GO de pmmaster-evolutiva-cc el 2026-09-11 en nombre de Elazar. Esta fila NO CIERRA NINGUNA OTRA, y esa separacion es la mitad del motivo por el que existe. EL HECHO QUE LA ORIGINA, leido en el codigo y no recordado: terra gatea sobre la IDENTIDAD DE GOOGLE, no sobre una sesion de Supabase cualquiera. src/lib/auth.ts:193, en el resolvedor de sesion cacheado por request que llama toda pagina autenticada: `if (!isGenuineGoogleSession(user).ok) return null;`. Y src/lib/google-identity.ts:38-53: `ok` exige que user.identities[] contenga una entrada con provider === "google" Y un sub no vacio. Una sesion de contraseña o magic-link no tiene ninguna de las dos, asi que el resolvedor devuelve null y toda compuerta rechaza antes de consultar un solo rol. Es deliberado y falla cerrado: auth/callback cierra la sesion en ese camino y la manda a una pagina de rechazo. CONSECUENCIA: sembrar un usuario de Supabase no ejercita NADA autenticado. La idea de que db-enamel-cc minteara una sesion y con eso se movieran cinco filas no funciona, y esta fila es lo que si se puede hacer sin un login real. QUE SE CONSTRUYE: un doble de prueba en la FRONTERA DEL RESOLVEDOR que permita ejercitar las rutas autenticadas antes de publicar. TRES CONDICIONES VINCULANTES, ninguna negociable: 1. ESTRUCTURALMENTE IMPOSIBLE EN PRODUCCION. No un flag, no un chequeo de entorno adentro de la funcion: un camino que NO EXISTE en el build de produccion. Un bypass que existe en produccion es una regresion de seguridad, no una herramienta de prueba. La diferencia importa porque un flag mal puesto es un incidente y un camino ausente no puede estarlo. 2. FALLA RUIDOSA. Si el doble esta ausente, mal configurado, o la ruta no llego a renderizar, el chequeo FALLA. Un chequeo previo a publicar que da verde habiendo ejercitado nada es exactamente el defecto que encontramos hoy en TERRA-197 (una compuerta que se evidencia por lo que FALTA no se evidencia en absoluto) y en el propio TERRA-218 (una superficie desplegada desde la 0.31.50 que nunca funciono porque nunca se ejercito). 3. SU VEREDICTO ES UNA DECLARACION DE COBERTURA, escrita en esas palabras: "rutas ejercitadas, login no". Va en la fila para que nadie lea cobertura de rutas como cobertura de login dentro de seis meses. POR QUE NO SE FUSIONA CON 59/208/6/111/207: la oracion de esta fila es "las rutas autenticadas nunca se ejercitan antes de publicar". La de aquellas es "esta funcionalidad nunca fue ejercitada por una persona real". Son oraciones distintas, y fusionarlas dejaria cerrar cinco filas mientras la condicion que describen sigue siendo cierta. LO QUE SIGUE FALTANDO PARA ESAS CINCO, ahora mucho mas chico que "que Elazar entre": una cuenta de Gmail descartable, consentida una vez, vinculada a una fila de usuario sembrada. Despues de eso las cinco se ejercitan. TERRA-137 (consentimiento 400) y TERRA-22 (la sesion muere a la hora) son de navegador real y NO se pliegan aca.