Passwort-Anmeldung: Provider, Formulare, drei Zustaende der Shell

lib/types.ts

@@ -592,6 +592,10 @@ export type Database = {
       delete_employee_dependent: { Args: { payload: Record<string, unknown> }; Returns: void };
       add_employee_note: { Args: { payload: Record<string, unknown> }; Returns: string };
       complete_employee_note: { Args: { payload: Record<string, unknown> }; Returns: void };
+      // Eigenes Passwort wechseln. Die einzige mutierende Funktion **ohne**
+      // require_hr_admin() — sonst käme niemand aus dem erzwungenen Wechsel
+      // heraus, denn solange er aussteht, ist is_hr_user() false.
+      app_passwort_aendern: { Args: { payload: Record<string, unknown> }; Returns: void };
       // Nimmt eine irrtümliche Stammdaten-/Vertragsänderung zurück. Der einzige
       // Weg an der fehlenden delete-Policy auf employee_history vorbei.
       delete_history_entry: { Args: { payload: Record<string, unknown> }; Returns: void };