-- =============================================================================
-- P0: aplicar_tasa_automatica solo la puede llamar el cron (service_role), NO anon.
-- Antes cualquier anonimo podia cambiar la tasa global de TODOS los negocios
-- (POST /rest/v1/rpc/aplicar_tasa_automatica {p_tasa: 0.01}). La EF actualizar-tasa
-- la llama con service_role, asi que basta cerrar el EXECUTE a anon/authenticated.
-- No se toca el cuerpo (sin riesgo de concurrencia con la otra sesion).
-- =============================================================================

revoke execute on function public.aplicar_tasa_automatica(numeric, text) from public, anon, authenticated;
grant  execute on function public.aplicar_tasa_automatica(numeric, text) to service_role;