Créer un SaaS B2B souverain avec Lampion

# Installer le CLI et poser le jeton
$ pip install lampion-cli
$ export LAMPION_TOKEN=lmp_live_xxxxxxxxxxxxxxxx

# Créer le projet dans la région de Paris
$ lampion projects create saas-demo --region fr-par-1
✓ prj_a1b2c3d4  saas-demo  fr-par-1  ep-4f9c21ab8d3e
  postgresql://cloud_admin:••••@db.lampion.cloud:5432/ep-4f9c21ab8d3e.postgres?sslmode=require

# Cette chaîne est celle du propriétaire : elle sert aux migrations
$ export ADMIN_DATABASE_URL="postgresql://cloud_admin:••••@db.lampion.cloud:5432/ep-4f9c21ab8d3e.postgres?sslmode=require"

# Vérifier la version et la localisation
$ psql "$ADMIN_DATABASE_URL" -c "SELECT version()"
  PostgreSQL 17.4 on x86_64-pc-linux-gnu
$ lampion residency prj_a1b2c3d4
  region fr-par-1 · Paris, France

-- Toute table portant des données client a un tenant_id.
CREATE TABLE tenants (
  id         uuid PRIMARY KEY DEFAULT gen_random_uuid(),
  slug       text UNIQUE NOT NULL,
  created_at timestamptz NOT NULL DEFAULT now()
);

CREATE TABLE orders (
  id         uuid PRIMARY KEY DEFAULT gen_random_uuid(),
  tenant_id  uuid NOT NULL REFERENCES tenants(id) ON DELETE CASCADE,
  amount_cts integer NOT NULL CHECK (amount_cts >= 0),
  created_at timestamptz NOT NULL DEFAULT now()
);

CREATE INDEX orders_tenant_created_idx
  ON orders (tenant_id, created_at DESC);

-- Le moteur filtre, plus seulement le code applicatif.
ALTER TABLE orders ENABLE ROW LEVEL SECURITY;
-- FORCE : la policy s'applique aussi au propriétaire de la table.
ALTER TABLE orders FORCE ROW LEVEL SECURITY;

CREATE POLICY tenant_isolation ON orders
  USING      (tenant_id = NULLIF(current_setting('app.tenant_id', true), '')::uuid)
  WITH CHECK (tenant_id = NULLIF(current_setting('app.tenant_id', true), '')::uuid);

-- Le rôle applicatif n'est jamais le propriétaire.
GRANT SELECT, INSERT, UPDATE, DELETE ON orders TO app_user;
GRANT SELECT ON tenants TO app_user;