-- Bestandssiegel fuer den nicht signierbaren Altbestand (Pentest R171-02).
--
-- Bei Hash-Version 1 sind nur 7 von 24 Spalten gehasht. Ein Schreibzugriff auf
-- die Datenbank kann dort Felder wie `success` oder `resourceLabel` aendern,
-- ohne den gespeicherten Hash zu beruehren - die Pruefung meldet weiterhin
-- "gueltig". Live gezeigt: ein fehlgeschlagener Login liess sich unsichtbar in
-- einen erfolgreichen umschreiben.
--
-- Rueckwirkend signieren geht nicht. Stattdessen wird der Altbestand einmalig
-- versiegelt: je Zeile ein Blattwert ueber den vollen Inhalt, die Wurzel
-- darueber in einem HMAC-signierten Marker.
CREATE TABLE IF NOT EXISTS `AuditBacklogSeal` (
  `auditLogId` INT NOT NULL,
  `leafHash`   VARCHAR(191) NOT NULL,
  PRIMARY KEY (`auditLogId`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;