feat(submit): submit v3 con validación de integridad server-side [4G]

RPC transaccional SECURITY DEFINER (rpc_submit_response) como único camino
de escritura. Dropea las policies WITH CHECK(true): cierra la falla donde
anon podía insertar cualquier cosa. Validación server-side (7 checks)
reusando el motor. Persistencia atómica con instance_id por instancia.
Verificado contra Postgres real: instancias separadas, atomicidad, RLS.
Riesgo residual de bypass por REST documentado (SEC-004).

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

lib/form-engine.ts

@@ -176,7 +176,8 @@ export function setAnswer(
   }
 }
 
-function isAnswerEmpty(v: AnswerValue | undefined): boolean {
+/** Exportada porque también la usa el validador de submit server-side (4G). */
+export function isAnswerEmpty(v: AnswerValue | undefined): boolean {
   return v === null || v === undefined || v === '' || (Array.isArray(v) && v.length === 0)
 }