MG-1: Firebase com emuladores rodando local, sem custo

bolao-firebase/ com firebase-tools 15.26.0 pinado como devDependency — global
não é reprodutível para quem clona. Firestore, Auth e Functions em emulador,
portas fixas, e 4 testes de security rule provando que as rules começam
fechadas.

Duas travas de propósito
- Projeto `demo-bolao`: o Firebase trata prefixo `demo-` como demonstração e o
  SDK nunca fala com serviço real. Apontar para projeto de verdade exige
  PERMITIR_PROJETO_REAL=true.
- Rules `if false` na largada. Participação entra em MG-2, sigilo e prazo em
  MG-3. Abrir primeiro e fechar depois é como vazamento chega em produção.

Dois defeitos encontrados no próprio script, os dois no caminho de erro
- `command -v java` mente no macOS: existe um stub em /usr/bin/java que satisfaz
  a checagem e falha ao executar. O teste passou a ser rodar `java -version` —
  presença de binário não é funcionamento.
- Sem JDK algum, o script morria com "unbound variable" (array vazio sob set -u)
  em vez de mostrar a instrução. Foi para poder testar esse caminho que a lista
  de candidatos virou JDK_CANDIDATOS sobrescrevível.

Confirmado: nada aqui exigiu plano Blaze. O cartão só entra no deploy.

MG-1 fechada, 8/8 tasks, plano e execução em docs/testes/MG-1-*.md.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>