Ruksha Discipline

Telegram Mini App студии Евгения Рукши: запись на слоты, баланс занятий, программа тренировок, дневник питания (КБЖУ), меню дня и CRM тренера.

Клиент открывает приложение из бота, тренер — с того же адреса под своим Telegram-аккаунтом. Данные хранятся в Neon (Postgres), вход — по подписи Telegram (initData).

Логотип — монограмма ER (Evgeniy Ruksha).

Стек

• TanStack Start + React 19, сборка Vite, серверные функции на Nitro (preset Vercel)
• Состояние в zustand (src/lib/studio-store.ts), синхронизация с сервером (src/lib/studio-sync.ts)
• Neon Postgres: таблица состояния студии с номером ревизии (optimistic concurrency), журнал уведомлений
• Telegram WebApp API и Bot API через fetch, без SDK
• Тесты: node:test + tsx; TypeScript в строгом режиме

Структура

• src/routes — страницы и API (в т.ч. /api/telegram — вебхук бота)
• src/components/app — экраны Mini App: сегодня, запись, программа, питание, клиенты, сканер
• src/lib — бизнес-логика: слоты и баланс, меню дня, штрихкоды и каталог продуктов, уведомления, согласия
• src/data — справочники: блюда (studio.ts), рецепты (dish-recipes.ts), штрихкоды (scan.ts)
• public/food-catalog.json — горячий каталог продуктов: правится без пересборки, версия поднимается при каждом изменении
• migrations — SQL-миграции Neon (применяются при сборке)
• scripts — миграции и проверки

Переменные окружения

Имя	Зачем
BOT_TOKEN	Токен бота. Только в env хостинга, никогда в git или в чате
TRAINER_TG_ID	Telegram ID тренера. Роль тренера выдаётся только ему
DATABASE_URL	Строка подключения к Neon (пулер)
DATABASE_URL_UNPOOLED	Прямое подключение для миграций
VITE_PUBLIC_HOSTNAME	Публичный домен Mini App
HOST, PORT	Необязательно, для локального сервера

Команды

npm install
npm run dev          # локальный сервер
npm run build        # миграции + сборка
npm run typecheck    # tsc --noEmit
npm test             # тесты из списка в package.json
npm run lint
npm run db:migrate   # только миграции

Новый тестовый файл нужно добавить в список test в package.json, иначе он не запустится.

Безопасность

• Каждая серверная функция, которая читает или меняет данные, проверяет initData (HMAC по токену бота, сравнение через timingSafeEqual, свежесть подписи 24 часа) — src/lib/telegram-auth.server.ts.
• Вебхук бота принимает запросы только с секретом x-telegram-bot-api-secret-token.
• Уведомления через бота уходят только по проверенной сессии: клиент пишет только себе, тренер — любому (src/lib/notify/flush-rules.ts).
• Клиент видит только свои данные; тренер — данные своих клиентов.

Данные о здоровье и согласие

Дневник питания, КБЖУ и меню дня — данные о здоровье. Без согласия клиента они не собираются и не показываются.

• Версия политики: PRIVACY_VERSION в src/lib/privacy.ts; текст — src/lib/privacy-text.ts.
• Клиент может дать, отказаться или отозвать согласие в «Ещё» → «Мои данные». При отказе журнал питания и меню дня удаляются.
• Пункты, помеченные «проверить у юриста», не согласованы с юристом РБ. Не считайте их финальными.

Каталог продуктов и штрихкоды

• Сканер читает код с камеры и с фото; ищет продукт в локальном каталоге (src/data/scan.ts, studio.ts), в горячем каталоге (public/food-catalog.json), в общем каталоге студии (Neon) и в Open Food Facts.
• Код проверяется по контрольной цифре GTIN (src/lib/gtin.ts). Код с опечаткой не попадает в общий каталог.
• Если в базе нет КБЖУ, запись помечается неполной: пользователь заполняет её вручную до сохранения.
• Записи Open Food Facts в общий каталог студии не копируются: вопрос лицензии ODbL у юриста.

Меню дня

Тренер собирает варианты по норме КБЖУ клиента (3–5 приёмов), подтверждает их, клиент выбирает по одному блюду на приём. Если норма изменилась, подтверждённое меню помечается устаревшим (src/lib/menu-scope.ts). Рецепты блюд готовы, но скрыты флагом SHOW_DISH_RECIPES в menu-day.tsx.

Деплой

Vercel — основной хостинг Mini App.

1. Vercel → Add New → Project → репозиторий cruelshot7-ship-it/fraktsiya.
2. Build Command: npm run build (уже в vercel.json).
3. Задайте переменные окружения из таблицы выше.
4. Скопируйте HTTPS-адрес деплоя в BotFather (см. ниже).

Railway — запасной вариант (Dockerfile), если понадобится процесс, который работает постоянно.

BotFather

1. @BotFather → /newbot → имя и username бота.
2. /setmenubutton → URL Mini App на Vercel.
3. /setdomain → домен без https://.
4. /setdescription, /setuserpic — логотип ER.
5. Токен — только в BOT_TOKEN хостинга.

Правила занятий

• Запись списывает 1 занятие с баланса.
• Отмена раньше окна (по умолчанию 2 часа) — занятие возвращается.
• Отмена клиентом позже окна — занятие сгорает.
• Отмена тренером всегда возвращает занятие и шлёт уведомление клиенту.
• Тренер зачисляет пакеты +4 / +8 / +12 или любое число, может списать −1 и заморозить пакет на 7 / 14 / 30 дней.
• Пакет действует 60 дней с последнего зачисления.
• Полный слот → лист ожидания; при отмене место занимает следующий с балансом.

Известные ограничения

• Онлайн-тренировки (тип слота online и видеокомната) — следующий релиз.
• Сканер штрихкодов на iPhone работает через камеру и декодер, а не через нативный BarcodeDetector (его в Safari нет). См. историю изменений в PR.
• Часть КБЖУ в каталоге — типовые значения, их нужно сверить с этикетками.
• Часть кодов в public/food-catalog.json не проходит проверку контрольной цифры: их нужно заменить по фото упаковок.