Training Lab
Aplicación de entrenamiento multi-usuario. Combina el plan anual de periodización
de Andres Tovar (intacto, ver más abajo) con una capa profesional de cuentas,
administración de atletas, repertorio de ejercicios con media y persistencia en la nube.
- Atleta — inicia sesión y ve su plan de entrenamiento, bienestar, calculadora
de 1RM y la sección de ciencia. El progreso se guarda en la nube.
- Admin — ve a todos los atletas, les asigna rutinas y administra el repertorio
de ejercicios (alta/baja por categoría, foto de portada y video por subida o enlace
de TikTok/Instagram/YouTube).
Stack
| Capa | Tecnología |
|---|
| UI | React 19, Vite 8, Tailwind CSS v4 |
| Iconos / gráficos | lucide-react, recharts |
| Backend | Supabase (Postgres, Auth, Storage, Edge Functions) |
| Hosting | Vercel o Netlify (SPA estática) |
La app es una SPA: el enrutado es por renderizado condicional en
src/App.jsx según loading → user → profile.role, no por rutas de URL.
Puesta en marcha local
Requisitos: Node 20+ y un proyecto de Supabase.
npm install
cp .env.example .env # completa con tus claves de Supabase
npm run dev # http://localhost:5173
Variables de entorno
Solo se usan claves públicas (prefijo VITE_, expuestas al navegador). Nunca
pongas la service_role key aquí — vive únicamente en el entorno del Edge Function.
| Variable | Descripción |
|---|
VITE_SUPABASE_URL | URL del proyecto, p. ej. https://xxxx.supabase.co |
VITE_SUPABASE_ANON_KEY | Publishable / anon key (sb_publishable_…) |
.env y sus variantes están en .gitignore; solo se versiona .env.example.
Build
npm run build # genera dist/
npm run preview # sirve dist/ localmente
npm run lint # eslint
Despliegue
El proyecto trae configuración lista para ambos hostings. Ambos sirven la SPA con
fallback a index.html y aplican las cabeceras de seguridad.
- Vercel —
vercel.json: rewrites de SPA (todo lo que no sea
/assets/* va a index.html), cabeceras de seguridad y cache inmutable de assets.
- Netlify —
public/_redirects (fallback SPA 200) y
public/_headers (mismas cabeceras de seguridad y cache).
Configura VITE_SUPABASE_URL y VITE_SUPABASE_ANON_KEY en el panel del hosting.
Comando de build npm run build, directorio de salida dist.
Arquitectura
src/
App.jsx Shell: splash → auth → admin/atleta + menú de cuenta
main.jsx Punto de entrada, envuelve en <AuthProvider>
contexts/
AuthContext.jsx Sesión, perfil, isAdmin, signIn/signUp/signOut
AppStateContext.jsx useStorage(key, def) → blob jsonb en user_app_state
features/
auth/AuthScreen.jsx Login/registro por usuario O email
training/TrainingApp.jsx App del atleta (plan intacto)
admin/ AdminApp, AthletesPanel, ExercisesPanel
data/fotos-de-fase.js Fotos de cada fase del programa (por id de fase)
lib/
supabase.js Cliente (claves desde env, sin secretos)
api.js Acceso a datos (ejercicios, atletas, rutinas, media)
theme.js Tokens de estilo (T, FONT)
training-utils.js Helpers de cálculo del plan
wearables.js Punto de extensión para wearables (ver abajo)
supabase/
functions/signup/ Edge Function de registro (emails sintéticos)
Autenticación
Login por usuario o email: el RPC email_for_login(identifier) resuelve el
email real y luego se llama a signInWithPassword. Los registros por usuario crean
un email sintético {username}@traininglab.app mediante el Edge Function signup
(con email_confirm: true). Funciones SECURITY DEFINER con search_path fijado:
is_admin(), email_for_login(), handle_new_user() (trigger), set_updated_at().
Wearables (preparado, no conectado)
src/lib/wearables.js es el seam listo para integrar relojes
inteligentes (Apple Health, Google Fit, Garmin, Whoop). Define un contrato de provider
(connect/disconnect/fetchMetrics), una forma normalizada de métricas
(WearableMetrics) y un registro. La implementación concreta está diferida a
propósito — todavía no se importa desde la UI. Para activarlo: implementa un provider
y regístralo con registerWearableProvider(...).
Seguridad
- RLS activado en todas las tablas; políticas por rol vía
is_admin().
- Storage: lectura de media restringida; las URLs públicas sirven por
/object/public/ (los atletas renderizan media por URL guardada, sin listar el bucket).
- CORS del Edge Function restringido a
*.vercel.app / *.netlify.app con fallback seguro.
- Cabeceras: CSP, HSTS,
X-Content-Type-Options, X-Frame-Options: DENY,
Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy.
- Secretos: la app solo usa la anon key (pública). La
service_role key NO está
en el repo; vive solo en el entorno del Edge Function en Supabase.
Advertencias de advisors aceptadas (por diseño)
El security review de Supabase deja 5 avisos esperados:
is_admin() ejecutable por anon/authenticated — requerido: varias políticas
RLS declaradas TO public lo evalúan durante el acceso a tablas. Revocarlo rompería RLS.email_for_login() ejecutable por anon — requerido para el login por usuario
antes de autenticarse.
3–4. Lecturas asociadas a lo anterior derivadas de las mismas políticas TO public.- Protección contra contraseñas filtradas deshabilitada — es un toggle de la
config de Auth (no se cambia por SQL/migración). Recomendado activarlo en producción
desde el panel de Supabase.
Restricción del plan de entrenamiento — INTOCABLE
El plan de entrenamiento de Andres es de larga data y no se altera.
No modifiques, renombres ni "optimices" el contenido de los datos del plan:
F2_LOWER_EX, F2_UPPER_EX, F3_DAYS, F4_DAYS, F5_DAYS, F6_LIFT_EX,
F7_WEEK, F8_WEEK, DELOAD_WEEKS, las constantes *_PROG, genF6Weeks y sus
objetos *Science, ni el array PHASES. No cambies ejercicios, series, repeticiones,
intensidades, porcentajes, cues, notas, textos de ciencia, trade-offs ni referencias.
Solo el renderizado visual puede mejorarse; los datos se quedan exactamente como están.
