To Get There

Социальная сеть для студентов университетов Германии, построенная вокруг одной единицы — идеи.

Человек пишет, что хочет сделать: «Пиво у канала после занятий», «Учебная группа по анализу перед экзаменом», «Фотопрогулка на рассвете». У идеи есть время, место и число мест. Остальные заходят в групповой чат этой идеи и договариваются там.

Это не лента и не мэтчинг. Это инструмент, чтобы найти людей через конкретную активность: не «кто рядом похож на меня», а «кто идёт в шесть на скалодром». Поэтому лента — расписание, а не поток: обе вкладки строго по времени, ближайшее первым, и идея уходит из ленты, когда автор закрыл набор или прошёл час после начала. Чат при этом остаётся — всем, кто в нём был.

Интерфейс — русский, обращение на «ты». Термины — по глоссарию в docs/ui-contract.md, отклоняться нельзя.

Продакшен: https://to-get-there-mu.vercel.app — выкатывается сам из main после зелёного CI.

Что умеет

• Идеи — создать, править, закрыть набор, удалить; места, доступ в чат («Все» / «Только подписчики» / «Только друзья»), место на карте с огрублением точки.
• Чат идеи — сообщения, ответы с цитатой, фото, голосования, закрепление, модераторы с поимёнными правами, «печатает…» и «сейчас в чате» в реальном времени.
• Личка — ответы, «Удалить у обоих», «Прочитано» (взаимно, выключается), «печатает…».
• Люди — подписки, друзья (взаимная подписка), приватность профиля, интересов и сообщений, поиск.
• Безопасность сообщества — блокировка, жалобы на всё со снимком содержимого, ограничение частоты в базе, правила сообщества.
• Свои данные — скачать всё одним JSON, удалить аккаунт; сроки хранения.
• Уведомления — вступления, сообщения, подписчики, новые идеи, напоминания за час и 30 минут, перенос времени или места.
• Проверка личности — Stripe Identity, по желанию, прав не даёт.

Стек

• Next.js 15 (App Router, server actions), React 19, TypeScript strict
• Tailwind CSS v4 — токены в app/globals.css, контраст WCAG AA
• Supabase — Postgres 17 с RLS на каждой таблице, Auth, Storage, Realtime, pg_cron
• Vercel — хостинг; Leaflet + OpenStreetMap — карта
• Без UI-кита, библиотек иконок и дат: меньше зависимостей — меньше поверхности атаки

Как запустить

Нужен Node 20 или новее (проверено на 24).

npm install
cp .env.local.example .env.local
npm run dev

http://localhost:3000. С NEXT_PUBLIC_USE_MOCKS=true всё работает из lib/mock — без базы и без входа (демо-режим, запись не сохраняется).

С базой: NEXT_PUBLIC_USE_MOCKS=false и ключи проекта Supabase, либо локальный стек supabase start (нужен Docker).

Проверки

Команда	Что
npm run lint	ESLint без предупреждений
npm run typecheck	TypeScript strict
npm test	юнит-тесты (Vitest)
npm run test:e2e	все экраны в браузере, axe (WCAG 2.2 AA), клавиатура, телефон (Playwright)
npm run test:db	права и триггеры в базе (pgTAP), нужен supabase start
npm run test:e2e:live	со входом на локальной Supabase: регистрация с письмом, вход, сброс пароля, права, realtime у двоих
psql … -f supabase/perf/load.sql	нагрузочный прогон: десятки тысяч строк, планы запросов, бюджет времени (docs/PERFORMANCE.md)

Локально E2E можно гонять установленным Chrome, без скачивания браузера: PLAYWRIGHT_CHANNEL=chrome npm run test:e2e.

CI (.github/workflows) на каждый push и pull request: линт, юнит, сборка, типы, аудит зависимостей, E2E на десктопе и телефоне, E2E со входом на локальной Supabase, все миграции с нуля + pgTAP + нагрузочный прогон + линт схемы, CodeQL. Как изменения схемы доходят до прода — docs/STAGING.md.

Переменные окружения

Полный список с пояснениями — .env.local.example. Коротко:

Переменная	Где	Зачем
NEXT_PUBLIC_SUPABASE_URL, NEXT_PUBLIC_SUPABASE_ANON_KEY	везде	клиент Supabase (защищён RLS)
NEXT_PUBLIC_USE_MOCKS	везде	true — демо без базы
NEXT_PUBLIC_SITE_URL	прод	адрес для ссылок в письмах (иначе — домен Vercel)
SUPABASE_SECRET_KEY, STRIPE_SECRET_KEY, STRIPE_WEBHOOK_SECRET	только сервер	проверка личности
LEGAL_OPERATOR_*	прод	Impressum (docs/LEGAL.md)

Структура

app/
  (app)/                  экраны приложения (после входа)
    (feed)/               лента: ?tab=following | ?tab=university
    create/  post/[id]/  post/[id]/edit/
    u/[nickname]/  messages/  search/  notifications/  settings/
  auth/                   вход, регистрация, подтверждение почты, сброс пароля
  legal/                  Impressum, конфиденциальность, условия, правила
  actions/                server actions — вся запись
  api/                    health, выгрузка данных, вебхук Stripe
components/
  ui/                     примитивы: кнопки, поля, листы, иконки, аватары
  chat/ dm/ feed/ profile/ search/ create/ settings/ safety/ legal/
lib/
  data/                   чтение из Supabase (с RLS); index.ts — переключатель моков
  actions/actor.ts        кто действует, ошибки словами
  validate.ts             проверка аргументов server actions
  csp.ts                  Content-Security-Policy с nonce
  live.ts use-presence.ts realtime: сигналы, «печатает», присутствие
  types.ts format.ts …    домен и чистые правила (с юнит-тестами)
  mock/                   демо-данные
supabase/
  migrations/             0001…0043 — схема, RLS, триггеры, cron
  tests/database/         pgTAP: права и триггеры
  perf/                   нагрузочный прогон: данные, запросы, бюджеты
  seed.sql  config.toml
e2e/                      Playwright + axe, демо-данные
e2e-live/                 Playwright со входом на локальной Supabase
docs/                     см. ниже

Документы

Файл	О чём
docs/ARCHITECTURE.md	как устроено, куда идут данные, решения
docs/DATABASE.md	таблицы, политики, функции, миграции
docs/AUTH.md	вход и аккаунт: архитектура, потоки, меры защиты, лимиты, будущая проверка вуза
docs/PERFORMANCE.md	нагрузочный прогон: что было медленно, что изменено, цифры до и после
docs/STAGING.md	стейджинг, правила миграций, порядок выкатки, что делать при сбое
docs/SECURITY.md	модель угроз, что чем защищено, что сделать руками
docs/MODERATION.md	как разбирать жалобы (DSA)
docs/LEGAL.md	Impressum, DSGVO, DSA — что сделано и что за оператором
docs/ui-contract.md, docs/DESIGN.md	правила экранов, глоссарий, дизайн
docs/ROADMAP.md	этапы и что дальше
CONTRIBUTING.md	как вносить изменения

Правила, на которых держится продукт

• Идея уходит из обеих вкладок ленты, когда автор закрыл набор или прошёл час после начала. Правило живёт в isInFeed() (lib/format.ts) и в представлениях active_posts и post_cards — и они обязаны совпадать.
• Обе вкладки ленты — строго хронологические.
• Друзья — это взаимная подписка, и ничего больше. Нигде не хранится, всегда выводится из двух строк follows.
• Доступ в чат — «Все», «Только подписчики» или «Только друзья».
• Роли в идее: автор, модератор, участник, гость. Права модератора выдаются поимённо; автор держит все и только он назначает модераторов и закрывает набор.
• Подтверждённая личность не даёт никаких прав. Это только сигнал доверия.