Опиши идею —
получи готовое приложение

CREATE TABLE users (
    id            BIGSERIAL PRIMARY KEY,
    email         VARCHAR(255) NOT NULL UNIQUE,
    password_hash VARCHAR(255) NOT NULL,
    first_name    VARCHAR(100),
    last_name     VARCHAR(100),
    phone         VARCHAR(20),
    role          VARCHAR(20) DEFAULT 'client'
                  CHECK (role IN ('client','trainer','admin')),
    is_active     BOOLEAN DEFAULT TRUE,
    created_at    TIMESTAMPTZ DEFAULT NOW()
);

CREATE TABLE subscriptions (
    id            BIGSERIAL PRIMARY KEY,
    user_id       BIGINT NOT NULL REFERENCES users(id),
    plan_id       BIGINT NOT NULL REFERENCES plans(id),
    starts_at     DATE NOT NULL,
    expires_at    DATE NOT NULL,
    status        VARCHAR(20) DEFAULT 'active'
                  CHECK (status IN ('active','frozen','expired','cancelled')),
    paid_amount   DECIMAL(10,2) NOT NULL
);

CREATE TABLE workouts (
    id            BIGSERIAL PRIMARY KEY,
    trainer_id    BIGINT NOT NULL REFERENCES users(id),
    title         VARCHAR(200) NOT NULL,
    max_clients   INT DEFAULT 10,
    duration_min  INT DEFAULT 60,
    starts_at     TIMESTAMPTZ NOT NULL
);

CREATE INDEX idx_workouts_date ON workouts(starts_at);

openapi: 3.0.3
info:
  title: FitCRM API
  version: 1.0.0

paths:
  /api/v1/auth/register:
    post:
      summary: Регистрация нового клиента
      requestBody:
        content:
          application/json:
            schema:
              required: [email, password, first_name]
              properties:
                email: {type: string, format: email}
                password: {type: string, minLength: 8}
      responses:
        '201': {description: Пользователь создан}
        '409': {description: Email уже зарегистрирован}

  /api/v1/workouts:
    get:
      summary: Расписание тренировок
      parameters:
        - name: date_from
          in: query
          schema: {type: string, format: date}
      responses:
        '200': {description: Список тренировок}

  /api/v1/workouts/{id}/book:
    post:
      summary: Записаться на тренировку
      security: [{bearerAuth: []}]
      responses:
        '200': {description: Успешная запись}
        '409': {description: Нет свободных мест}

fitcrm/
├── backend/
│   ├── app/
│   │   ├── main.py
│   │   ├── config.py
│   │   ├── models/
│   │   │   ├── user.py
│   │   │   ├── subscription.py
│   │   │   └── workout.py
│   │   ├── api/v1/
│   │   │   ├── auth.py
│   │   │   ├── users.py
│   │   │   ├── workouts.py
│   │   │   └── bookings.py
│   │   └── services/
│   │       ├── auth_service.py
│   │       └── payment_service.py
│   ├── tests/
│   └── Dockerfile
├── frontend/
│   └── src/
│       ├── pages/
│       ├── components/
│       └── hooks/
├── docker-compose.yml
└── nginx.conf

## Модель безопасности

### Аутентификация
- JWT Access Token (15 мин) + Refresh Token (7 дней, httpOnly)
- Bcrypt для паролей (cost factor: 12)

### RBAC
| Роль    | Права                                    |
|---------|------------------------------------------|
| client  | Просмотр расписания, запись на тренировки |
| trainer | Управление тренировками, список клиентов  |
| admin   | Полный доступ                            |

### OWASP Top-10
- SQL Injection → ORM, параметризованные запросы
- XSS → CSP, экранирование вывода
- CSRF → SameSite cookies, CSRF-токены
- Broken Auth → Rate limiting (5 req/min), lockout