Как всё устроено, от А до Я

Мы продаём заведению не программу, а рабочее место. У каждого заведения свой отдельный «мотор»: он принимает заявки от гостей, помнит брони, меню и комментарии из соцсетей. Все моторы одинаковые, отличаются настройкой. Мы же сидим за одним пультом, с которого видно все заведения сразу.

Заведение платит подписку и получает: приём заявок (бот в Telegram, соцсети, мини-приложение), работу с гостями в соцсетях, меню для гостя и экран смены для персонала. Что именно включено, решает набор модулей.

Движок это мотор заведения. Он стоит отдельным контейнером на каждое заведение, у него своя база, и все данные заведения лежат только там: брони, меню, комментарии, посты, план.

Панель это пульт. Она знает, какие заведения существуют, кто из людей что может, держит секреты и журнал действий. Своих данных заведения у неё нет ни одной строки: всё, что она показывает, она спрашивает у движка.

Слой заведения это анкета: как зовут, часовой пояс, языки, залы, столы, часы работы, какие модули включены. Движок читает её при старте.

Разделение придумано не ради красоты. Пульт обслуживает много заведений и не должен знать, как устроены столы у каждого. А данные должны лежать у заведения, потому что заведение может уйти, и тогда оно уходит со своей базой, а не с куском нашей.

Всё крутится на одном сервере, на том же, где идёт работа. Наружу торчат четыре адреса, внутри работают семь контейнеров и несколько служб по расписанию. Ничего, кроме этого сервера, у платформы нет.

Заведение это анкета плюс контейнер. Берём готовый профиль («бар со столами» или «кафе без брони»), заполняем анкету заведения, запускаем провижининг, и через минуту у заведения есть свой мотор, своя база и свой ключ к пульту. Кода при этом никто не пишет.

Модуль это возможность, которую можно включить галочкой. Движок при старте проверяет, что набор собирается: мини-приложение без бота не имеет смысла, касса без столов тоже. Выключенный модуль это не спрятанная кнопка, а отсутствующий маршрут: движок отвечает «такого нет».

Гость проходит восемь шагов: стол, дата, время, гости, имя, телефон, комментарий, подтверждение. Показываются только те слоты, где выбранный стол свободен. Бронь из бота считается подтверждённой сразу, из соцсетей и Google ждёт решения персонала.

Заявка из Instagram или WhatsApp приходит не в бота, а во внутреннюю дверь движка. Дверь заперта отдельным секретом и ограничена по частоте. Дальше заявка идёт через тот же интейк, что и бронь из бота, поэтому правила проверки одни и те же.

У заведения с ботом уведомление уходит в Telegram. У заведения без бота сказать некуда, поэтому событие ложится в базу, и панель показывает его на экране смены блоком «Входящее». Раньше такое заведение теряло заявку молча.

В соцсеть ходит панель, потому что токен лежит у неё. Хранит комментарии движок, потому что это данные заведения. Правило заведения предлагает черновик ответа, отправляет человек. На жалобу черновик не подставляется вовсе: бодрый автоответ на «не вкусно» хуже, чем его отсутствие.

Публикация необратима: пост из ленты не отзывается, подписчики его уже увидели. Поэтому пост сначала занимается у движка, и только потом панель говорит с Meta. Два нажатия кнопки, два оператора и повторный запрос браузера получают отказ, а не второй пост в ленте.

Слот это замысел публикации, а не пост: дата, формат, рубрика, идея, что в кадре. Пост из слота может не получиться, а пост может появиться без слота, поэтому это разные вещи. План правится по одному слоту: его ведут постепенно и часто вдвоём, и «сохранить всё» затирало бы чужую работу.

Панель никогда не пишет конфигурацию сама. Она кладёт правку в очередь, отдельный процесс собирает кандидата, проверяет его образом самого заведения, записывает файл, перезапускает движок и следит за здоровьем. Стало плохо — откатывает. Веб-процесс физически не имеет прав на эти файлы.

Сегодня меню живёт двумя жизнями. Первая: карта меню (MENU_MAP.md) импортируется в базу заведения, движок отдаёт простую страницу /menu, панель показывает её только для чтения. Вторая: отдельный сборщик делает из той же карты красивое меню по QR с фотографиями, четырьмя языками и офлайном. Это и есть главный источник сегодняшней путаницы, разбор ниже.

Секреты заведения лежат в сейфе панели, зашифрованные мастер-ключом. В открытом виде в базе нет ничего. Токен бота панель принимает от человека, проверяет и кладёт в сейф, а в файл заведения его переносит публикатор: процесс не должен писать файл, из которого сам читает настройки при запуске.

Деньги считаются только целыми числами. У донга нет копеек, поэтому привычное «поделить на сто» ломается ровно на нашей валюте.

Коммит в основную ветку и есть выкат. Раз в две минуты служба смотрит, не ушёл ли код вперёд задеплоенного, и если ушёл, пересобирает контейнер и проверяет здоровье. Грязное дерево она не трогает, поэтому незаконченную работу не теряет. Миграции базы применяются при старте контейнера.

Путаница возникает там, где одна и та же вещь лежит в двух местах и оба считают себя главными. Сейчас таких мест шесть. Цель формулируется одной фразой: одна вещь — одно место. Данные заведения в его базе, правка через панель, публикация отдельным процессом.