[React] ──POST /api/auth/login { email, password }──► [Express]
                                                            │
                                              Busca usuário no Supabase
                                                            │
                                              bcrypt.compare(password, hash)
                                                            │
                                              jwt.sign({ userId, email })
                                                            │
                                    res.cookie('vt_token', jwt, {
                                      httpOnly: true,  ← JS não acessa
                                      secure: true,    ← somente HTTPS
                                      sameSite: 'strict', ← anti-CSRF
                                      maxAge: 7 * 24 * 60 * 60 * 1000
                                    })
                                                            │
[React] ◄── { user: { id, name, email } } ─────────────────┘
                  (sem token visível)

┌─────────────────────────────────────────────────────────────────┐
│  users                                                          │
│  id (uuid PK) · name · email (unique) · password_hash          │
│  avatar_url · created_at                                        │
└───────────────────────────┬─────────────────────────────────────┘
                            │ 1:1
              ┌─────────────▼──────────────┐
              │  user_profiles             │
              │  user_id (FK) · height_cm  │
              │  birth_date · goal (enum)  │
              │  activity_level · theme    │
              │  color_scheme              │
              └────────────────────────────┘

┌───────────────────────┐   ┌───────────────────────────┐
│  meals                │   │  meal_nutrients           │
│  id · user_id (FK)    │──►│  meal_id (FK)             │
│  meal_type · photo_url│   │  calories · protein_g     │
│  description · date   │   │  carbs_g · fat_g · fiber_g│
│  time · source (ai|   │   │  source (ai|manual)       │
│  manual)              │   └───────────────────────────┘
└───────────────────────┘

┌───────────────────────┐   ┌─────────────────────────────┐
│  fasting_sessions     │   │  workouts                   │
│  id · user_id (FK)    │   │  id · user_id (FK)          │
│  start_at · end_at    │   │  activity_id (FK) · date    │
│  goal_hours · status  │   │  duration_min · notes       │
└───────────────────────┘   │  status (done|skip|delay)  │
                            └─────────────────────────────┘

┌──────────────────────────┐   ┌────────────────────────────┐
│  activities (catálogo)   │   │  daily_checkins            │
│  id · user_id (FK)       │   │  id · user_id (FK) · date  │
│  name · category · icon  │   │  items (jsonb[])           │
│  frequency · target_days │   │  completion_pct            │
│  color                   │   └────────────────────────────┘
└──────────────────────────┘

┌────────────────────────────┐   ┌────────────────────────────┐
│  weight_entries            │   │  streaks                   │
│  id · user_id (FK) · date  │   │  id · user_id (FK) · type  │
│  weight_kg · notes         │   │  current · best · last_date│
└────────────────────────────┘   └────────────────────────────┘

┌────────────────────────────┐   ┌────────────────────────────┐
│  bonuses                   │   │  chat_messages             │
│  id · user_id (FK) · type  │   │  id · user_id (FK)         │
│  reason · expires_at       │   │  role (user|assistant)     │
│  used_at · status          │   │  content · created_at      │
└────────────────────────────┘   └────────────────────────────┘

POST /api/nutrition/analyze-photo
  → multer processa upload (buffer em memória)
  → gemini.service.js envia imagem + prompt:
     "Analise o prato da imagem. Retorne JSON:
      { foods: string[], calories: number,
        protein_g: number, carbs_g: number,
        fat_g: number, fiber_g: number }"
  ← { foods, calories, protein_g, carbs_g, fat_g, fiber_g }

POST /api/chat/message
  → authGuard verifica cookie
  → n8n.service.js monta payload:
     {
       message: "Como melhorar meu cardápio?",
       user_context: {
         weight_trend: [...],
         avg_calories: 1850,
         workouts_last_7d: [...],
         streak_workout: 4,
         pending_bonus: "refeição livre"
       }
     }
  → POST ${N8N_WEBHOOK_URL}
  ← { reply: "Com base nos seus dados..." }
  → salva em chat_messages (user + assistant)
  ← { message } para o frontend