# Reguli de dezvoltare Eventor.ro

- Startup file obligatoriu: `app.js`.
- Aplicatia trebuie sa porneasca prin `node app.js`.
- Nu folosi Next.js, Prisma, PostgreSQL, Redis, Docker, PM2 sau TypeScript care necesita compilare pe server.
- Nu introduce build step obligatoriu pentru shared hosting.
- Nu adauga dependinte native sau pachete care cer build tools.
- Nu hardcoda secrete. Foloseste environment variables sau `.env`.
- Toate query-urile DB trebuie sa foloseasca prepared statements.
- Parolele se hashuiesc cu `crypto.scrypt` sau `crypto.pbkdf2`.
- Toate formularele POST trebuie sa aiba CSRF.
- Rutele sensibile trebuie protejate server-side cu RBAC.
- Actiunile admin/financiare trebuie logate in `audit_logs`.
- Nu implementa checkout real cu date de card in MVP.
- Fisierele private (`.env`, `src`, `database`, `storage`) nu trebuie expuse in `public_html`.

## Criterii pentru Pasul 1 si Pasul 2

- Structura de foldere exista.
- `app.js` configureaza Express, EJS, static assets, Helmet, session, CSRF si rute.
- `database/schema.sql` este importabil prin phpMyAdmin.
- `database/seed.sql` creeaza date demo fara parole in clar.
- Homepage-ul citeste evenimente din MySQL.