בונים מוצר סוכן חיפוש עבודה

אנחנו בונים מוצר Web בשם JobFit.

המשתמשים שלו הם מחפשי עבודה. כל משתמש יוכל:
1. להירשם באמצעות Magic Link למייל.
2. להדביק קורות חיים כטקסט בשלב הראשון.
3. להדביק תיאור משרה.
4. לקבל ציון התאמה עם הוכחות ופערים.
5. לקבל תקציר מותאם לקורות החיים, הודעת פנייה ושאלות לראיון.
6. לשמור את התוצאה בחשבון שלו.

כללי מוצר:
- אסור להמציא ניסיון או כישורים.
- מפתח Anthropic נשמר בצד השרת בלבד.
- לכל משתמש בטא יש עד 10 ניתוחים בחודש.
- ברירת המחדל היא לא לשמור את טקסט קורות החיים אחרי העיבוד.
- המוצר מציג טיוטות בלבד ולא שולח מועמדות אוטומטית.

כתוב PRODUCT_SPEC.md קצר עם: מסכי המוצר, מסלול משתמש, מודל נתונים, מקרי קצה, פרטיות ותנאי הצלחה. אל תכתוב קוד עדיין.

קרא את PRODUCT_SPEC.md ובנה MVP עובד ב־Next.js App Router עם TypeScript.

טכנולוגיות:
- Next.js לממשק ול־Route Handlers
- Supabase Auth באמצעות Magic Link
- Supabase Postgres לשמירת משתמש, מנוי, מונה שימוש ותוצאות
- Anthropic Messages API בצד השרת בלבד
- עיצוב RTL נקי ומובייל־פירסט

מסכים:
1. דף נחיתה עם הסבר ומחיר בטא
2. כניסה במייל
3. דשבורד עם מונה שימוש
4. טופס קורות חיים + תיאור משרה
5. מסך תוצאה: התאמה, הוכחות, פערים, תקציר, פנייה והכנה לראיון
6. היסטוריה אישית
7. פרטיות ותנאי שימוש בסיסיים

דרישות אבטחה:
- לעולם אל תחשוף ANTHROPIC_API_KEY בדפדפן.
- אמת משתמש בכל קריאת API.
- הפעל Row Level Security כך שמשתמש רואה רק את הנתונים שלו.
- בדוק מגבלת שימוש בשרת לפני קריאה ל־Claude.
- הגבל גודל קלט והחזר הודעות שגיאה אנושיות.
- אל תשמור קורות חיים גולמיים כברירת מחדל.

בנה בשלבים. אחרי כל שלב הרץ lint/build ותקן לפני המשך. בסוף צור README עם הוראות התקנה ופריסה.

אתה מנוע התאמת מועמדות אמין. קבל קורות חיים ותיאור משרה והחזר JSON תקין בלבד.

אסור להמציא ניסיון, תפקיד, תאריך, השכלה, כלי, כישור או הישג. אם אין הוכחה בקורות החיים, סמן אותו כפער.

מבנה הפלט:
{
  "score": 0,
  "verdict": "strong | possible | weak",
  "summary": "",
  "requirements": [{"requirement":"","evidence":"","gap":false}],
  "gaps": [""],
  "tailored_resume_summary": "",
  "outreach_message": "",
  "interview_questions": [""]
}

הציון חייב להיות מוסבר באמצעות הדרישות וההוכחות. כתוב בשפת המשרה, בלי הבטחות ובלי הגזמות.

הוסף Supabase למוצר.

צור migrations עבור:
- profiles: user_id, plan, monthly_limit, usage_count, usage_period_start
- analyses: id, user_id, company, role, score, result_json, created_at
- subscriptions: user_id, provider, external_id, status, current_period_end

הפעל RLS על כל הטבלאות. משתמש מחובר יכול לקרוא ולשנות רק שורות שבהן user_id שווה ל־auth.uid(). כתיבה למנוי ולמונה שימוש מתבצעת רק מהשרת.

הוסף Magic Link, session guard לדשבורד ויציאה מהחשבון. צור גם מסך מצב ברור למשתמש לא מחובר. אל תשתמש ב־service role key בצד הלקוח.

הוסף שכבת עלות ומגבלת שימוש אמיתית.

לפני כל קריאה ל־Claude:
1. אמת session בשרת.
2. קרא plan, status, monthly_limit ו־usage_count.
3. חסום משתמש בלי גישה פעילה או אחרי המגבלה.
4. הגבל את אורך קורות החיים ותיאור המשרה.
5. בצע את קריאת Claude עם max_tokens מוגדר.
6. הגדל usage_count רק אחרי תשובה מוצלחת.
7. שמור לוג טכני ללא תוכן קורות החיים.

הצג בדשבורד כמה ניתוחים נשארו. הוסף בדיקות ל־unauthorized, limit reached ו־successful request.

הוסף מצב BETA_ACCESS למוצר.

במצב הזה משתמש נרשם במייל, אבל יכול להשתמש במוצר רק אם יש לו access_code פעיל או אם הפרופיל שלו מסומן beta_active.

צור:
- טבלת access_codes עם code_hash, max_redemptions, redeemed_count, expires_at
- מסך הזנת קוד
- אימות קוד בצד השרת בלבד
- הפעלה של 10 ניתוחים לחודש אחרי מימוש
- עמוד ניהול פשוט שמפיק קודים, מוגן במשתנה ADMIN_EMAILS

אל תשמור קודים גלויים במסד. הוסף הוראה ב־README: בשלב הפיילוט מוכרים באמצעות קישור תשלום קיים ושולחים קוד גישה. רק אחרי ביקוש מחברים webhook אוטומטי.

הכן את המוצר לחיבור מנוי אמיתי בלי לקשור אותו לספק תשלום אחד.

צור ממשק PaymentProvider עם createCheckout ו־verifyWebhook. צור webhook route שמקבל אירועים חתומים ומעדכן subscriptions בלבד אחרי אימות חתימה.

אירועים נדרשים:
- subscription.started → active
- subscription.renewed → active + period חדש
- subscription.cancelled → cancel_at_period_end
- payment.failed → past_due

כל המפתחות ב־environment variables. אין לסמן משתמש כמשלם מתוך query string או מהדפדפן. הוסף PAYMENT_SETUP.md עם המקומות שבהם מחברים את הספק שנבחר בפועל.

הכן את המוצר לפריסה ב־Vercel.

בדוק:
- npm run build עובר
- כל הסודות נקראים מ־environment variables
- .env.example כולל שמות בלבד
- callback URLs של Supabase מתועדים
- אין מפתח API בקוד או ב־bundle של הדפדפן
- דפי פרטיות ותנאים קיימים
- מצבי loading, empty, error ו־limit reached עובדים במובייל
- README כולל פריסה, rollback ובדיקת smoke

בסוף החזר checklist מדויק של משתני הסביבה ושלוש בדיקות שחייבים לבצע על הקישור החי.