Спецификация 02: атлеты (AdminAthletesController)

Источники: Ф-9.1 (управление, вопрос 9 закрыт), 🛡2 (ключ — один раз).

1. Эндпоинты (все — Bearer, spec 01)

Метод	Путь	Тело → Ответ
GET	`/api/admin/athletes`	→ `{"items":[{"id":1,"name":"Иван","isBlocked":false,"createdAt":"…"}]}`
POST	`/api/admin/athletes`	`{"name":"Иван"}` → `201 {"id":…,"apiKey":"wb-…"}`
POST	`/api/admin/athletes/{id}/key`	— → `200 {"apiKey":"wb-…"}`
POST	`/api/admin/athletes/{id}/block`	`{"isBlocked":true}` → `200 {"id":…,"isBlocked":true}`

Создание: имя непустое (иначе 400); ключ = "wb-" + 24 hex (random); в БД — только ApiKeyHash.Of(key) (SHA-256, как m02); ключ возвращается один раз (повторно не выдаётся — 🛡2); дубликат имени допустим (БД не запрещает; консоль показывает id).
Смена ключа: новый ключ по тому же правилу; athlete_update (все поля, NULL-семантики нет — m01); старый ключ перестаёт работать немедленно.
Блокировка: athlete_update c is_blocked; заблокированный ключ → 401 на /api/v1/* (m02, проверяется тестом сквозняком); блокировка не удаляет данные.
Все записи — только athlete_insert/athlete_update (🛡3).