Код писал на глаз без проверок исполнения, авторизацию не прикручивал, хотя обернул ручки в мидлвар auth. только потом увидел что можно было не только без конкретной реализации делать, но даже и без ORM. Но как вчитался в задание - остановился, так бы еще и тесты написал))