- грузишь фотки на диск, у каждой фотки свой id
- в БД 3 таблицы: фотки (id, путь), пользователи (id, логин, пароль), доступ (id пользователя, id фотки, дата доступа)
- при попытки пользователем открыть ту или иную фотку проверяем что таблице связей дата доступа<сейчас, если связи нету, то доступ разрешен (соответственно подруге сразу накидываем даты на год вперед, себе и парню связи не проставляем)
доступ на сайт к фоткам только залогиненным пользователям, хэндлим маршруты вида /photo/<photo_id>, id пользователя храним в JWT (куки или локальное хранилище)