@artilingo/artiframe-cli 2.0.4 → 2.0.5

package/core-stubs/app/ApiAuthControl.php

@@ -0,0 +1,76 @@
+<?php
+/**
+ * ArtiFrame Core Engine
+ *
+ * @package     ArtiFrame
+ * @author      Artilingo
+ * @license     AGPLv3 (Attribution-ShareAlike Required)
+ */
+
+require_once __DIR__ . '/../vendor/autoload.php';
+
+// 1. Ortam değişkenlerini yükle (.env)
+\App\DotEnv::load(__DIR__ . '/../.env');
+
+// 2. Uygulama sabitlerini yükle (APP_ENV, APP_VERSION)
+require_once __DIR__ . '/../config/app-version.php';
+
+// 3. Sadece API'ye özgü metodları yükle
+require_once __DIR__ . '/../bin/SystemMethod.php';
+
+// 4. API Konfigürasyonları (JSON Response Header vs.)
+header('Content-Type: application/json; charset=utf-8');
+
+// 5. İzin Verilen HTTP Metodlarının Kontrolü
+$allowed = isset($allowedMethods) && is_array($allowedMethods) ? $allowedMethods : ['POST'];
+$requestMethod = $_SERVER['REQUEST_METHOD'] ?? 'UNKNOWN';
+
+if ($requestMethod === 'OPTIONS') {
+    http_response_code(200);
+    exit;
+}
+
+if (!in_array($requestMethod, $allowed)) {
+    http_response_code(405);
+    echo json_encode([
+        'status' => 'error', 
+        'message' => "Geçersiz istek metodu. Sadece " . implode(', ', $allowed) . " kabul edilir."
+    ]);
+    exit;
+}
+
+// NOT: Bu dosya (ApiAuthControl), sadece Auth (Giriş/Kayıt) işlemleri içindir.
+// İleride ApiControl.php dosyasına RBAC veya Oturum kontrolleri eklense bile,
+// buraya giriş yapmamış (guest) kullanıcıların istek atabilmesi için 
+// oturum engeli KOYULMAMALIDIR. 
+
+// 6. Rate Limiting (Kaba Kuvvet ve Spam Koruması)
+// Aynı IP'den saniyede maksimum 1 istek atılmasına izin verilir.
+$ip = $_SERVER['REMOTE_ADDR'] ?? 'unknown';
+$rateKey = 'auth_rate_limit:' . $ip;
+$limit = 1; 
+
+try {
+    $redis = \Src\Service\RedisService::getInstance();
+    $currentCount = $redis->get($rateKey);
+
+    if ($currentCount !== false && $currentCount >= $limit) {
+        http_response_code(429); // Too Many Requests
+        echo json_encode([
+            'status' => 'error', 
+            'message' => 'Lütfen yavaşlayın. Çok sık istek gönderiyorsunuz.'
+        ]);
+        exit;
+    }
+
+    $redis->incr($rateKey);
+    
+    // Eğer anahtar ilk defa oluşturuluyorsa ömrünü 1 saniye olarak belirle
+    if ($currentCount === false || $currentCount == 0) {
+        $redis->expire($rateKey, 1);
+    }
+} catch (\Exception $e) {
+    // Redis'e ulaşılamazsa (sunucu çökmesi vs.) kayıt olma akışını tamamen durdurmak yerine 
+    // loglanabilir veya sessizce pas geçilebilir.
+    error_log("Redis Bağlantı Hatası (Rate Limit Aşıldı): " . $e->getMessage());
+}

package/core-stubs/app/ApiControl.php

@@ -18,15 +18,26 @@ require_once __DIR__ . '/../config/app-version.php';
 // 3. Sadece API'ye özgü metodları yükle
 require_once __DIR__ . '/../bin/SystemMethod.php';
 
-// 4. API Konfigürasyonları (JSON Response Header vs.)
+// 4. Oturum (Session) Konfigürasyonları
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
+// Beni Hatırla Kontrolü
+if (empty($_SESSION['kullaniciId']) && !empty($_COOKIE['remember_me'])) {
+    $rememberedIdHex = \Bin\SystemMethod::validateRememberMeCookie();
+    if ($rememberedIdHex) {
+        $_SESSION['kullaniciId'] = hex2bin($rememberedIdHex);
+    }
+}
+
+// 5. API Konfigürasyonları (JSON Response Header vs.)
 header('Content-Type: application/json; charset=utf-8');
 
-// 5. İzin Verilen HTTP Metodlarının Kontrolü
-// API uç noktalarında tanımlanan $allowedMethods dizisini baz alır. Tanımsızsa sadece POST kabul eder.
+// 6. İzin Verilen HTTP Metodlarının Kontrolü
 $allowed = isset($allowedMethods) && is_array($allowedMethods) ? $allowedMethods : ['POST'];
 $requestMethod = $_SERVER['REQUEST_METHOD'] ?? 'UNKNOWN';
 
-// Preflight istekleri (OPTIONS) CORS için hayati öneme sahiptir, her halükarda 200 dönüp çıkış yapmasını sağlarız.
 if ($requestMethod === 'OPTIONS') {
     http_response_code(200);
     exit;
@@ -34,48 +45,83 @@ if ($requestMethod === 'OPTIONS') {
 
 if (!in_array($requestMethod, $allowed)) {
     http_response_code(405);
-    echo json_encode([
-        'status' => 'error', 
-        'message' => "Geçersiz istek metodu. Sadece " . implode(', ', $allowed) . " kabul edilir."
-    ]);
+    echo json_encode(['status' => 'error', 'message' => "Geçersiz istek metodu. Sadece " . implode(', ', $allowed) . " kabul edilir."]);
     exit;
 }
 
-/* 
+// 7. Global CSRF Duvarı
+if (in_array($requestMethod, ['POST', 'PUT', 'DELETE'])) {
+    // 1. Header'dan kontrol et (Fetch/Axios SPA uyumu)
+    $token = $_SERVER['HTTP_X_CSRF_TOKEN'] ?? '';
+
+    // 2. Eğer Header'da yoksa, JSON Body'den kontrol et
+    if (empty($token)) {
+        $input = json_decode(file_get_contents('php://input'), true);
+        if (is_array($input) && !empty($input['csrf_token'])) {
+            $token = $input['csrf_token'];
+        }
+    }
+
+    // 3. Eğer JSON'da da yoksa standart POST datasından kontrol et (Eski usül form)
+    if (empty($token)) {
+        $token = $_POST['csrf_token'] ?? '';
+    }
+
+    if (!\Bin\SystemMethod::verifyCsrf($token)) {
+        http_response_code(403);
+        echo json_encode([
+            'status' => 'error',
+            'message' => 'CSRF doğrulaması başarısız. Lütfen sayfayı yenileyip tekrar deneyin.'
+        ]);
+        exit;
+    }
+}
+
+// 8. CORS (Cross-Origin Resource Sharing) Kuralları
+// Geliştirme aşamasında her yerden gelen isteklere izin ver
+if ($_ENV['APP_ENV'] === 'development') {
+    header('Access-Control-Allow-Origin: *');
+} else {
+    // Canlı ortamda sadece belirlenen adreslere izin ver
+    header('Access-Control-Allow-Origin: https://senindomainin.com');
+}
+
+/*
 // -------------------------------------------------------------------------
-// 6. CORS (Cross-Origin Resource Sharing) Kuralları
+// 8. Auth Guard (Oturum Kalkanı - API İçin)
 // -------------------------------------------------------------------------
-// Başka domainlerden veya mobil uygulamalardan gelen API isteklerini kabul 
-// etmek isterseniz aşağıdaki satırları aktifleştirin. "*" yerine kendi 
-// domaininizi (örn: "https://artilingo.com") yazarak güvenliği artırabilirsiniz.
+// Eğer bu API uç noktasının (endpoint) ZORUNLU olarak giriş yapmış üyelere 
+// açık olmasını istiyorsanız aşağıdaki bloğu kullanabilirsiniz.
+// Not: Auth. işlem yapmayan tüm özel (private) API'ler için önerilir.
 
-header("Access-Control-Allow-Origin: *");
-header("Access-Control-Allow-Methods: GET, POST, OPTIONS, PUT, DELETE");
-header("Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With");
+if (empty($_SESSION['kullaniciId']) && empty($_SESSION['kullanici_id'])) {
+    http_response_code(401);
+    echo json_encode([
+        'status' => 'error',
+        'message' => 'Bu işlemi yapabilmek için giriş yapmalısınız.'
+    ]);
+    exit;
+}
 */
 
 /*
 // -------------------------------------------------------------------------
-// 7. Rate Limiting (Basit IP Tabanlı Hız Sınırlandırma - Redis Örneği)
+// 9. RBAC (Rol Bazlı Erişim Kontrolü - API İçin)
 // -------------------------------------------------------------------------
-// Kötü niyetli kişilerin veya botların API'nizi flood etmesini engeller.
-// Redis servisinizi aktif ettiyseniz bu bloğu kullanabilirsiniz.
-// Aşağıdaki örnekte, aynı IP adresinin 1 dakikada 60'tan fazla istek yapması engellenir.
-
-$ip = $_SERVER['REMOTE_ADDR'] ?? 'unknown';
-$rateKey = 'rate_limit:' . $ip;
-$limit = 60; // 1 dakikadaki maksimum istek sayısı
-$redis = \Src\Service\RedisService::getInstance();
-
-$currentCount = $redis->get($rateKey);
-if ($currentCount !== null && $currentCount >= $limit) {
-    http_response_code(429); // 429 Too Many Requests
-    echo json_encode(['status' => 'error', 'message' => 'Çok fazla istek gönderdiniz. Lütfen daha sonra tekrar deneyin.']);
-    exit;
-}
+// Belirli bir API işleminin (örn: ürün silme) sadece Admin veya yetkili 
+// roller tarafından yapılmasını sağlamak için.
+// API dosyanızın en tepesinde $allowedRoles = [1]; şeklinde tanımlayabilirsiniz.
 
-$redis->incr($rateKey);
-if ($currentCount === null) {
-    $redis->expire($rateKey, 60); // Sayacı 60 saniye sonra sıfırla
+if (isset($allowedRoles) && is_array($allowedRoles)) {
+    $userRole = $_SESSION['rol'] ?? 3; // Örn: 1=Admin, 2=Mod, 3=User
+    
+    if (!in_array($userRole, $allowedRoles)) {
+        http_response_code(403);
+        echo json_encode([
+            'status' => 'error',
+            'message' => 'Bu işlem için yeterli yetkiniz bulunmuyor.'
+        ]);
+        exit;
+    }
 }
 */

package/core-stubs/app/AuthControl.php

@@ -0,0 +1,39 @@
+<?php
+/**
+ * ArtiFrame Auth Engine (Guest Only)
+ *
+ * @package     ArtiFrame
+ * @author      Artilingo
+ * @license     AGPLv3 (Attribution-ShareAlike Required)
+ */
+
+require_once __DIR__ . '/../vendor/autoload.php';
+
+// 1. Ortam değişkenlerini yükle (.env)
+\App\DotEnv::load(__DIR__ . '/../.env');
+
+// 2. Uygulama sabitlerini yükle (APP_ENV, APP_VERSION)
+require_once __DIR__ . '/../config/app-version.php';
+
+// 3. Sadece View'a özgü metodları yükle
+require_once __DIR__ . '/../bin/ViewMethod.php';
+
+// 4. Oturum (Session) Başlatma
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
+// Beni Hatırla Kontrolü
+if (empty($_SESSION['kullaniciId']) && !empty($_COOKIE['remember_me'])) {
+    $rememberedIdHex = \Bin\SystemMethod::validateRememberMeCookie();
+    if ($rememberedIdHex) {
+        $_SESSION['kullaniciId'] = hex2bin($rememberedIdHex);
+    }
+}
+
+// 5. Ziyaretçi (Guest) Kontrolü
+// Kullanıcı zaten giriş yapmışsa Auth sayfalarına (kayıt, giriş) giremez, yönlendirilir.
+if (isset($_SESSION['kullaniciId']) || isset($_SESSION['kullanici_id'])) {
+    header("Location: /");
+    exit;
+}

package/core-stubs/app/Database.php

@@ -5,11 +5,6 @@
  * @package     ArtiFrame
  * @author      Artilingo
  * @license     AGPLv3 (Attribution-ShareAlike Required)
- * @link        https://artiframe.artilingo.com
- *
- * NOTICE: This file is part of the ArtiFrame ecosystem.
- * Any derivative works or patches MUST retain this original copyright notice
- * and remain open-source under the AGPLv3 license.
  */
 
 namespace App;
@@ -22,48 +17,54 @@ class Database
     private static ?PDO $instance = null;
 
     private function __construct() {}
+
     private function __clone() {}
 
     public static function getInstance(): PDO
     {
         if (self::$instance === null) {
-
-            // .env henüz yüklenmediyse tam ve temiz yoldan otomatik yükle
-            if (empty($_ENV['DB_HOST'])) {
-                // src/ katmanından bir üst klasöre (htdocs köküne) direkt geçiş:
-                $envPath = dirname(__DIR__) . '/.env';
-                DotEnv::load($envPath);
+            $host = $_ENV['DB_HOST'] ?? '127.0.0.1';
+            $name = $_ENV['DB_NAME'] ?? 'artiframe';
+            $user = $_ENV['DB_USER'] ?? 'root';
+            $pass = $_ENV['DB_PASSWORD'] ?? '';
+            $port = $_ENV['DB_PORT'] ?? 3306;
+            
+            // Eğer veritabanı adı veya kullanıcı boşsa, veritabanı henüz kurulmamış olabilir.
+            if (empty($name) || empty($user)) {
+                die("Veritabanı bağlantı bilgileri eksik. Lütfen .env dosyasını kontrol edin.");
             }
 
-            $host   = $_ENV['DB_HOST'] ?? 'localhost';
-            $dbname = $_ENV['DB_NAME'] ?? 'portfobase';
-            $user   = $_ENV['DB_USER'] ?? 'root';
-            $pass   = $_ENV['DB_PASS'] ?? '';
-
-            $dsn = sprintf("mysql:host=%s;dbname=%s;charset=utf8mb4", $host, $dbname);
-
-            $options = [
-                PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
-                PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
-                PDO::ATTR_EMULATE_PREPARES   => false,
-            ];
-
             try {
-                self::$instance = new PDO($dsn, $user, $pass, $options);
+                $dsn = "mysql:host={$host};port={$port};dbname={$name};charset=utf8mb4";
+                self::$instance = new PDO($dsn, $user, $pass, [
+                    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
+                    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
+                    PDO::ATTR_EMULATE_PREPARES   => false,
+                ]);
             } catch (PDOException $e) {
-                $isDev = (defined('APP_ENV') && APP_ENV == 1);
-
-                $msg = !$isDev
-                    ? 'Veritabanı bağlantı hatası. Sistem yöneticisi ile görüşün.'
-                    : 'Veritabanı Hatası (Dev Mod): ' . $e->getMessage();
-
-                header('Content-Type: application/json; charset=utf-8');
-                http_response_code(500);
-                echo json_encode(['success' => false, 'message' => $msg]);
-                exit;
+                die("Veritabanı bağlantı hatası: " . $e->getMessage());
             }
         }
 
         return self::$instance;
     }
+
+    /**
+     * Long-running worker'lar için veritabanı bağlantısının 
+     * düşüp düşmediğini kontrol eder, düşmüşse yeniden bağlanır.
+     */
+    public static function ping(): void
+    {
+        if (self::$instance !== null) {
+            try {
+                self::$instance->query('SELECT 1');
+            } catch (PDOException $e) {
+                $msg = strtolower($e->getMessage());
+                if (strpos($msg, 'gone away') !== false || strpos($msg, 'lost connection') !== false) {
+                    self::$instance = null;
+                    self::getInstance();
+                }
+            }
+        }
+    }
 }

package/core-stubs/app/DotEnv.php

@@ -21,7 +21,25 @@ class DotEnv
      */
     public static function load(string $path): void
     {
-        // 1. Yol içindeki ".." ve bağıl (relative) katmanları temizle
+        // 1. Önce Hızlı Cache Dosyası Var Mı Kontrol Et (Performans Modu)
+        $dir = dirname($path);
+        $cachePath = $dir . '/config/env-cache.php';
+        
+        if (file_exists($cachePath) && is_readable($cachePath)) {
+            $cachedEnv = require $cachePath;
+            if (is_array($cachedEnv)) {
+                foreach ($cachedEnv as $name => $value) {
+                    if (!array_key_exists($name, $_SERVER) && !array_key_exists($name, $_ENV)) {
+                        putenv(sprintf('%s=%s', $name, $value));
+                        $_ENV[$name] = $value;
+                        $_SERVER[$name] = $value;
+                    }
+                }
+                return; // Cache bulunduysa .env okumadan direkt dön!
+            }
+        }
+
+        // 2. Cache Yoksa Klasik Yavaş Dosya Okuma (Geliştirici Modu)
         $realPath = realpath($path);
         $targetPath = $realPath !== false ? $realPath : $path;
 

package/core-stubs/app/ViewControl.php

@@ -18,7 +18,53 @@ require_once __DIR__ . '/../config/app-version.php';
 // 3. Sadece View'a özgü metodları yükle
 require_once __DIR__ . '/../bin/ViewMethod.php';
 
-// 4. Oturum (Session) ve View Konfigürasyonları
+// 4. Oturum (Session) Başlatma
 if (session_status() === PHP_SESSION_NONE) {
     session_start();
 }
+
+// Beni Hatırla Kontrolü
+if (empty($_SESSION['kullaniciId']) && !empty($_COOKIE['remember_me'])) {
+    $rememberedIdHex = \Bin\SystemMethod::validateRememberMeCookie();
+    if ($rememberedIdHex) {
+        $_SESSION['kullaniciId'] = hex2bin($rememberedIdHex);
+    }
+}
+
+/*
+// -------------------------------------------------------------------------
+// 5. Auth Guard (Oturum Kalkanı)
+// -------------------------------------------------------------------------
+// Tüm sistemi varsayılan olarak "sadece giriş yapmış üyelere açık" hale 
+// getirmek isterseniz aşağıdaki bloğun yorumunu kaldırın. 
+// Dışarıya açık olmasını istediğiniz sayfaların (örn: landing.php) 
+// en tepesine define('ALLOW_PUBLIC_VIEW', true); ekleyerek kalkanı delebilirsiniz.
+
+if (!defined('ALLOW_PUBLIC_VIEW') || ALLOW_PUBLIC_VIEW !== true) {
+    if (empty($_SESSION['kullaniciId']) && empty($_SESSION['kullanici_id'])) {
+        header("Location: /auth/giris");
+        exit;
+    }
+}
+*/
+
+/*
+// -------------------------------------------------------------------------
+// 6. RBAC (Rol Bazlı Erişim Kontrolü) Örneği
+// -------------------------------------------------------------------------
+// Kullanıcıların yetkilerine göre sayfalara erişimini denetlemek isterseniz:
+// Varsayalım ki roller: 1 = Admin, 2 = Moderatör, 3 = Standart Kullanıcı
+
+// Bu sayfanın sadece belirli rollere açık olduğunu belirtmek için sayfanın 
+// en başına $allowedRoles = [1, 2]; tanımlayabilirsiniz.
+
+if (isset($allowedRoles) && is_array($allowedRoles)) {
+    $userRole = $_SESSION['rol'] ?? 3; // Session'da rol yoksa standart kabul et
+    
+    if (!in_array($userRole, $allowedRoles)) {
+        // Yetkisiz erişim! 403 sayfasına veya ana sayfaya yönlendir:
+        header("Location: /yetkisiz-erisim");
+        exit;
+    }
+}
+*/