@devoplus/one-sdk 0.0.0-stage → 0.2.0-next.112

package/bin/one.mjs

@@ -0,0 +1,341 @@
+#!/usr/bin/env node
+// `one` — Devoplus One yerel geliştirme komutu (D-72). Uygulama deposu çalışma ortamı aracını ve onun yapılandırma
+// dosyasını görmez: yapılandırma manifest'ten `.one/dev.jsonc`'a üretilir, araç arkada çalıştırılır.
+import { spawn } from 'node:child_process'
+import { chmodSync, mkdirSync, readFileSync, rmSync, writeFileSync } from 'node:fs'
+import { createRequire } from 'node:module'
+import { homedir } from 'node:os'
+import { dirname, join, resolve } from 'node:path'
+import process from 'node:process'
+import {
+  AccessRequestError,
+  KINDS,
+  buildAccessRequest,
+  describeAccessRequest,
+  describePortalContext,
+  getAccessRequest,
+  getPortalContext,
+  listMyAccessRequests,
+  parsePermissionOptions,
+  submitAccessRequest,
+} from './accessRequest.mjs'
+import { DataCommandError, runDataCommand } from './dataCommand.mjs'
+import {
+  AppOpsError,
+  COMMAND_ACTIONS,
+  ROLLBACK_WARNING,
+  checkSlug,
+  describeDeployment,
+  describeDeploymentResult,
+  describeInsights,
+  getInsights,
+  listDeployments,
+  parseOpsArgs,
+  requestDeployment,
+} from './appOps.mjs'
+import { DEV_CONFIG_FILE, DEV_DIR, OneCliError, USAGE, assertCommandFits, commandArgs, devConfig, readDevManifest } from './devConfig.mjs'
+import {
+  SessionError,
+  clientsFilePath,
+  deviceLogin,
+  ensureFresh,
+  registerCliClient,
+  resolveTarget,
+  revokeSession,
+  sessionFilePath,
+} from './session.mjs'
+
+function option(name) {
+  const i = process.argv.indexOf(`--${name}`)
+  return i >= 0 ? process.argv[i + 1] : undefined
+}
+
+/** Tekrar edilebilir seçeneğin bütün değerleri (`--permission a=b --permission c=d`). */
+function optionAll(name) {
+  const values = []
+  for (let i = 0; i < process.argv.length; i++) if (process.argv[i] === `--${name}` && i + 1 < process.argv.length) values.push(process.argv[i + 1])
+  return values
+}
+
+/** Çalışma ortamı aracı önce uygulamanın, sonra SDK'nın bağımlılıklarından çözülür. */
+function runtimeToolBin(appDir) {
+  for (const from of [join(appDir, 'package.json'), import.meta.url]) {
+    try {
+      const pkgPath = createRequire(from).resolve('wrangler/package.json')
+      const pkg = JSON.parse(readFileSync(pkgPath, 'utf8'))
+      const bin = typeof pkg.bin === 'string' ? pkg.bin : pkg.bin?.wrangler
+      if (bin) return join(dirname(pkgPath), bin)
+    } catch {
+      // sonraki konum
+    }
+  }
+  throw new OneCliError('Devoplus One çalışma ortamı bulunamadı; "pnpm install" çalıştırın.')
+}
+
+const SESSION_COMMANDS = ['login', 'logout', 'request', 'requests', 'context']
+/** Yayın ve kullanım panosu komutları (D-86 · D-87) — `one login` oturumuyla backend'e gider. */
+const OPS_COMMANDS = ['publish', 'promote', 'rollback', 'deployments', 'status']
+
+function sessionFile() {
+  return sessionFilePath(process.env, homedir())
+}
+
+function readSession() {
+  try {
+    return JSON.parse(readFileSync(sessionFile(), 'utf8'))
+  } catch {
+    return undefined
+  }
+}
+
+/** Oturum dosyası yalnız kullanıcının okuyabileceği izinle yazılır (dizin 0700, dosya 0600). */
+function writeSession(session) {
+  const file = sessionFile()
+  mkdirSync(dirname(file), { recursive: true, mode: 0o700 })
+  writeFileSync(file, JSON.stringify(session, null, 2) + '\n', { mode: 0o600 })
+  chmodSync(file, 0o600)
+}
+
+const sleep = (ms) => new Promise((done) => setTimeout(done, ms))
+
+function readClients() {
+  try {
+    return JSON.parse(readFileSync(clientsFilePath(process.env, homedir()), 'utf8'))
+  } catch {
+    return {}
+  }
+}
+
+function writeClients(clients) {
+  const file = clientsFilePath(process.env, homedir())
+  mkdirSync(dirname(file), { recursive: true, mode: 0o700 })
+  writeFileSync(file, JSON.stringify(clients, null, 2) + '\n', { mode: 0o600 })
+  chmodSync(file, 0o600)
+}
+
+/**
+ * İstemci kimliği verilmediyse (D-78 d) bu kimlik sağlayıcı için daha önce kaydedilmiş olanı kullanır, yoksa dinamik
+ * kayıtla yenisini alıp saklar. `fresh: true` saklananı yok sayar (kayıt silinmiş/geçersizse bir kez yenilenir).
+ */
+async function ensureClientId(target, { fresh = false } = {}) {
+  if (target.clientId) return { clientId: target.clientId, registered: false }
+  const clients = readClients()
+  if (!fresh && typeof clients[target.issuer] === 'string') return { clientId: clients[target.issuer], registered: false }
+  const clientId = await registerCliClient(target.issuer, { fetch })
+  writeClients({ ...clients, [target.issuer]: clientId })
+  return { clientId, registered: true }
+}
+
+async function freshSession() {
+  const { session, changed } = await ensureFresh(readSession(), { fetch })
+  if (changed) writeSession(session)
+  return session
+}
+
+/** Uygulamanın kısa adı: önce --app, sonra bu dizindeki one.manifest.json. */
+function appSlugFromContext(explicit = option('app')) {
+  if (explicit) return explicit
+  try {
+    return readDevManifest(readFileSync(join(process.cwd(), 'one.manifest.json'), 'utf8')).slug
+  } catch {
+    return undefined
+  }
+}
+
+async function sessionCommand(command) {
+  if (command === 'login') {
+    const explicit = resolveTarget(
+      { env: option('env'), clientId: option('client-id'), issuer: option('auth'), apiBase: option('api-base') },
+      process.env,
+    )
+    const io = {
+      fetch,
+      sleep,
+      scope: option('scope'),
+      onPrompt: ({ verificationUri, verificationUriComplete, userCode, expiresIn }) => {
+        console.log(`Tarayıcıda şu adresi açın: ${verificationUriComplete ?? verificationUri}`)
+        console.log(`Kodu girin: ${userCode}   (${Math.round(expiresIn / 60)} dakika geçerli)`)
+        console.log('Giriş ve portal seçimi tarayıcıda tamamlanınca burası kendiliğinden devam eder...')
+      },
+    }
+    let client = await ensureClientId(explicit)
+    let session
+    try {
+      session = await deviceLogin({ ...explicit, clientId: client.clientId }, io)
+    } catch (err) {
+      // Saklanan kayıt kimlik sağlayıcıda artık yoksa bir kez yeniden kaydolunur; açıkça verilen kimlik değiştirilmez.
+      if (!(err instanceof SessionError) || err.code !== 'invalid_client' || explicit.clientId || client.registered) throw err
+      client = await ensureClientId(explicit, { fresh: true })
+      session = await deviceLogin({ ...explicit, clientId: client.clientId }, io)
+    }
+    writeSession(session)
+    console.log(`Giriş tamamlandı (${session.env}). Oturum: ${sessionFile()}`)
+    return 0
+  }
+  if (command === 'logout') {
+    const session = readSession()
+    if (session) await revokeSession(session, { fetch })
+    rmSync(sessionFile(), { force: true })
+    console.log('Bu bilgisayardaki oturum silindi.')
+    return 0
+  }
+  if (command === 'requests') {
+    const session = await freshSession()
+    const options = { apiBase: session.apiBase, accessToken: session.accessToken }
+    const id = process.argv[3]
+    const rows = id && !id.startsWith('--') ? [await getAccessRequest(options, id)] : await listMyAccessRequests(options)
+    if (process.argv.includes('--json')) console.log(JSON.stringify(rows, null, 2))
+    else if (rows.length === 0) console.log('Talebiniz yok.')
+    else for (const row of rows) console.log(describeAccessRequest(row))
+    return 0
+  }
+  if (command === 'context') {
+    const session = await freshSession()
+    const context = await getPortalContext({ apiBase: session.apiBase, accessToken: session.accessToken })
+    console.log(process.argv.includes('--json') ? JSON.stringify(context, null, 2) : describePortalContext(context))
+    return 0
+  }
+  // request
+  const kind = process.argv[3]
+  if (!kind || kind.startsWith('--')) {
+    console.log(REQUEST_USAGE)
+    return kind ? 1 : 0
+  }
+  const sqlFile = option('sql-file')
+  const body = buildAccessRequest(kind, {
+    appSlug: appSlugFromContext(),
+    justification: option('reason'),
+    titleTr: option('title'),
+    titleEn: option('title-en'),
+    additionalPermissions: parsePermissionOptions(optionAll('permission'), optionAll('permission-en')),
+    portalKey: option('portal'),
+    queryKey: option('query'),
+    permissionCode: option('code'),
+    permissionNameTr: option('name'),
+    permissionNameEn: option('name-en'),
+    userGroupId: option('group'),
+    scope: option('scope'),
+    description: option('description'),
+    draftSql: sqlFile ? readFileSync(resolve(process.cwd(), sqlFile), 'utf8') : undefined,
+  })
+  const session = await freshSession()
+  const row = await submitAccessRequest({ apiBase: session.apiBase, accessToken: session.accessToken }, body)
+  if (process.argv.includes('--json')) console.log(JSON.stringify(row, null, 2))
+  else {
+    console.log('Talebiniz gönderildi; yönetici onaylayınca e-postayla bildirilir.')
+    console.log(describeAccessRequest(row))
+    console.log(`Durumu: one requests ${row.id}`)
+  }
+  return 0
+}
+
+/**
+ * `one publish|promote|rollback|deployments|status` (D-86 · D-87). Argümanlar ağa çıkmadan denetlenir; geri alma
+ * `--yes` olmadan hiçbir istek göndermez (veri kaybı olabilir).
+ */
+async function opsCommand(command) {
+  const args = parseOpsArgs(command, process.argv.slice(3))
+  const found = appSlugFromContext(args.app)
+  if (!found) throw new AppOpsError('Uygulamanın kısa adı bulunamadı: komutu uygulamanın kök dizininde çalıştırın ya da --app verin.')
+  // Oturuma ve ağa dokunmadan önce: kısa ad adrese girer.
+  const slug = checkSlug(found)
+  if (command === 'rollback' && !args.yes) {
+    console.error(ROLLBACK_WARNING)
+    console.error(`Onaylıyorsanız komutu --yes ile yeniden çalıştırın: one rollback${args.portalKey ? ` --portal ${args.portalKey}` : ''}${args.toVersion ? ` --to ${args.toVersion}` : ''} --yes`)
+    return 1
+  }
+  const session = await freshSession()
+  const options = { apiBase: session.apiBase, accessToken: session.accessToken }
+  if (command === 'deployments') {
+    const rows = await listDeployments(options, slug, args.portalKey)
+    if (args.json) console.log(JSON.stringify(rows, null, 2))
+    else if (!Array.isArray(rows) || rows.length === 0) console.log('Yayın isteği yok.')
+    else for (const row of rows) console.log(describeDeployment(row))
+    return 0
+  }
+  if (command === 'status') {
+    const insights = await getInsights(options, slug, { portalKey: args.portalKey, days: args.days })
+    console.log(args.json ? JSON.stringify(insights, null, 2) : describeInsights(insights))
+    return 0
+  }
+  const action = COMMAND_ACTIONS[command]
+  const result = await requestDeployment(options, slug, { action, portalKey: args.portalKey, toVersion: args.toVersion })
+  if (args.json) console.log(JSON.stringify(result, null, 2))
+  else console.log(describeDeploymentResult(result, { action, slug, portalKey: args.portalKey }))
+  return 0
+}
+
+const REQUEST_USAGE = `kullanım: one request <tür> [seçenekler]
+
+  Türler:
+${Object.entries(KINDS)
+  .map(([name, kind]) => `    ${name.padEnd(15)} ${kind.label}${kind.audience === 'platform' ? ' (platform yöneticisine)' : ''}`)
+  .join('\n')}
+
+  Ortak:      --app <kısa ad> (varsayılan: one.manifest.json dosyasındaki app.slug), --reason "<gerekçe>", --json
+  registration    --title "<Türkçe ad>" [--title-en "<İngilizce ad>"]
+                  [--permission <One.Uygulama.Eylem>="<Türkçe ad>"]... [--permission-en <One.Uygulama.Eylem>="<İngilizce ad>"]...
+                  (uygulama içi izinler kayıtla birlikte istenir, en çok 16; sonradan eklemek platform yöneticisini ister)
+  installation    (portal anahtarını sunucu portalın adından belirler, elle seçilemez; --portal yok sayılır;
+                  portalın adı ve var olan anahtarı: one context)
+  dexa-query      --query <sorgu anahtarı>
+  dexa-command    --query <işlem anahtarı>
+  app-permission  --code <One.Uygulama.Eylem> [--name "<Türkçe ad>"] [--name-en "<İngilizce ad>"] [--group <grup kimliği>]
+                  (kod uygulamanın kaydında tanımlı olmalı; değilse talep reddedilir)
+  scope           --scope <modül.read|write|manage|execute> ya da ai.use
+  new-query       --description "<ihtiyaç>" [--sql-file <taslak.sql>]   (taslak hiçbir yerde ÇALIŞTIRILMAZ)
+
+Talep yalnız uygulamanın sahibi tarafından gönderilir (kayıt talebi hariç); portal ve kimlik oturumdan gelir.
+Kayıt, kurulum, sorgu ve izin taleplerini portalın şirket yöneticisi, yetki alanı taleplerini platform yöneticisi onaylar.`
+
+function main() {
+  const command = process.argv[2]
+  if (!command || command === '--help' || command === '-h') {
+    console.log(USAGE)
+    return 0
+  }
+  if (SESSION_COMMANDS.includes(command)) return sessionCommand(command)
+  if (command === 'data') return runDataCommand({ cwd: process.cwd(), args: process.argv.slice(3) })
+  if (OPS_COMMANDS.includes(command)) return opsCommand(command)
+  const appDir = process.cwd()
+  let raw
+  try {
+    raw = readFileSync(join(appDir, 'one.manifest.json'), 'utf8')
+  } catch {
+    throw new OneCliError('Bu dizinde one.manifest.json yok; komutu uygulamanın kök dizininde çalıştırın.')
+  }
+  const manifest = readDevManifest(raw)
+  assertCommandFits(command, manifest)
+  const args = commandArgs(command, { port: option('port'), outDir: resolve(appDir, DEV_DIR, 'dist') })
+  const config = devConfig(manifest, { apiBase: option('api-base') ?? process.env.ONE_API_BASE })
+  mkdirSync(resolve(appDir, DEV_DIR), { recursive: true })
+  writeFileSync(
+    resolve(appDir, DEV_DIR, DEV_CONFIG_FILE),
+    '// one tarafından üretilir; elle düzenlemeyin, her komutta one.manifest.json\'dan yeniden yazılır.\n' +
+      JSON.stringify(config, null, 2) +
+      '\n',
+  )
+  const child = spawn(process.execPath, [runtimeToolBin(appDir), ...args], {
+    cwd: appDir,
+    stdio: 'inherit',
+    env: { ...process.env, WRANGLER_SEND_METRICS: 'false' },
+  })
+  child.on('exit', (code, signal) => process.exit(signal ? 1 : (code ?? 1)))
+  return undefined
+}
+
+function fail(err) {
+  if (err instanceof OneCliError || err instanceof SessionError || err instanceof AccessRequestError || err instanceof DataCommandError || err instanceof AppOpsError) {
+    console.error(`one: ${err.message}`)
+    process.exit(1)
+  }
+  throw err
+}
+
+try {
+  const code = main()
+  if (code instanceof Promise) code.then((c) => process.exit(c), fail)
+  else if (code !== undefined) process.exit(code)
+} catch (err) {
+  fail(err)
+}

package/bin/session.mjs

@@ -0,0 +1,239 @@
+// `one login` oturumu (D-75): tarayıcısız giriş (cihaz kodu, RFC 8628) + belirteç yenileme + yerel saklama.
+//
+// Ağ ve dosya sistemi ÇAĞIRANDAN gelir (`fetch`, `sleep`, `now`) → testlenir (session.test.ts). Komutların kendisi
+// one.mjs'tedir.
+//
+// ⛔ Belirteç yalnız kullanıcının kendi makinesinde, yalnız kullanıcının okuyabildiği dosyada (0600) durur ve yalnız
+// kimlik sağlayıcıya ve Devoplus API'ye gider. Ekrana, günlüğe ya da hata metnine YAZILMAZ.
+
+/** `https://…/` ya da yerel `http://localhost|127.0.0.1[:port]/…/` — belirteç taşıyan her taban bu kuralla denetlenir. */
+export function isSecureBase(base) {
+  return (
+    /^https:\/\/[^\s/]+(\/[^\s]*)?\/$/.test(base ?? '') ||
+    /^http:\/\/(localhost|127\.0\.0\.1)(:\d+)?\/([^\s]*\/)?$/.test(base ?? '')
+  )
+}
+
+export class SessionError extends Error {
+  /** Kimlik sağlayıcının OAuth hata kodu (`invalid_client` …), varsa. */
+  constructor(message, code) {
+    super(message)
+    this.code = code
+  }
+}
+
+/**
+ * Ortamlar — kimlik sağlayıcı ve API adresleri (workspace "Alan adları" tablosu). Komut satırı istemcisinin kimliği
+ * sabit DEĞİLDİR (D-78 d): `--client-id` / `ONE_CLIENT_ID` verilmezse `one login` kimlik sağlayıcıya dinamik kayıtla
+ * (RFC 7591) kendini kaydeder ve kimliği bu bilgisayarda saklar.
+ */
+export const ENVIRONMENTS = {
+  test: { issuer: 'https://test-auth.devoplus.dev', apiBase: 'https://test-api.devoplus.dev/' },
+  uat: { issuer: 'https://uat-auth.devoplus.dev', apiBase: 'https://uat-api.devoplus.dev/' },
+  prod: { issuer: 'https://auth.devoplus.com.tr', apiBase: 'https://api.devoplus.com.tr/' },
+}
+
+export const DEFAULT_ENVIRONMENT = 'test'
+/**
+ * Dar ajan kapsamı (D-78 d): dinamik kaydın kendiliğinden etkin olmasının koşulu bu kümenin alt kümesi + `onedev.write`.
+ * Belirteç backend'de yalnız erişim talebi uçlarına ve uygulamanın yayın/pano uçlarına (D-86 · D-87, C5) geçer; portal verisine erişmez.
+ */
+export const AGENT_SCOPE = 'openid profile email offline_access onedev.write'
+export const DEFAULT_SCOPE = AGENT_SCOPE
+export const CLI_CLIENT_NAME = 'Devoplus One komut satırı'
+const DEVICE_GRANT = 'urn:ietf:params:oauth:grant-type:device_code'
+/** Süresi dolmadan bu kadar saniye önce yenilenir (istek yoldayken dolmasın). */
+const REFRESH_MARGIN_SECONDS = 60
+
+/**
+ * Ortamı ve istemci kimliğini çözer. Öncelik: komut satırı → ortam değişkeni → ortam tablosu.
+ * @param {{ env?: string, clientId?: string, issuer?: string, apiBase?: string }} options
+ * @param {Record<string, string | undefined>} vars `process.env`
+ */
+export function resolveTarget(options = {}, vars = {}) {
+  const name = options.env ?? vars.ONE_ENV ?? DEFAULT_ENVIRONMENT
+  const preset = ENVIRONMENTS[name]
+  if (!preset) throw new SessionError(`ortam tanınmadı: ${name} (${Object.keys(ENVIRONMENTS).join(', ')})`)
+  const issuer = (options.issuer ?? vars.ONE_AUTH_ISSUER ?? preset.issuer).replace(/\/+$/, '')
+  const apiBase = options.apiBase ?? vars.ONE_API_BASE ?? preset.apiBase
+  const clientId = options.clientId ?? vars.ONE_CLIENT_ID ?? undefined
+  if (!/^https:\/\/[^\s/]+$/.test(issuer) && !/^http:\/\/(localhost|127\.0\.0\.1)(:\d+)?$/.test(issuer))
+    throw new SessionError(`kimlik sağlayıcı adresi "https://..." biçiminde olmalı: ${issuer}`)
+  // Belirteç bu adrese gider: düz http yalnız yerel geliştirme adresinde kabul edilir (RFC 6750 §5.3).
+  if (!isSecureBase(apiBase)) throw new SessionError(`API tabanı "https://.../" biçiminde ve "/" ile bitmeli (http yalnız localhost): ${apiBase}`)
+  return { env: name, issuer, apiBase, clientId: clientId || undefined }
+}
+
+async function postForm(fetchImpl, url, form) {
+  let response
+  try {
+    response = await fetchImpl(url, {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/x-www-form-urlencoded', Accept: 'application/json' },
+      body: new URLSearchParams(form).toString(),
+    })
+  } catch {
+    throw new SessionError(`kimlik sağlayıcıya ulaşılamadı: ${new URL(url).origin}`)
+  }
+  let body = {}
+  try {
+    body = await response.json()
+  } catch {
+    // gövdesiz yanıt
+  }
+  return { status: response.status, ok: response.ok, body }
+}
+
+function tokenSession(target, body, now) {
+  if (typeof body.access_token !== 'string' || !body.access_token)
+    throw new SessionError('kimlik sağlayıcı erişim belirteci döndürmedi.')
+  const expiresIn = Number.isFinite(body.expires_in) ? body.expires_in : 0
+  return {
+    env: target.env,
+    issuer: target.issuer,
+    apiBase: target.apiBase,
+    clientId: target.clientId,
+    accessToken: body.access_token,
+    refreshToken: typeof body.refresh_token === 'string' ? body.refresh_token : undefined,
+    expiresAt: Math.floor(now() / 1000) + expiresIn,
+  }
+}
+
+/**
+ * Komut satırı istemcisini kimlik sağlayıcıya dinamik kayıtla (RFC 7591) kaydeder ve `client_id` döndürür.
+ * Public istemcidir (sır yok); yalnız cihaz kodu + yenileme grant'ı ve dar ajan kapsamını ister (D-78 d).
+ */
+export async function registerCliClient(issuer, io) {
+  let response
+  try {
+    response = await io.fetch(`${issuer}/register`, {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json', Accept: 'application/json' },
+      body: JSON.stringify({
+        client_name: CLI_CLIENT_NAME,
+        grant_types: [DEVICE_GRANT, 'refresh_token'],
+        token_endpoint_auth_method: 'none',
+        scope: AGENT_SCOPE,
+      }),
+    })
+  } catch {
+    throw new SessionError(`kimlik sağlayıcıya ulaşılamadı: ${new URL(issuer).origin}`)
+  }
+  let body = {}
+  try {
+    body = await response.json()
+  } catch {
+    // gövdesiz yanıt
+  }
+  if (!response.ok || typeof body.client_id !== 'string' || !body.client_id)
+    throw new SessionError(oauthMessage(body, 'komut satırı istemcisi kaydedilemedi'), body?.error)
+  return body.client_id
+}
+
+/**
+ * Cihaz kodu girişi. `onPrompt` kullanıcıya adresi ve kodu gösterir; ardından onay beklenir.
+ * @param {ReturnType<typeof resolveTarget>} target
+ * @param {{ fetch: typeof fetch, sleep: (ms: number) => Promise<void>, now?: () => number,
+ *           onPrompt: (p: { verificationUri: string, verificationUriComplete?: string, userCode: string, expiresIn: number }) => void,
+ *           scope?: string }} io
+ */
+export async function deviceLogin(target, io) {
+  const now = io.now ?? Date.now
+  const start = await postForm(io.fetch, `${target.issuer}/device_authorization`, {
+    client_id: target.clientId,
+    scope: io.scope ?? DEFAULT_SCOPE,
+  })
+  if (!start.ok) throw new SessionError(oauthMessage(start.body, 'giriş başlatılamadı'), start.body?.error)
+  const { device_code: deviceCode, user_code: userCode, verification_uri: verificationUri } = start.body
+  if (typeof deviceCode !== 'string' || typeof userCode !== 'string' || typeof verificationUri !== 'string')
+    throw new SessionError('kimlik sağlayıcının cihaz kodu yanıtı eksik.')
+  const expiresIn = Number(start.body.expires_in) || 900
+  let interval = Math.max(Number(start.body.interval) || 5, 1)
+  io.onPrompt({
+    verificationUri,
+    verificationUriComplete:
+      typeof start.body.verification_uri_complete === 'string' ? start.body.verification_uri_complete : undefined,
+    userCode,
+    expiresIn,
+  })
+
+  const deadline = now() + expiresIn * 1000
+  while (now() < deadline) {
+    await io.sleep(interval * 1000)
+    const poll = await postForm(io.fetch, `${target.issuer}/token`, {
+      grant_type: DEVICE_GRANT,
+      device_code: deviceCode,
+      client_id: target.clientId,
+    })
+    if (poll.ok) return tokenSession(target, poll.body, now)
+    const error = poll.body?.error
+    if (error === 'authorization_pending') continue
+    if (error === 'slow_down') {
+      interval += 5
+      continue
+    }
+    if (error === 'access_denied') throw new SessionError('giriş tarayıcıda reddedildi.')
+    if (error === 'expired_token') break
+    throw new SessionError(oauthMessage(poll.body, 'giriş tamamlanamadı'))
+  }
+  throw new SessionError('giriş kodunun süresi doldu; "one login" komutunu yeniden çalıştırın.')
+}
+
+/**
+ * Geçerli bir erişim belirteci döndürür; süresi dolmak üzereyse yenileme belirteciyle yeniler. Yenilenemezse
+ * `SessionError` (yeniden giriş gerekir). Dönüşte `changed: true` ise çağıran yeni oturumu kaydeder (yenileme
+ * belirteci her kullanımda değişir — eskisi bir daha kabul edilmez).
+ */
+export async function ensureFresh(session, io) {
+  const now = io.now ?? Date.now
+  if (!session?.accessToken) throw new SessionError('oturum yok; önce "one login" çalıştırın.')
+  if (session.expiresAt - REFRESH_MARGIN_SECONDS > Math.floor(now() / 1000)) return { session, changed: false }
+  if (!session.refreshToken) throw new SessionError('oturumun süresi doldu; "one login" ile yeniden giriş yapın.')
+  const result = await postForm(io.fetch, `${session.issuer}/token`, {
+    grant_type: 'refresh_token',
+    refresh_token: session.refreshToken,
+    client_id: session.clientId,
+  })
+  if (!result.ok) throw new SessionError('oturum yenilenemedi; "one login" ile yeniden giriş yapın.')
+  const next = tokenSession(session, result.body, now)
+  // Yanıt yeni yenileme belirteci taşımıyorsa eskisi korunur (RFC 6749 §6: sunucu yenisini vermeyebilir).
+  // Döndürme açık sağlayıcıda yanıt her zaman yenisini taşır; o zaman eskisi zaten geçersizdir ve kullanılmaz.
+  if (next.refreshToken === undefined && session.refreshToken) next.refreshToken = session.refreshToken
+  return { session: next, changed: true }
+}
+
+/** Yenileme belirtecini kimlik sağlayıcıda iptal eder (RFC 7009). Başarısızlık sessizdir — yerel kayıt yine silinir. */
+export async function revokeSession(session, io) {
+  if (!session?.refreshToken) return false
+  try {
+    const result = await postForm(io.fetch, `${session.issuer}/revoke`, {
+      token: session.refreshToken,
+      token_type_hint: 'refresh_token',
+      client_id: session.clientId,
+    })
+    return result.ok
+  } catch {
+    return false
+  }
+}
+
+function oauthMessage(body, prefix) {
+  const description = typeof body?.error_description === 'string' ? body.error_description : undefined
+  const code = typeof body?.error === 'string' ? body.error : undefined
+  return description ? `${prefix}: ${description}` : code ? `${prefix} (${code})` : prefix
+}
+
+function configDir(vars, home) {
+  const base = vars.XDG_CONFIG_HOME && vars.XDG_CONFIG_HOME.trim() ? vars.XDG_CONFIG_HOME : `${home}/.config`
+  return `${base.replace(/\/+$/, '')}/devoplus-one`
+}
+
+/** Oturum dosyasının yolu: `$XDG_CONFIG_HOME/devoplus-one/session.json`, yoksa `~/.config/devoplus-one/session.json`. */
+export function sessionFilePath(vars, home) {
+  return `${configDir(vars, home)}/session.json`
+}
+
+/** Dinamik kayıtla alınmış istemci kimlikleri (kimlik sağlayıcı adresi → `client_id`); oturumdan ayrı, çıkışta silinmez. */
+export function clientsFilePath(vars, home) {
+  return `${configDir(vars, home)}/clients.json`
+}

package/dist/agentInput.d.ts

@@ -0,0 +1,9 @@
+export declare const AGENT_INPUT_KEYWORDS: readonly ['type', 'properties', 'required', 'enum', 'minimum', 'maximum', 'minLength', 'maxLength', 'items', 'description'];
+/** Bir alan hatası: `path` girdi içindeki yol (`limit`, `tags.2`); kök için `(kök)`. */
+export interface AgentInputError {
+    path: string;
+    message: string;
+}
+/** Girdiyi şemaya göre denetler; boş dizi = geçerli. */
+export declare function validateAgentInput(schema: unknown, input: unknown): AgentInputError[];
+//# sourceMappingURL=agentInput.d.ts.map

package/dist/agentInput.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"agentInput.d.ts","sourceRoot":"","sources":["../src/agentInput.ts"],"names":[],"mappings":"AAWA,eAAO,MAAM,oBAAoB,YAAI,MAAM,EAAE,YAAY,EAAE,UAAU,EAAE,MAAM,EAAE,SAAS,EAAE,SAAS,EAAE,WAAW,EAAE,WAAW,EAAE,OAAO,EAAE,aAAa,CAAU,CAAA;AAE/J,wFAAwF;AACxF,MAAM,WAAW,eAAe;IAC9B,IAAI,EAAE,MAAM,CAAA;IACZ,OAAO,EAAE,MAAM,CAAA;CAChB;AAoBD,wDAAwD;AACxD,wBAAgB,kBAAkB,CAAC,MAAM,EAAE,OAAO,EAAE,KAAK,EAAE,OAAO,GAAG,eAAe,EAAE,CAIrF"}