jskelet 0.1.1 → 0.1.3

package/src/server/router.js

@@ -14,16 +14,21 @@
  *
  * Modül sözleşmesi: default export ya da `register` adlı named export,
  * `(app, api) => void | Promise<void>` imzasıyla. `api` içinde `route`,
- * `renderView`, `renderPage` ve `notFound`/`redirect` hazır gelir, böylece
- * route dosyaları framework'ten tek tek import yapmak zorunda kalmaz.
+ * `fragment`, `renderView`, `renderPage` ve `notFound`/`redirect` hazır gelir,
+ * böylece route dosyaları framework'ten tek tek import yapmak zorunda kalmaz.
  */
 import fs from "node:fs";
 import path from "node:path";
 import process from "node:process";
 import { pathToFileURL } from "node:url";
 import { getConfig } from "../config/index.js";
-import { renderPage, renderView, route } from "./render.js";
-import { notFound, permanentRedirect, redirect } from "../http/control-flow.js";
+import { fragment, renderPage, renderView, route } from "./render.js";
+import {
+  notFound,
+  permanentRedirect,
+  redirect,
+  seeOther,
+} from "../http/control-flow.js";
 
 const isDev = process.env.NODE_ENV === "development";
 
@@ -61,11 +66,13 @@ function discover(dir, out = []) {
  */
 const api = {
   route,
+  fragment,
   renderView,
   renderPage,
   notFound,
   redirect,
   permanentRedirect,
+  seeOther,
 };
 
 /**
@@ -81,7 +88,7 @@ export async function registerRoutes(app) {
 
   if (!files.length) {
     console.warn(
-      `[router] hiç route modülü bulunamadı — ${path.relative(config.root, config.dirs.routes)}/ boş mu?`,
+      `[router] no route modules found — is ${path.relative(config.root, config.dirs.routes)}/ empty?`,
     );
     return 0;
   }
@@ -99,7 +106,7 @@ export async function registerRoutes(app) {
       // et. Üretimde fırlat — yarım route tablosuyla yayına çıkmak,
       // sessizce 404 dönen sayfalar demek.
       if (isDev) {
-        console.warn(`[router] ${path.basename(file)} yüklenemedi, atlandı`, error);
+        console.warn(`[router] ${path.basename(file)} failed to load, skipped`, error);
         continue;
       }
       throw error;
@@ -108,7 +115,7 @@ export async function registerRoutes(app) {
     const register = module.default ?? module.register;
     if (typeof register !== "function") {
       console.warn(
-        `[router] ${path.basename(file)} default ya da 'register' fonksiyonu dışa açmıyor, atlandı`,
+        `[router] ${path.basename(file)} exports neither a default nor a 'register' function, skipped`,
       );
       continue;
     }

package/src/server/status-page.js

@@ -41,7 +41,7 @@ export async function renderStatusPage(status, options = {}) {
     const { renderPage } = await import("./render.js");
     return await renderPage({ pathname: `/${status}`, ...page });
   } catch (error) {
-    console.error(`[render] ${status} sayfası render edilemedi`, error);
+    console.error(`[render] failed to render the ${status} page`, error);
     return fallbackPage(status);
   }
 }

package/src/version.mjs

@@ -6,12 +6,17 @@ import fs from "node:fs";
 import path from "node:path";
 import { FRAMEWORK_ROOT } from "./config/index.js";
 
-/** @type {string} */
-export const FRAMEWORK_VERSION = (() => {
+const manifest = (() => {
   try {
     const file = path.join(FRAMEWORK_ROOT, "package.json");
-    return JSON.parse(fs.readFileSync(file, "utf8")).version ?? "0.0.0";
+    return JSON.parse(fs.readFileSync(file, "utf8"));
   } catch {
-    return "0.0.0";
+    return {};
   }
 })();
+
+/** @type {string} */
+export const FRAMEWORK_VERSION = manifest.version ?? "0.0.0";
+
+/** Paket adı: sürüm kontrolü hangi kayıt defteri girdisine bakacağını buradan bilir. */
+export const FRAMEWORK_PACKAGE = manifest.name ?? "jskelet";

package/src/views/components/loader.js

@@ -72,7 +72,7 @@ export async function loadComponents(dir) {
       const previous = origin.get(name);
       if (previous && previous !== BARREL && previous !== relative) {
         console.warn(
-          `[components] '${name}' iki kez tanımlı: ${previous} ve ${relative} — ikincisi kazanıyor.`,
+          `[components] '${name}' is defined twice: ${previous} and ${relative} — the second one wins.`,
         );
       }
 

package/src/views/helpers/tags.js

@@ -4,6 +4,9 @@
  */
 import { attrs, esc, cn } from "./html.js";
 import { asset, getSpriteIds, optimizedImage } from "../../server/assets.js";
+import { getRequestContext, markTainted } from "../../http/request-context.js";
+import { getSignedCookie, randomToken, setSignedCookie } from "../../http/cookies.js";
+import { getConfig } from "../../config/index.js";
 
 const isDev = process.env.NODE_ENV === "development";
 
@@ -160,7 +163,7 @@ export function icon(props) {
     if (ids.size && !ids.has(id)) {
       warnedIcons.add(id);
       console.warn(
-        `[icon] sprite'ta yok: ${id} — adı sabit yazın ya da build/tasks/icons.mjs taramasına ekleyin.`,
+        `[icon] missing from sprite: ${id} — write the name as a literal or add it to the build/tasks/icons.mjs scan.`,
       );
     }
   }
@@ -179,6 +182,55 @@ export function icon(props) {
   return `<svg${attributes}><use href="${esc(spritePath)}#${esc(id)}"></use></svg>`;
 }
 
+/**
+ * Formun içine CSRF token'ını gizli alan olarak basar.
+ *
+ * Token **burada** üretilir ve imzalı cookie olarak yazılır: bir sayfada
+ * token gerçekten gerekiyorsa o sayfa zaten kişiye özeldir. Bu yüzden çağrı
+ * render'ı işaretler (`tainted`) ve sayfa public HTML cache'ine giremez —
+ * aksi hâlde tüm ziyaretçiler cache'ten aynı token'ı alırdı ve çift gönderim
+ * kontrolü hiçbir şey doğrulamazdı.
+ *
+ * `security.csrf.token` kapalıysa boş string döner; şablon her koşulda
+ * render edilebilmeli, korumanın açık olması config'in kararı.
+ *
+ * @returns {string}
+ */
+export function csrfField() {
+  const context = getRequestContext();
+  if (!context?.res) return "";
+
+  const { csrf } = getConfig().security;
+  if (!csrf.token) return "";
+
+  if (!context.csrfToken) {
+    const existing = getSignedCookie(context.res.req, csrf.cookieName);
+    const token = existing ?? randomToken(24);
+
+    if (!existing) {
+      try {
+        setSignedCookie(context.res, csrf.cookieName, token, {
+          // Token'ı istemci cookie'den değil, basılan gizli alandan okur;
+          // HttpOnly kalması XSS durumunda bir katman daha demek.
+          httpOnly: true,
+        });
+      } catch (error) {
+        console.warn(
+          "[csrf] could not emit the token: no secret for signed cookies",
+          error instanceof Error ? error.message : error,
+        );
+        return "";
+      }
+    }
+
+    context.csrfToken = token;
+  }
+
+  markTainted("csrfField()");
+
+  return `<input type="hidden" name="${esc(csrf.fieldName)}" value="${esc(context.csrfToken)}">`;
+}
+
 /**
  * `ArrowRightIcon` / `ArrowRight` → `arrow-right`
  * @param {string} name