jskelet 0.5.5 → 0.6.0

package/AGENTS.md

@@ -1,8 +1,11 @@
 # AGENTS.md
 
-Bu depo **JSkelet** framework'ünün kaynağıdır: Express 5 + EJS sunucu render,
-vanilla JS island'lar, Tailwind v4 ve süreç belleğinde yaşayan HTML TTL cache.
-React ve TypeScript yok; düz JavaScript + JSDoc.
+Bu depo **JSkelet** framework'ünün kaynağıdır: Express 5 + build-time `.jsk`
+sunucu render (EJS opsiyonel legacy peer), vanilla JS island'lar, Tailwind v4
+ve süreç belleğinde yaşayan HTML TTL cache. React yok; framework kaynağı düz
+JavaScript + JSDoc. Uygulama client island/entry'leri `.ts` olabilir; paket
+`types/` altında `.d.ts` yayınlar. Sunucu route/hook/config hâlâ Node ESM
+`.js`/`.mjs`.
 
 Bir JSkelet **uygulamasında** çalışıyorsan (framework'ün kendisinde değil), aynı
 kuralların uygulama tarafı karşılıkları için [docs/](./docs/README.md) yeterli;
@@ -96,16 +99,18 @@ parçalar ayrı ve `no-store` işaretli fragment uçlarında.
   yalnızca `exports` haritasındaki belirteçler kullanılır (`jskelet`,
   `jskelet/client`, `jskelet/html`, `jskelet/tags`).
 
-## EJS tuzakları
-
-- `include` **async**'tir: `await include('partials/x')` yalnızca şablonun kendi
-  gövdesinde çalışır. Bir `forEach` callback'i içinde derleme hatası verir —
-  `for` döngüsü kullan.
-- `views/components/**` altındaki her named export otomatik olarak şablon local'i
-  olur; import gerekmez. Bileşenler EJS değil, HTML string döndüren
-  fonksiyonlardır.
-- Şablona giden her kullanıcı verisi `<%= %>` ile ya da `esc()` üzerinden
-  geçmeli; `<%- %>` yalnızca güvenli bildiğin HTML için.
+## `.jsk` tuzakları
+
+- İfade dilinde fonksiyon çağrısı, object/array literal ve atama yok — mantık
+  controller veya `views/components/*.js` içinde kalır. Layout’ta `asset()` /
+  `hasAsset()` için yerleşik `<Stylesheets />` / `<BodyScripts />` /
+  `<JsonLd />` kullan.
+- `{#include "partials/x"}` aynı `data` nesnesini geçer; EJS’teki ikinci-argüman
+  locals yok — veriyi controller’da hazırla.
+- `views/components/**` named export’ları PascalCase etiket olur; import yok.
+- Kullanıcı verisi `{{ }}` ile kaçar; `{{{ }}}` yalnızca güvendiğin HTML için.
+- Legacy EJS hâlâ varsa: `include` async’tir (`forEach` içinde `await` yok);
+  `<%= %>` / `<%- %>` ayrımına dikkat et; `ejs` opsiyonel peer olarak kurulmalı.
 
 ## Tailwind
 

package/CHANGELOG.md

@@ -10,19 +10,110 @@ one is listed under a **Breaking** heading.
 
 ### Added
 
+- `jskelet dev --murder` / `jskelet start --murder`: if the listen port is
+  already taken, kill the listener and bind; without `--murder`, refuse to
+  start with a clear error (pid + hint) instead of a bare `EADDRINUSE`.
+- Layout built-ins for `.jsk`: `Stylesheets`, `BodyScripts`, and `JsonLd`
+  (asset / script / JSON-LD loops without expression-language calls).
+- Framework default layout as `src/templates/layout.jsk` with a checked-in
+  `layout.render.js` (`node scripts/compile-framework-layout.mjs`;
+  `--check` for drift). `jskelet/layout` points at the `.jsk` source;
+  legacy EJS copy remains at `jskelet/layout/ejs`.
+- VS Code / Cursor JSK extension diagnostics (Problems on open/save) and
+  PascalCase component completions from `views/components` (v0.2.0).
+- `<!DOCTYPE>` (and other `<!…>` declarations) parse correctly in `.jsk`
+  instead of hanging the compiler.
+
+- `jskelet migrate` codemod for Next.js App Router → JSkelet: `scan` inventory,
+  `apply` (JSX pages → controller + `.jsk`, presentational components → HTML
+  string helpers, `"use client"` → island stubs), and `config` draft from
+  `next.config`. Ships with `@babel/parser` / `@babel/types`.
+- Published TypeScript declaration files under `types/` for `jskelet`,
+  `jskelet/client`, `jskelet/html`, `jskelet/tags`, `jskelet/cookies` and
+  `jskelet/log` (`npm run types`).
+- Client build accepts `.ts` / `.mts` entries and islands (esbuild); manifest
+  keys stay `*.js`. Conflicting stems (`main.js` + `main.ts`) fail the build.
+  Icon usage scan includes `.ts` / `.mts`.
+
 - Local flat `icons/` directory as the exclusive SVG sprite source when present
   (`icons.dir`, default `"icons"`): `house.svg` / `house-bold.svg` file names,
   XOR with `@phosphor-icons/core` (Phosphor only when the directory is absent).
   The hashed sprite still lands under `public/assets/` and is precompressed.
+- Auth handoff hardening: `allowedCookieNames` allowlist, pending-ticket and
+  per-IP mint limits, and RFC 6265 cookie-name validation on `serializeCookie`
+  (`isValidCookieName`).
 
 ### Fixed
 
+- `jskelet dev` prints the real server failure (e.g. port already in use /
+  `--murder` hint) instead of only `server exited (code 1)` when the child
+  dies during startup.
+- Marketing example icon sprite again includes trust-bar icons (`Package`,
+  `TextT`, `ShieldCheck`, …): `icons.scan` now covers `routes/` where those
+  names live after the `.jsk` migration (they were only declared in
+  controllers, not in scanned `lib`/`views`).
+
 - Open Graph routes with a `.png` suffix (`/og/…/:slug.png`) now escape the
   dot for Express 5 / path-to-regexp, so the handler matches again instead of
   falling through to the HTML 404.
+- Remote image optimizer no longer auto-follows redirects; each hop is
+  re-checked against `allowHosts`, blocked private addresses, and DNS
+  resolution (open-redirect SSRF).
+
+### Breaking
+
+- `ejs` is an optional peer dependency. Apps that only use `.jsk` need not
+  install it; apps that still have `.ejs` views or layouts must
+  `npm i ejs`. Missing EJS when an `.ejs` file is rendered throws a clear
+  install/migrate hint.
+- `jskelet/layout` now resolves to `layout.jsk` (was `layout.ejs`). Use
+  `jskelet/layout/ejs` for the legacy file.
+
+- `auth.crossSubdomainHandoff` mint requires a non-empty
+  `allowedCookieNames` list; `true` alone no longer accepts arbitrary cookie
+  names.
+- Production client builds omit sourcemaps (development still emits them).
+- Secret-like `clientEnv` key names fail the build instead of being inlined.
 
 ### Changed
 
+- Examples (`minimal`, `blog`, `dashboard`, `marketing`) use `.jsk` only
+  (layouts, pages, partials); EJS files removed from those trees.
+- Template compiler: unknown PascalCase components fail the build; clearer
+  errors for forbidden function calls, unknown includes (with location), and
+  unclosed `{#if}` / `{#each}` at EOF; icon scan recognizes `<Icon name="…" />`.
+- Docs / AGENTS / README present build-time `.jsk` as the default story; EJS
+  is documented as an optional legacy peer.
+
+- VS Code / Cursor extension (`extensions/vscode-jsk`) uses the new 3D `.jsk`
+  mark as both the marketplace extension icon and the explorer file icon for
+  `*.jsk`. Packages as a standalone VSIX (vendors `src/compile`) for
+  Marketplace publish.
+- `@babel/parser` and `@babel/types` are optional peers used only by migrate
+  (JSX/TSX parsing). They are no longer installed with every `jskelet`
+  install; missing peers throw an install hint (`npm i -D @babel/parser
+  @babel/types`). Unused `@babel/traverse` was dropped.
+
+- Auth handoff mint mounts **after** CSRF so origin checks apply to
+  `POST /_jskelet/auth/handoff`.
+- Docs (TR/EN): stronger `trustProxy` / `csrf.token` guidance and a fuller
+  security-headers example under `headers()`.
+- Marketing copy (EN/TR) and how-it-works examples present `.jsk` as the
+  default template surface instead of EJS; the compare column for hand-written
+  Express + EJS stays as a competitor. Scaffold and migrate mappings name
+  `.jsk` pages and layouts.
+- Framework and marketing brand mark: new geometric logo at `src/logo.png`
+  (admin / devtools) and `examples/marketing/public/logo.png`, replacing the
+  CDN-hosted mark. Marketing serves local favicons (`favicon.ico`, 16/32 PNG,
+  apple-touch-icon) via metadata `extraTags`.
+- In development (`NODE_ENV=development`), 5xx responses show a diagnostic
+  page with the error message and stack trace instead of the polished 500
+  status page / `hooks.error()`. Production still returns the minimal status
+  page with no internals.
+- Marketing fit copy (EN/TR) treats signed-in dashboards and per-visitor
+  panels as a supported path (`private: true`, fragments) instead of a
+  “wrong choice”; the poor-fit column now names SPA shells, collaborative
+  client trees, streaming/RSC, and built-in real-time transport.
 - Marketing example copy (EN/TR) reflects 0.5.x cache surfaces: host `vary`,
   early refresh, classic vs `onVisit` prewarm, local `icons/`, shared cookies,
   and `opengraph-image` → `ogHandler` on the migrate table. Pages now serve
@@ -30,6 +121,10 @@ one is listed under a **Breaking** heading.
 - Marketing changelog page restyled like a release-notes browser: measured
   summary cards, search and newest/oldest sort, paginated open release cards
   with Latest / Released badges and GitHub links (still driven by `CHANGELOG.md`).
+- Marketing example visual language tightened toward the dark cyan glass look:
+  shared `glass-panel` surfaces site-wide, numbered lit feature cards, a
+  3D stack illustration on the home hero, and rotating cyan border beams on
+  lit panels.
 
 ## [0.5.4] - 2026-09-18
 

package/README.md

@@ -4,11 +4,13 @@
 the product.
 
 JSkelet renders **complete HTML** on an Express 5 server from build-time
-**`.jsk` templates** (EJS still works), adds interactivity through vanilla JS
-**islands**, compiles CSS into a **single Tailwind v4 stylesheet**, and instead
-of ISR keeps an in-process **HTML TTL cache** with stale-while-revalidate — plus
-optional Redis sharing and path-based invalidation. No React, no TypeScript —
-plain JavaScript with JSDoc.
+**`.jsk` templates** (optional EJS peer for legacy `.ejs`), adds interactivity
+through vanilla JS **islands**, compiles CSS into a **single Tailwind v4
+stylesheet**, and instead of ISR keeps an in-process **HTML TTL cache** with
+stale-while-revalidate — plus optional Redis sharing and path-based
+invalidation. No React — the framework source is plain JavaScript with JSDoc;
+apps can write client islands and entries in TypeScript, and the published
+package ships declaration files.
 
 [![npm version](https://img.shields.io/npm/v/jskelet)](https://www.npmjs.com/package/jskelet)
 [![Node.js 22+](https://img.shields.io/badge/node-%3E%3D22-brightgreen)](https://nodejs.org)
@@ -282,9 +284,9 @@ The complete reference — every field, default and failure mode — is
 
 | Command | What it does |
 | --- | --- |
-| `jskelet dev` | Watch build plus server, live reload, devtools overlay |
+| `jskelet dev` | Watch build plus server, live reload, devtools overlay. `--murder` kills whatever already holds `PORT` and starts. |
 | `jskelet build` | Production build: templates → fonts → sprite → CSS → JS → images → manifest → precompress |
-| `jskelet start` | Production server; builds first if output is missing |
+| `jskelet start` | Production server; builds first if output is missing. `--murder` same as for `dev`. |
 | `jskelet init` | Scaffolds a feature-first `.jsk` skeleton into the current directory |
 | `jskelet generate` | Scaffolds a `feature` / `page` / `island` |
 

package/bin/jskelet.mjs

@@ -1,12 +1,13 @@
-#!/usr/bin/env node
+#!/usr/bin/env node
 /**
  * JSkelet CLI.
  *
- *   jskelet dev      build watch + sunucu, canlı yenileme, dev overlay
- *   jskelet build    tek seferlik prod build (fontlar, sprite, CSS, JS, görseller)
- *   jskelet start    prod sunucu (build eksikse önce üretir)
+ *   jskelet dev [--murder]   build watch + sunucu, canlı yenileme, dev overlay
+ *   jskelet build            tek seferlik prod build (fontlar, sprite, CSS, JS, görseller)
+ *   jskelet start [--murder] prod sunucu (build eksikse önce üretir)
  *   jskelet init       bulunduğun dizine minimal iskelet kurar
  *   jskelet generate   feature / page / island iskeleti
+ *   jskelet migrate    Next.js App Router → JSkelet codemod
  *
  * Alt komutlar ayrı süreçlerde çalışır. Sebep: `dev` iki uzun ömürlü süreci
  * (build watch + sunucu) yönetiyor ve sunucunun ESM resolve hook'larına
@@ -102,15 +103,28 @@ switch (command) {
     break;
   }
 
+  case "migrate": {
+    const { migrate } = await import("../src/migrate.mjs");
+    try {
+      await migrate(process.cwd(), rest);
+    } catch (error) {
+      process.stderr.write(`${error instanceof Error ? error.message : error}\n`);
+      process.exit(1);
+    }
+    break;
+  }
+
   default: {
     const known = command ? `unknown command: ${command}\n\n` : "";
     process.stderr.write(
-      `${known}usage: jskelet <dev|build|start|init|generate>\n\n` +
-        "  dev       build watch + server (live reload, dev overlay)\n" +
-        "  build     production build\n" +
-        "  start     production server\n" +
-        "  init      scaffold a minimal skeleton in the current directory\n" +
-        "  generate  scaffold feature | page | island\n",
+      `${known}usage: jskelet <dev|build|start|init|generate|migrate> [options]\n\n` +
+        "  dev [--murder]    build watch + server (live reload, dev overlay)\n" +
+        "  build             production build\n" +
+        "  start [--murder]  production server\n" +
+        "  init              scaffold a minimal skeleton in the current directory\n" +
+        "  generate          scaffold feature | page | island\n" +
+        "  migrate           Next.js App Router → JSkelet codemod (scan | apply | config)\n\n" +
+        "  --murder          if the listen port is busy, kill the listener and start\n",
     );
     process.exit(command ? 1 : 0);
   }

package/docs/01-baslangic.md

@@ -249,11 +249,12 @@ resolve hook'larına (`--import`) süreç başlangıcında ihtiyaç duyması.
 
 | Komut | Ne yapar |
 | --- | --- |
-| `jskelet dev` | Build watch + sunucu, tek terminalde. Canlı yenileme, CSS hot-swap, dev overlay. `NODE_ENV=development`. |
+| `jskelet dev` | Build watch + sunucu, tek terminalde. Canlı yenileme, CSS hot-swap, dev overlay. `NODE_ENV=development`. Port doluysa başlamaz; `--murder` dinleyiciyi öldürüp bağlar. |
 | `jskelet build` | Tek seferlik prod build: fontlar → ikon sprite → CSS → client JS → görseller → manifest → precompress. `NODE_ENV` verilmemişse `production`. |
-| `jskelet start` | Prod sunucu. Build çıktısı yoksa önce üretir. `NODE_ENV` verilmemişse `production`. |
+| `jskelet start` | Prod sunucu. Build çıktısı yoksa önce üretir. `NODE_ENV` verilmemişse `production`. Port davranışı `dev` ile aynı (`--murder`). |
 | `jskelet init` | Bulunduğun dizine feature-first `.jsk` iskeleti kurar; var olan dosyalara dokunmaz. |
 | `jskelet generate` | `feature` / `page` / `island` iskeleti üretir. |
+| `jskelet migrate` | Next.js App Router → JSkelet codemod (`scan` / `apply` / `config`). [11-tasima.md](./11-tasima.md). |
 
 Bilinmeyen bir komut ya da argümansız çağrı kullanım metnini basar.
 
@@ -280,7 +281,7 @@ yalnızca bu belirteçleri kullanın:
 | `jskelet/tags` | `link`, `image`, `icon`, `preloadImage`, `toKebab` |
 | `jskelet/log` | Konsol çıktısı yardımcıları (`banner`, `event`, `task`, `size`, `ms`, …) |
 | `jskelet/register` | `node --import jskelet/register` ile alias + uzantı hook'ları |
-| `jskelet/layout` | Framework'ün varsayılan `layout.ejs` dosyasının yolu |
+| `jskelet/layout` | Framework'ün varsayılan `layout.jsk` dosyasının yolu |
 
 ## Sırada ne var
 

package/docs/02-mimari.md

@@ -51,7 +51,7 @@ JSkelet bu gözlemi mimarinin merkezine alır:
  │       └─ withHtmlCache          TTL + stale-while-revalidate
  │           └─ withUpstreamTracking
  │               └─ withRequestCache
- │                   └─ controller → renderPage → EJS
+ │                   └─ controller → renderPage → .jsk (veya legacy EJS)
  ├─ 404 → hooks.notFound()
  └─ hata yönetimi                  redirect/notFound + 500 fallback
 ```
@@ -254,8 +254,9 @@ teşhisi zor sorunlara dönüşüyor.
 
 ## Neden bu bağımlılık listesi
 
-Çalışma zamanı bağımlılıkları dörttür: `express`, `ejs`, `esbuild`,
-`tailwind-merge`. Geri kalan her şey (Tailwind, PostCSS, lightningcss, sharp,
+Çalışma zamanı bağımlılıkları üçtür: `express`, `esbuild`,
+`tailwind-merge`. `ejs` yalnızca legacy `.ejs` şablonları için opsiyonel peer'dır.
+Geri kalan her şey (Tailwind, PostCSS, lightningcss, sharp,
 Phosphor ikonları) **opsiyonel peer bağımlılığıdır** ve yoksa ilgili build adımı
 atlanır.
 

package/docs/03-routing.md

@@ -210,7 +210,7 @@ Controller `async (ctx) => sayfa` biçimindedir ve şu alanları döndürebilir:
 
 | Alan | Tip | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
-| `view` | `string` | — | `views/` altındaki şablon yolu, uzantısız: `"pages/home"` → `views/pages/home.ejs`. |
+| `view` | `string` | — | `views/` altındaki şablon yolu, uzantısız: `"pages/home"` → `views/pages/home.jsk` (yoksa legacy `.ejs`). |
 | `data` | `object` | `{}` | Şablona local olarak geçen veriler. |
 | `metadata` | `object` | `{}` | `<head>` etiketlerine çevrilir; `hooks.metadata()` çıktısının üzerine biner. Şema: [04-render-ve-sablonlar.md](./04-render-ve-sablonlar.md). |
 | `status` | `number` | `200` | HTTP durum kodu. Yalnızca 200 önbelleğe yazılır. |
@@ -326,12 +326,17 @@ hata yöneticisi devreye girer, hatayı loglar ve framework'ün kendi hata sayfa
 `Cache-Control: no-store` ile döner. Durum kodu hatanın `statusCode` (ya da
 `status`) alanından okunur; 400–599 aralığında değilse 500 kullanılır.
 
-Framework'ün sayfası bilinçli olarak yalın: durum kodu, tek satır başlık ve tek
-satır açıklama. Marka adı, gezinme ya da hata ayrıntısı taşımaz — sunucunun içi
-ziyaretçiye açılmaz. Dil `brand.lang`ten gelir (`tr` ve `en` hazır, diğerleri
-`en`e düşer).
+**Development** (`NODE_ENV=development`, yani `jskelet dev`): 5xx yanıtlarında
+gömülü 500 sayfası ve `hooks.error()` atlanır; mesaj, yığın izi ve varsa
+`cause` zinciri içeren bir teşhis sayfası döner. 4xx (404 vb.) development'ta
+da her zamanki gibi durum sayfasıdır.
 
-Kendi sayfanı vermek için `hooks.error()`:
+**Production**: framework'ün sayfası bilinçli olarak yalın — durum kodu, tek
+satır başlık ve tek satır açıklama. Marka adı, gezinme ya da hata ayrıntısı
+taşımaz; sunucunun içi ziyaretçiye açılmaz. Dil `brand.lang`ten gelir (`tr` ve
+`en` hazır, diğerleri `en`e düşer).
+
+Kendi sayfanı vermek için `hooks.error()` (yalnızca production / 4xx):
 
 ```js
 // jskelet.config.mjs

package/docs/04-render-ve-sablonlar.md

@@ -51,7 +51,7 @@ controller data → import edilmiş render(data, helpers) → HTML
   {/if}
 
   {#each items as item, i}
-    <li data-i="{{ i }}">{{ item }}</li>
+    <li :data-i="i">{{ item }}</li>
   {/each}
 
   <Link href="/" text="Home" />
@@ -99,19 +99,30 @@ code --install-extension extensions/vscode-jsk
 
 Ayrıntılar uzantı README'sinde.
 
+### Yerleşik layout etiketleri
+
+`.jsk` ifade dilinde `asset()` / `hasAsset()` çağrılamaz. Layout’ta stylesheet,
+script ve JSON-LD döngüleri için yerleşikler:
+
+| Etiket | Props | Çıktı |
+| --- | --- | --- |
+| `Stylesheets` | `styles` | `app.css` + sayfa sheet’leri (`data-jskelet-css`) |
+| `BodyScripts` | `entries`, `devtools`, `devBasePath` | `main.js`, entry’ler, isteğe bağlı overlay |
+| `JsonLd` | `items` (`structuredData`) | `application/ld+json` script’leri |
+
 ### EJS ile birlikte yaşam
 
 Aynı `view` id için derlenmiş `.jsk` varsa o kullanılır; yoksa `.ejs` dosyası
-EJS ile render edilir. Mevcut uygulamalar değişmeden çalışır. `jskelet init`
-yeni iskeleti `.jsk` ile kurar.
+**yalnızca `ejs` peer’i kuruluysa** render edilir. `jskelet init` yeni iskeleti
+`.jsk` ile kurar.
 
-## EJS motoru (legacy)
+## EJS motoru (legacy peer)
 
-EJS hâlâ desteklenir. Motor ilk render'da bir kez kurulur; bileşen taraması
-dosya sistemine dokunduğu için her istekte yapılamaz ve config yüklenmeden
-hesaplanamaz.
+EJS opsiyonel peer bağımlılıktır (`npm i ejs`). `.jsk`-only uygulamalar kurmak
+zorunda değildir. Bir `.ejs` view veya layout istendiğinde paket uygulamadan
+yüklenir; yoksa göç yolunu gösteren bir hata fırlatılır.
 
-Ayarlar:
+Motor ilk EJS render’da bir kez kurulur. Ayarlar:
 
 | Ayar | Değer | Sebebi |
 | --- | --- | --- |
@@ -120,9 +131,7 @@ Ayarlar:
 | `rmWhitespace` | `true` | çıktı boyutu |
 | `async` | `true` | şablon içinde `await` kullanılabilir |
 
-Gömülü kullanımlar (test, script) için `resetRenderEngine()` dışa açık: bileşen
-dosyaları değişince kaydı yeniler. Dev sunucusu süreci yeniden başlattığı için
-normal akışta gerekmez.
+Gömülü kullanımlar (test, script) için `resetRenderEngine()` dışa açık.
 
 ## Layout
 
@@ -130,50 +139,33 @@ normal akışta gerekmez.
 
 1. `jskelet.config.mjs` → `layout` verilmişse o kullanılır. Yol, **views
    dizininin üst dizinine** göre çözülür: `views` varsayılansa
-   `layout: "views/ozel.ejs"` → `<root>/views/ozel.ejs`.
+   `layout: "views/ozel.jsk"` → `<root>/views/ozel.jsk`.
 2. Verilmemişse `views/layout.jsk` (derlenmiş) varsa o kullanılır.
-3. Yoksa `views/layout.ejs` varsa o kullanılır.
+3. Yoksa `views/layout.ejs` varsa o kullanılır (EJS peer gerekir).
 4. O da yoksa framework'ün kendi minimal layout'u kullanılır
-   (`node_modules/jskelet/src/templates/layout.ejs`, ayrıca
-   `jskelet/layout` belirteciyle de erişilebilir).
+   (`node_modules/jskelet/src/templates/layout.jsk`, `jskelet/layout`;
+   legacy kopya `jskelet/layout/ejs`).
 
 Üçüncü seçenek yeni bir projenin tek route ile çalışabilmesi için var. Kendi
-layout'unuza geçmenin en pratik yolu o dosyayı `views/layout.ejs` olarak
+layout'unuza geçmenin en pratik yolu o dosyayı `views/layout.jsk` olarak
 kopyalamaktır.
 
 ### Framework'ün varsayılan layout'u
 
-```ejs
+```jsk
 <!DOCTYPE html>
-<html lang="<%= lang %>">
+<html :lang="lang">
   <head>
     <meta charset="utf-8">
     <meta name="viewport" content="width=device-width, initial-scale=1">
-    <%- extraHead %>
-    <% if (hasAsset('app.css')) { %>
-    <link rel="stylesheet" href="<%= asset('app.css') %>" data-jskelet-css="app.css">
-    <% } %>
-    <% styles.forEach(function (sheet) { %>
-      <% if (hasAsset(sheet)) { %>
-    <link rel="stylesheet" href="<%= asset(sheet) %>" data-jskelet-css="<%= sheet %>">
-      <% } %>
-    <% }); %>
-    <%- headMeta %>
-    <% structuredData.forEach(function (item) { %>
-    <script type="application/ld+json"><%- jsonScript(item) %></script>
-    <% }); %>
+    {{{ extraHead }}}
+    <Stylesheets :styles="styles" />
+    {{{ headMeta }}}
+    <JsonLd :items="structuredData" />
   </head>
-  <body class="<%= bodyClass %>">
-    <%- body %>
-    <% if (hasAsset('main.js')) { %>
-    <script type="module" src="<%= asset('main.js') %>"></script>
-    <% } %>
-    <% entries.forEach(function (entry) { %>
-    <script type="module" src="<%= asset(entry) %>"></script>
-    <% }); %>
-    <% if (devtools) { %>
-    <script type="module" src="<%= devBasePath %>/overlay.js"></script>
-    <% } %>
+  <body :class="bodyClass">
+    {{{ body }}}
+    <BodyScripts :entries="entries" :devtools="devtools" :devBasePath="devBasePath" />
   </body>
 </html>
 ```
@@ -187,7 +179,7 @@ Dikkat edilecek noktalar:
   sheet'leri de aynı şekilde basılır. Build çalışmadıysa `hasAsset` false olur
   ve etiket hiç basılmaz.
 - **`hasAsset` kontrolleri** build eksikken sayfanın 404 veren dosyaları
-  istememesini sağlar.
+  istememesini sağlar (`Stylesheets` / `BodyScripts` içinde).
 - **Devtools script'i** yalnızca `NODE_ENV=development` iken basılır; prod
   çıktısında hiç yoktur.
 

package/docs/05-islands.md

@@ -118,25 +118,29 @@ Pratik sonucu: bir modal'ı `hidden` başlatabilirsiniz, island'ı yine bağlan
 ```
 client/
 ├── entries/
-│   ├── main.js       her sayfada yüklenen ortak bootstrap
+│   ├── main.js       her sayfada yüklenen ortak bootstrap (veya main.ts)
 │   └── chart.js      yalnızca isteyen sayfalarda
 └── islands/
-    ├── counter.js
+    ├── counter.ts    .js veya .ts
     └── chart.js
 ```
 
-`client/entries/*.js` içindeki **her dosya bir esbuild entry'sidir**. `main.js`
-layout tarafından her sayfada yüklenir (manifest'te varsa). Ek entry'ler
-yalnızca onları isteyen sayfalarda yüklenir:
+`client/entries/*.{js,ts,mts}` içindeki **her dosya bir esbuild entry'sidir**.
+`main.js` (veya `main.ts`) layout tarafından her sayfada yüklenir (manifest'te
+varsa). Ek entry'ler yalnızca onları isteyen sayfalarda yüklenir. Aynı stem için
+iki uzantı (`main.js` + `main.ts`) build hatasıdır.
 
 ```js
-// controller
+// controller — manifest anahtarı her zaman *.js kalır
 return { view: "pages/markets", entries: ["chart.js"] };
 ```
 
 Layout `entries` dizisindeki her adı `asset(entry)` ile çözüp bir
-`<script type="module">` basar. Ad manifest anahtarıdır, yani dosya adının
-kendisi (`chart.js`), hash'li hâli değil.
+`<script type="module">` basar. Ad manifest anahtarıdır (`chart.js`), kaynak
+dosya `chart.ts` olsa bile hash'siz anahtar `.js` kalır.
+
+Paylaşılan `@/lib` modülleri sunucuda da import ediliyorsa **`.js` kalsın** —
+Node runtime `.ts` çözmez; `.ts` yalnızca esbuild client hattında derlenir.
 
 Kod bölme (`splitting: true`) açık: iki entry'nin paylaştığı modüller ortak bir
 chunk'a çıkar ve iki kez indirilmez.

package/docs/07-yapilandirma.md

@@ -51,7 +51,7 @@ export default {
     lang: "tr",
   },
 
-  layout: "views/layout.ejs",
+  layout: "views/layout.jsk",
   routes: ["./routes/10-pages.mjs", "./routes/99-catch-all.mjs"],
   trailingSlash: false,
 
@@ -208,26 +208,32 @@ session id taşımak için handoff köprüsünü açar.
 
 | Alan | Tip | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
-| `crossSubdomainHandoff` | `boolean \| object` | `false` | `true` veya `{ ttlSeconds?, path?, maxValueBytes? }` → `POST /_jskelet/auth/handoff` + `?handoff=` redeem |
+| `crossSubdomainHandoff` | `boolean \| object` | `false` | Açıkken `POST /_jskelet/auth/handoff` + `?handoff=` redeem. Object: `allowedCookieNames` (zorunlu), `ttlSeconds?`, `path?`, `maxValueBytes?`, `maxPendingTickets?`, `maxMintsPerIpPerMinute?` |
 
 ```js
 auth: {
-  crossSubdomainHandoff: { ttlSeconds: 60 },
+  crossSubdomainHandoff: {
+    allowedCookieNames: ["sid"],
+    ttlSeconds: 60,
+  },
 },
 ```
 
-Ayrıntı ve `window.name` yedeği: [12-panel-ve-oturum.md](./12-panel-ve-oturum.md).
+Mint uç noktası CSRF middleware'inden **sonra** mount edilir (origin kontrolü).
+Cookie adı allowlist dışındaysa veya RFC 6265 token değilse 400. Ayrıntı:
+[12-panel-ve-oturum.md](./12-panel-ve-oturum.md).
 
 ## `layout`
 
 **Tip:** `string` — **Varsayılan:** yok (otomatik çözüm)
 
-Layout `.ejs` dosyasının yolu. Verilen değer **views dizininin üst dizinine**
-göre çözülür, yani varsayılan `views` ile `"views/ozel.ejs"` →
-`<root>/views/ozel.ejs`.
+Layout dosyasının yolu (`.jsk` veya legacy `.ejs`). Verilen değer **views
+dizininin üst dizinine** göre çözülür, yani varsayılan `views` ile
+`"views/ozel.jsk"` → `<root>/views/ozel.jsk`.
 
-Verilmezse sırayla: `views/layout.jsk`, `views/layout.ejs`, yoksa framework'ün
-minimal layout'u. Ayrıntı: [04-render-ve-sablonlar.md](./04-render-ve-sablonlar.md).
+Verilmezse sırayla: `views/layout.jsk`, `views/layout.ejs` (legacy), yoksa
+framework'ün `src/templates/layout.jsk` varsayılanı. Ayrıntı:
+[04-render-ve-sablonlar.md](./04-render-ve-sablonlar.md).
 
 ## `routes`
 
@@ -328,7 +334,7 @@ var.
 | `trustProxy` | `boolean` | `true` | Express'in `trust proxy` ayarı. Ters proxy arkasında doğru protokol ve istemci IP'si için gerekli. |
 | `cookieSecret` | `string \| null` | `null` | İmzalı cookie sırrı. Verilmezse `JSKELET_SECRET` okunur. |
 | `csrf.enabled` | `boolean` | `true` | Origin/`Sec-Fetch-Site` kontrolü. |
-| `csrf.token` | `boolean` | `false` | Çift gönderim token'ı katmanı. |
+| `csrf.token` | `boolean` | `false` | Çift gönderim token'ı katmanı. Cookie oturumlu formlarda **açın**. |
 | `csrf.allowedOrigins` | `string[]` | `[]` | Kendi host'umuzun yanında kabul edilen origin'ler. |
 | `csrf.exclude` | `string[]` | `[]` | Kontrolden muaf yollar; `source` desen sözdizimi. |
 | `csrf.cookieName` | `string` | `"csrf_token"` | Token cookie'sinin adı. |
@@ -336,14 +342,17 @@ var.
 | `csrf.headerName` | `string` | `"x-csrf-token"` | Token'ın kabul edildiği başlık. |
 
 `trustProxy` doğrudan internete açık bir sunucuda **kapatılmalı**: açıkken
-istemci kendi `X-Forwarded-For` başlığını uydurabilir ve rate limit ile audit
-log yanlış adresi görür.
+istemci kendi `X-Forwarded-For` / `X-Forwarded-Proto` / Host başlığını
+uydurabilir; rate limit, admin IP allowlist, Secure cookie ve cache `vary.host`
+yanlış adresi görür. Ters proxy (nginx, Caddy, Cloudflare) arkasındaysa `true`
+doğru varsayılandır.
 
 CSRF kontrolü yalnızca çapraz site olduğu **belli** olan istekleri reddeder —
 `Origin` uyuşmuyorsa ya da `Sec-Fetch-Site: cross-site` geldiyse. İkisi de yoksa
 istek geçer, çünkü tarayıcılar çapraz origin bir POST'ta `Origin`'i her zaman
-gönderirken webhook'lar hiç göndermez. Yine de tarayıcıdan gelmeyen uçları
-`csrf.exclude` listesine yazmak niyeti okunur kılıyor.
+gönderirken webhook'lar hiç göndermez. Cookie ile oturum açan panel/form
+uygulamalarında `csrf.token: true` + `csrfField()` ikinci katmandır; webhook
+uçlarını `csrf.exclude` listesine yazın.
 
 ## `navigation`
 
@@ -540,7 +549,9 @@ icons: {
 
 `false` verilirse görsel adımı hiç çalışmaz. Build adımı `sharp` gerektirir ve
 watch turunda hiç çalışmaz. Remote açıksa `sharp` **runtime**'da da gerekir;
-yoksa optimizer kaynak URL'ye 302 yönlendirir. Ayrıntı: [08-build.md](./08-build.md).
+yoksa optimizer kaynak URL'ye 302 yönlendirir. Fetch, redirect'leri otomatik
+takip etmez: her hop `allowHosts` ve private adres kontrolünden geçer.
+Ayrıntı: [08-build.md](./08-build.md).
 
 ```js
 images: {
@@ -573,6 +584,9 @@ clientEnv: ["PUBLIC_WS_URL", "PUBLIC_CDN_ORIGIN"]
 ```
 
 **Buraya gizli anahtar koymayın** — değerler bundle'da düz metin olarak durur.
+İsimlerinde `SECRET`, `PASSWORD`, `TOKEN`, `API_KEY`, `PRIVATE` vb. geçen
+anahtarlar build sırasında **reddeder** (`PUBLIC` / `PUBLISHABLE` içerenler
+muaf).
 
 ## `headers()`
 
@@ -581,7 +595,8 @@ clientEnv: ["PUBLIC_WS_URL", "PUBLIC_CDN_ORIGIN"]
 
 Yol desenine göre yanıt başlıkları. Framework yalnızca statik dosyalara uzun
 ömürlü cache yazar; bunun dışındaki her başlık (CSP, COOP, HSTS,
-X-Frame-Options…) buradan gelir ve varsayılanların üstüne biner.
+X-Frame-Options…) buradan gelir ve varsayılanların üstüne biner. Üretim
+sitelerinde en azından aşağıdaki güvenlik başlıklarını tanımlayın.
 
 Eşleşen **tüm** kurallar uygulanır (redirect'lerin aksine ilk eşleşmede
 durulmaz), sırayla; aynı başlığı iki kural yazarsa sonraki kazanır.
@@ -596,11 +611,18 @@ async headers() {
       source: "/:path*",
       headers: [
         { key: "X-Frame-Options", value: "SAMEORIGIN" },
+        { key: "X-Content-Type-Options", value: "nosniff" },
         { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+        {
+          key: "Permissions-Policy",
+          value: "camera=(), microphone=(), geolocation=()",
+        },
         {
           key: "Content-Security-Policy",
-          value: "default-src 'self'; img-src 'self' https://cdn.ornek.com data:",
+          value: "default-src 'self'; img-src 'self' https://cdn.ornek.com data:; script-src 'self'",
         },
+        // Yalnızca HTTPS terminasyonu sizin kontrolünüzdeyse:
+        // { key: "Strict-Transport-Security", value: "max-age=63072000; includeSubDomains" },
       ],
     },
     {
@@ -1081,7 +1103,7 @@ basılmaz.
 | Değişken | Kim okur | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
 | `NODE_ENV` | her yer | `production` (start/build), `development` (dev) | Dev overlay, EJS cache, manifest yeniden okuma, route hata davranışı ve prewarm varsayılanlarını belirler. `jskelet dev` bunu kendisi ayarlar — `cross-env` gerekmez. |
-| `PORT` | `startServer` | `3000` | Dinlenecek port |
+| `PORT` | `startServer` | `3000` | Dinlenecek port. Doluysa süreç başlamaz; `jskelet start|dev --murder` dinleyiciyi öldürür |
 | `HOST` | `startServer` | `::` | Bağlanılacak arayüz. Varsayılan çift yığın dinler (IPv6 + IPv4); IPv6 yoksa `0.0.0.0`'a düşer |
 | `JSKELET_SECRET` | `jskelet/cookies` | — | İmzalı cookie sırrı. `security.cookieSecret` verilmediğinde buradan okunur; ikisi de yoksa imzalı cookie API'si hata verir. [12](./12-panel-ve-oturum.md) |
 | `DEV_TOKEN` | `devGate`, `prewarm` | — | Ayarlıysa token taşımayan her isteğe 404 döner. Isıtma token'ı çerez olarak taşır. [09](./09-dev-araclari.md) |