natureco-cli 5.51.2 → 5.51.4

package/CHANGELOG.md

@@ -2,6 +2,16 @@
 
 All notable changes to NatureCo CLI will be documented in this file.
 
+## [5.51.4] - 2026-07-11 — "account: OTP kodu magiclink tipini de dener"
+
+### Fixed
+- **6/8 haneli kodla giriş** (`{{ .Token }}` şablona eklenmişse) çalışır: kod doğrulaması `type:email` başarısızsa `type:magiclink` ile tekrar denenir; boşluklar temizlenir. (Kod tek kullanımlık — her `account login` yeni kod üretir, EN SON e-postadaki kodu kullan.)
+
+## [5.51.3] - 2026-07-11 — "account: implicit magic link (fragment access_token)"
+
+### Fixed
+- **Giriş linki fragment'inde `access_token`+`refresh_token` doğrudan geldiğinde de çalışır** (Supabase implicit-flow / SiteURL redirect). Link `#access_token=...&refresh_token=...` biçimindeyse /verify gerekmez — CLI tokenları doğrudan kaydeder, kullanıcıyı JWT'den çözer. (5.51.2 yalnız token_hash biçimini işliyordu.)
+
 ## [5.51.2] - 2026-07-11 — "account: giriş linki (magic link) desteği"
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "natureco-cli",
-  "version": "5.51.2",
+  "version": "5.51.4",
   "description": "OpenClaw'dan daha güvenli, daha hızlı, daha ucuz AI agent CLI. Multi-agent, self-evolving skills, audit log, maliyet optimizasyonu ve NatureCo platform-native.",
   "bin": {
     "natureco": "bin/natureco.js"

package/src/utils/natureco-account.js

@@ -70,26 +70,58 @@ async function sendOtp(email) {
   return { sent: true, email };
 }
 
-/** OTP kodunu doğrula → oturum */
+/**
+ * OTP kodunu doğrula → oturum. Supabase'de e-postayla gelen kodun doğrulama tipi
+ * şablona göre 'email' ya da 'magiclink' olabilir → ikisini de dener.
+ */
 async function verifyOtp(email, token) {
-  return saveSession(_shape(await _post('/verify', { type: 'email', email, token })));
+  const code = String(token).replace(/\s+/g, '');
+  try {
+    return saveSession(_shape(await _post('/verify', { type: 'email', email, token: code })));
+  } catch (e1) {
+    try {
+      return saveSession(_shape(await _post('/verify', { type: 'magiclink', email, token: code })));
+    } catch (_) {
+      throw e1;
+    }
+  }
+}
+
+// JWT access_token içinden kullanıcıyı çöz (imza doğrulaması yok — sadece görüntüleme)
+function _userFromJwt(token) {
+  try {
+    const p = JSON.parse(Buffer.from(token.split('.')[1], 'base64').toString('utf8'));
+    return { id: p.sub, email: p.email };
+  } catch (_) { return null; }
 }
 
 /**
- * E-postadan gelen GİRİŞ LİNKİ'ni doğrula (Supabase şablonu 6 haneli kod yerine
- * magic link gönderdiğinde). Linkteki token_hash + type ile /verify çağrılır.
+ * E-postadan gelen GİRİŞ LİNKİ'ni işle (şablon 6 haneli kod yerine magic link
+ * gönderdiğinde). İki biçim:
+ *   1) Implicit: link fragment'inde ZATEN access_token+refresh_token var → doğrudan oturum.
+ *   2) token_hash: /verify ile doğrula.
  */
 async function verifyLink(link) {
-  let token_hash, type;
-  try {
-    const u = new URL(link.trim());
-    const q = u.searchParams;
-    const frag = new URLSearchParams((u.hash || '').replace(/^#/, ''));
-    token_hash = q.get('token_hash') || q.get('token') || frag.get('token_hash') || frag.get('token');
-    type = q.get('type') || frag.get('type') || 'magiclink';
-  } catch (e) {
-    throw new Error('Geçersiz link', { cause: e });
+  let u;
+  try { u = new URL(link.trim()); }
+  catch (e) { throw new Error('Geçersiz link', { cause: e }); }
+  const q = u.searchParams;
+  const frag = new URLSearchParams((u.hash || '').replace(/^#/, ''));
+  const pick = (k) => frag.get(k) || q.get(k);
+
+  const access_token = pick('access_token');
+  if (access_token) {
+    return saveSession(_shape({
+      access_token,
+      refresh_token: pick('refresh_token'),
+      token_type: pick('token_type') || 'bearer',
+      expires_at: parseInt(pick('expires_at') || '0', 10) || null,
+      expires_in: parseInt(pick('expires_in') || '0', 10) || null,
+      user: _userFromJwt(access_token),
+    }));
   }
+  const token_hash = pick('token_hash') || pick('token');
+  const type = pick('type') || 'magiclink';
   if (!token_hash) throw new Error("Linkte doğrulama token'ı bulunamadı");
   return saveSession(_shape(await _post('/verify', { type, token_hash })));
 }