tillerhand 3.39.3 → 3.39.4

package/.claude/commands/wrap-up.md

@@ -6,14 +6,10 @@ Bu oturumu kapatıyoruz. Bir sonraki oturum (veya `/clear` sonrası) sıfır ba
 
 1. `git status` ve `git diff --stat` ile bu oturumdaki değişiklikleri gör.
 2. `docs/workflow/progress.md`'yi güncelle (40 satırı geçmesin):
-   - Son güncelleme tarihi, aktif faz, aktif görev
-   - Şu anki durum: ne çalışıyor, ne yarım
-   - Son oturumda yapılanlar (eskileri sil, sadece bu oturum)
-   - Sıradaki adım: tek, net, hemen başlanabilir
-   - Bekleyen kararlar (sorulup cevap alınamayanlar)
-   - Açık sorunlar ve "AI için notlar"
-   - Kalın etiketli satırların biçimini bozma (durum çubuğu ve pano okur)
-3. `docs/product/roadmap.md`: biten görevler işaretli mi? Görev bittiyse ve kapsam kalkanı açık kaldıysa (`node .claude/hooks/freeze-guard.mjs --status`) kapat: `--plan-end`. Görev sürüyorsa açık kalsın.
+   - Tarih, aktif görev, sıradaki adım betikle yazılır (biçim bozulmaz): `node .claude/hooks/progress.mjs --task "<aktif görev veya ->" --next "<tek, net, hemen başlanabilir adım>"`. `/build` dışında yapılan bir iş varsa aynı çağrıya `--did "<tek satır>"` ekle (`/build` kendi satırını zaten yazdı).
+   - Elle: "Son oturumda yapılanlar"dan önceki oturumların satırlarını sil; aktif faz, şu anki durum (ne çalışıyor, ne yarım), bekleyen kararlar (sorulup cevap alınamayanlar), açık sorunlar ve "AI için notlar"
+   - En sonda `node .claude/hooks/progress.mjs --check`: kalın etiketli satırlar bozulduysa söyler (durum çubuğu ve pano okur)
+3. `docs/product/roadmap.md`: biten görevler işaretli mi? İşaretsizse `node .claude/hooks/progress.mjs --done G-NNN`. Görev bittiyse ve kapsam kalkanı açık kaldıysa (`node .claude/hooks/freeze-guard.mjs --status`) kapat: `--plan-end`. Görev sürüyorsa açık kalsın.
 4. `CHANGELOG.md` → "Yayınlanmamış" bölümüne kullanıcıya görünen değişiklikleri ekle.
 5. Bu oturumdaki tüm kararlar `docs/decisions/log.md` günlüğünde mi? Eksik olanları ekle.
 6. Yapı değiştiyse (yeni tablo, servis, klasör) `docs/architecture/overview.md`'yi güncelle.

package/README.en.md

@@ -6,7 +6,7 @@
 </p>
 
 <p align="center">
-  <a href="kit/CHANGELOG.md"><img alt="Version" src="https://img.shields.io/badge/version-3.39.3-2a78d6?style=flat-square"></a>
+  <a href="kit/CHANGELOG.md"><img alt="Version" src="https://img.shields.io/badge/version-3.39.4-2a78d6?style=flat-square"></a>
   <a href="LICENSE"><img alt="License: MIT" src="https://img.shields.io/badge/license-MIT-2a78d6?style=flat-square"></a>
   <img alt="Claude Code" src="https://img.shields.io/badge/Claude%20Code-ready-d97757?style=flat-square">
   <img alt="Also Codex and Antigravity" src="https://img.shields.io/badge/also-Codex%20%C2%B7%20Antigravity-5b6577?style=flat-square">

package/README.md

@@ -6,7 +6,7 @@
 </p>
 
 <p align="center">
-  <a href="kit/CHANGELOG.md"><img alt="Sürüm" src="https://img.shields.io/badge/s%C3%BCr%C3%BCm-3.39.3-2a78d6?style=flat-square"></a>
+  <a href="kit/CHANGELOG.md"><img alt="Sürüm" src="https://img.shields.io/badge/s%C3%BCr%C3%BCm-3.39.4-2a78d6?style=flat-square"></a>
   <a href="LICENSE"><img alt="Lisans: MIT" src="https://img.shields.io/badge/lisans-MIT-2a78d6?style=flat-square"></a>
   <img alt="Claude Code" src="https://img.shields.io/badge/Claude%20Code-haz%C4%B1r-d97757?style=flat-square">
   <img alt="Codex ve Antigravity" src="https://img.shields.io/badge/ayr%C4%B1ca-Codex%20%C2%B7%20Antigravity-5b6577?style=flat-square">

package/kit/CHANGELOG.md

@@ -3,6 +3,14 @@
 Kit sürümü `kit/VERSION` dosyasında. Bir projeyi güncellemek: projede `/kit-update`.
 "Elle uyarla" notu olan maddeler projeye ait dosyalardadır; güncelleme bunlara dokunmaz.
 
+## [3.39.4] - 2026-10-27
+
+### Düzeltilen
+- **Türkiye eki: iyzico ödeme kimliği 2^53 üstünde reddedilir.** `iyziPaymentId` JSON sayısı olarak gelir; JavaScript bu büyüklükte sayıyı yuvarlar ve yanlış kimlikle sipariş sorgulanabilirdi. Web SaaS imza doğrulaması artık yalnız güvenli tamsayıları kabul eder; saldırgan testine iki kontrol eklendi. Elle uyarla: projedeki `src/lib/payments/webhook-signature.ts` ve `tests/security/payment-webhook.mjs`.
+
+### Değişen
+- **`/wrap-up` ilerleme dosyasını betikle yazar.** Tarih, aktif görev, sıradaki adım ve yol haritası işareti `progress.mjs` ile; sonda `--check` etiket biçimini doğrular.
+
 ## [3.39.3] - 2026-10-26
 
 ### Düzeltilen

package/kit/VERSION

@@ -1 +1 @@
-3.39.3
+3.39.4

package/kit/guide.html

@@ -287,7 +287,7 @@ footer .container { display: flex; flex-wrap: wrap; gap: 16px; justify-content:
 <section class="hero">
   <div class="container">
     <div>
-      <span class="pill"><b>v3.39.3</b> Claude Code için başlangıç kiti · MIT</span>
+      <span class="pill"><b>v3.39.4</b> Claude Code için başlangıç kiti · MIT</span>
       <h1>Kodu AI yazar.<br><em>Dümen sende.</em></h1>
       <p class="sub">TillerHand, Claude Code ile bir ürünü fikirden canlıya ve bakıma kadar götürür. Her önemli kararda AI sana seçenekleri, önerisini ve her seçeneğin bedelini sunar. Bir uzman kurulu işi denetler, korumalar hatayı daha olmadan durdurur.</p>
       <div class="install"><span id="cmd">npx tillerhand init</span><button class="copy" type="button" data-copy="cmd">Kopyala</button></div>
@@ -1055,7 +1055,7 @@ Sıradaki: G-013 şifre sıfırlama · bekleyen karar: e-posta servisi</pre>
 <footer>
   <div class="container">
     <a class="brand" href="#top" style="font-size:16px"><svg class="mark" style="width:22px;height:22px"><use href="#mark"/></svg>TillerHand</a>
-    <span>Sürüm 3.39.3 · <a href="https://github.com/burakdogrul/TillerHand">GitHub</a> · <a href="https://github.com/burakdogrul/TillerHand/blob/main/LICENSE">MIT lisansı</a> · KVKK bölümü kontrol listesidir, hukuki görüş değildir.</span>
+    <span>Sürüm 3.39.4 · <a href="https://github.com/burakdogrul/TillerHand">GitHub</a> · <a href="https://github.com/burakdogrul/TillerHand/blob/main/LICENSE">MIT lisansı</a> · KVKK bölümü kontrol listesidir, hukuki görüş değildir.</span>
   </div>
 </footer>
 

package/kit/templates/addons/tr/types/backend/app/shared/payments.py

@@ -21,7 +21,8 @@ IYZICO_CHECKOUT = (
 
 
 def _text(value: object) -> str | None:
-    # Only non-empty strings and integers are signed values; anything else fails the check
+    # Only non-empty strings and integers are signed values; anything else fails the check.
+    # json.loads keeps big integers exact, so unlike the TypeScript copy there is no 2^53 limit here.
     if isinstance(value, bool) or not isinstance(value, (str, int)):
         return None
     return str(value) or None

package/kit/templates/addons/tr/types/web-saas/src/lib/payments/webhook-signature.ts

@@ -9,8 +9,10 @@ const same = (a: string, b: string): boolean => {
   return x.length === y.length && timingSafeEqual(x, y);
 };
 const hmac = (key: string, text: string, encoding: 'hex' | 'base64'): string => createHmac('sha256', key).update(text).digest(encoding);
-// Only non-empty strings and numbers are signed values; anything else (missing, object, boolean) fails the check
-const text = (v: unknown): string | null => ((typeof v === 'string' || typeof v === 'number') && String(v) !== '' ? String(v) : null);
+// Only non-empty strings and safe integers are signed values; anything else (missing, object, boolean) fails the check.
+// iyziPaymentId is a JSON number (long): above 2^53 JSON.parse has already rounded it, so the id is wrong and is rejected.
+// shortcut: such a notification is refused (ids are ~8 digits today); if ids near 2^53, read it with a JSON.parse reviver's context.source.
+const text = (v: unknown): string | null => (typeof v === 'string' ? v || null : Number.isSafeInteger(v) ? String(v) : null);
 
 const IYZICO_DIRECT = ['iyziEventType', 'paymentId', 'paymentConversationId', 'status'];
 const IYZICO_CHECKOUT = ['iyziEventType', 'iyziPaymentId', 'token', 'paymentConversationId', 'status'];

package/kit/templates/addons/tr/types/web-saas/tests/security/payment-webhook.mjs

@@ -25,6 +25,15 @@ test('iyzico: a correctly signed notification is accepted (direct and checkout f
   assert.equal(verifyIyzico(direct, iyzicoSign(direct), SECRET), true);
   assert.equal(verifyIyzico(checkout, iyzicoSign(checkout), SECRET), true);
   assert.equal(verifyIyzico(direct, iyzicoSign(direct).toUpperCase(), SECRET), true, 'hex case does not matter');
+  const numeric = { ...checkout, iyziPaymentId: 22416751 };
+  assert.equal(verifyIyzico(numeric, iyzicoSign(numeric), SECRET), true, 'iyziPaymentId as a JSON number (long)');
+});
+
+test('iyzico: a payment id rounded by JSON.parse (above 2^53) is rejected', () => {
+  const body = JSON.parse('{"iyziEventType":"CHECKOUT_FORM_AUTH","iyziPaymentId":9007199254740993,"token":"tok-abc","paymentConversationId":"siparis-43","status":"SUCCESS"}');
+  const sent = { ...body, iyziPaymentId: '9007199254740993' };
+  assert.equal(verifyIyzico(body, iyzicoSign(sent), SECRET), false);
+  assert.equal(verifyIyzico(body, iyzicoSign(body), SECRET), false, 'even when signed over the rounded value');
 });
 
 test('iyzico: forged, altered or unsigned notifications are rejected', () => {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tillerhand",
-  "version": "3.39.3",
+  "version": "3.39.4",
   "description": "Claude Code, Codex ve Antigravity için Türkçe vibe coding kiti: kurallar, komutlar, korumalar ve proje şablonları.",
   "license": "MIT",
   "type": "module",