tillerhand 3.39.3 → 3.40.0

package/.claude/commands/wrap-up.md

@@ -6,14 +6,10 @@ Bu oturumu kapatıyoruz. Bir sonraki oturum (veya `/clear` sonrası) sıfır ba
 
 1. `git status` ve `git diff --stat` ile bu oturumdaki değişiklikleri gör.
 2. `docs/workflow/progress.md`'yi güncelle (40 satırı geçmesin):
-   - Son güncelleme tarihi, aktif faz, aktif görev
-   - Şu anki durum: ne çalışıyor, ne yarım
-   - Son oturumda yapılanlar (eskileri sil, sadece bu oturum)
-   - Sıradaki adım: tek, net, hemen başlanabilir
-   - Bekleyen kararlar (sorulup cevap alınamayanlar)
-   - Açık sorunlar ve "AI için notlar"
-   - Kalın etiketli satırların biçimini bozma (durum çubuğu ve pano okur)
-3. `docs/product/roadmap.md`: biten görevler işaretli mi? Görev bittiyse ve kapsam kalkanı açık kaldıysa (`node .claude/hooks/freeze-guard.mjs --status`) kapat: `--plan-end`. Görev sürüyorsa açık kalsın.
+   - Tarih, aktif görev, sıradaki adım betikle yazılır (biçim bozulmaz): `node .claude/hooks/progress.mjs --task "<aktif görev veya ->" --next "<tek, net, hemen başlanabilir adım>"`. `/build` dışında yapılan bir iş varsa aynı çağrıya `--did "<tek satır>"` ekle (`/build` kendi satırını zaten yazdı).
+   - Elle: "Son oturumda yapılanlar"dan önceki oturumların satırlarını sil; aktif faz, şu anki durum (ne çalışıyor, ne yarım), bekleyen kararlar (sorulup cevap alınamayanlar), açık sorunlar ve "AI için notlar"
+   - En sonda `node .claude/hooks/progress.mjs --check`: kalın etiketli satırlar bozulduysa söyler (durum çubuğu ve pano okur)
+3. `docs/product/roadmap.md`: biten görevler işaretli mi? İşaretsizse `node .claude/hooks/progress.mjs --done G-NNN`. Görev bittiyse ve kapsam kalkanı açık kaldıysa (`node .claude/hooks/freeze-guard.mjs --status`) kapat: `--plan-end`. Görev sürüyorsa açık kalsın.
 4. `CHANGELOG.md` → "Yayınlanmamış" bölümüne kullanıcıya görünen değişiklikleri ekle.
 5. Bu oturumdaki tüm kararlar `docs/decisions/log.md` günlüğünde mi? Eksik olanları ekle.
 6. Yapı değiştiyse (yeni tablo, servis, klasör) `docs/architecture/overview.md`'yi güncelle.

package/README.en.md

@@ -6,7 +6,7 @@
 </p>
 
 <p align="center">
-  <a href="kit/CHANGELOG.md"><img alt="Version" src="https://img.shields.io/badge/version-3.39.3-2a78d6?style=flat-square"></a>
+  <a href="kit/CHANGELOG.md"><img alt="Version" src="https://img.shields.io/badge/version-3.40.0-2a78d6?style=flat-square"></a>
   <a href="LICENSE"><img alt="License: MIT" src="https://img.shields.io/badge/license-MIT-2a78d6?style=flat-square"></a>
   <img alt="Claude Code" src="https://img.shields.io/badge/Claude%20Code-ready-d97757?style=flat-square">
   <img alt="Also Codex and Antigravity" src="https://img.shields.io/badge/also-Codex%20%C2%B7%20Antigravity-5b6577?style=flat-square">
@@ -93,6 +93,14 @@ npx tillerhand init
 claude
 ```
 
+As a Claude Code plugin (an install skill; the kit is still copied into the project as files):
+
+```text
+/plugin marketplace add burakdogrul/TillerHand
+/plugin install tillerhand@tillerhand
+/tillerhand:init
+```
+
 With git instead of npm (the kit stays in a `vibe-kit/` folder inside the project and goes into `.gitignore`):
 
 ```bash

package/README.md

@@ -6,7 +6,7 @@
 </p>
 
 <p align="center">
-  <a href="kit/CHANGELOG.md"><img alt="Sürüm" src="https://img.shields.io/badge/s%C3%BCr%C3%BCm-3.39.3-2a78d6?style=flat-square"></a>
+  <a href="kit/CHANGELOG.md"><img alt="Sürüm" src="https://img.shields.io/badge/s%C3%BCr%C3%BCm-3.40.0-2a78d6?style=flat-square"></a>
   <a href="LICENSE"><img alt="Lisans: MIT" src="https://img.shields.io/badge/lisans-MIT-2a78d6?style=flat-square"></a>
   <img alt="Claude Code" src="https://img.shields.io/badge/Claude%20Code-haz%C4%B1r-d97757?style=flat-square">
   <img alt="Codex ve Antigravity" src="https://img.shields.io/badge/ayr%C4%B1ca-Codex%20%C2%B7%20Antigravity-5b6577?style=flat-square">
@@ -91,6 +91,14 @@ npx tillerhand init
 claude
 ```
 
+Claude Code plugin olarak (kurulum skill'i; kit yine projeye dosya olarak kopyalanır):
+
+```text
+/plugin marketplace add burakdogrul/TillerHand
+/plugin install tillerhand@tillerhand
+/tillerhand:init
+```
+
 npm yerine git ile (kit, proje içinde `vibe-kit/` klasöründe durur ve `.gitignore`'a girer):
 
 ```bash

package/kit/CHANGELOG.md

@@ -3,6 +3,19 @@
 Kit sürümü `kit/VERSION` dosyasında. Bir projeyi güncellemek: projede `/kit-update`.
 "Elle uyarla" notu olan maddeler projeye ait dosyalardadır; güncelleme bunlara dokunmaz.
 
+## [3.40.0] - 2026-10-27
+
+### Eklenen
+- **Claude Code plugin olarak kurulum.** Depo artık bir plugin marketplace'i: `/plugin marketplace add burakdogrul/TillerHand`, `/plugin install tillerhand@tillerhand`, sonra `/tillerhand:init`. Plugin yalnız kurulum skill'i taşır; kit yine projeye dosya olarak kopyalanır, korumalar ve izin listesi projede kalır. Kurulumdan sonra plugin kapatılabilir.
+
+## [3.39.4] - 2026-10-27
+
+### Düzeltilen
+- **Türkiye eki: iyzico ödeme kimliği 2^53 üstünde reddedilir.** `iyziPaymentId` JSON sayısı olarak gelir; JavaScript bu büyüklükte sayıyı yuvarlar ve yanlış kimlikle sipariş sorgulanabilirdi. Web SaaS imza doğrulaması artık yalnız güvenli tamsayıları kabul eder; saldırgan testine iki kontrol eklendi. Elle uyarla: projedeki `src/lib/payments/webhook-signature.ts` ve `tests/security/payment-webhook.mjs`.
+
+### Değişen
+- **`/wrap-up` ilerleme dosyasını betikle yazar.** Tarih, aktif görev, sıradaki adım ve yol haritası işareti `progress.mjs` ile; sonda `--check` etiket biçimini doğrular.
+
 ## [3.39.3] - 2026-10-26
 
 ### Düzeltilen

package/kit/VERSION

@@ -1 +1 @@
-3.39.3
+3.40.0

package/kit/guide.html

@@ -287,7 +287,7 @@ footer .container { display: flex; flex-wrap: wrap; gap: 16px; justify-content:
 <section class="hero">
   <div class="container">
     <div>
-      <span class="pill"><b>v3.39.3</b> Claude Code için başlangıç kiti · MIT</span>
+      <span class="pill"><b>v3.40.0</b> Claude Code için başlangıç kiti · MIT</span>
       <h1>Kodu AI yazar.<br><em>Dümen sende.</em></h1>
       <p class="sub">TillerHand, Claude Code ile bir ürünü fikirden canlıya ve bakıma kadar götürür. Her önemli kararda AI sana seçenekleri, önerisini ve her seçeneğin bedelini sunar. Bir uzman kurulu işi denetler, korumalar hatayı daha olmadan durdurur.</p>
       <div class="install"><span id="cmd">npx tillerhand init</span><button class="copy" type="button" data-copy="cmd">Kopyala</button></div>
@@ -528,6 +528,10 @@ Bekleyen karar: e-posta servisi</pre>
 mkdir yeni-proje &amp;&amp; cd yeni-proje
 npx tillerhand init
 claude
+<span class="c"># ya da Claude Code plugin olarak (Claude Code içinde)</span>
+/plugin marketplace add burakdogrul/TillerHand
+/plugin install tillerhand@tillerhand
+/tillerhand:init
 <span class="c"># ya da git ile: kit proje içinde vibe-kit/ klasöründe durur (.gitignore'a girer)</span>
 git clone https://github.com/burakdogrul/TillerHand.git vibe-kit
 node vibe-kit/kit/kit.mjs init
@@ -1055,7 +1059,7 @@ Sıradaki: G-013 şifre sıfırlama · bekleyen karar: e-posta servisi</pre>
 <footer>
   <div class="container">
     <a class="brand" href="#top" style="font-size:16px"><svg class="mark" style="width:22px;height:22px"><use href="#mark"/></svg>TillerHand</a>
-    <span>Sürüm 3.39.3 · <a href="https://github.com/burakdogrul/TillerHand">GitHub</a> · <a href="https://github.com/burakdogrul/TillerHand/blob/main/LICENSE">MIT lisansı</a> · KVKK bölümü kontrol listesidir, hukuki görüş değildir.</span>
+    <span>Sürüm 3.40.0 · <a href="https://github.com/burakdogrul/TillerHand">GitHub</a> · <a href="https://github.com/burakdogrul/TillerHand/blob/main/LICENSE">MIT lisansı</a> · KVKK bölümü kontrol listesidir, hukuki görüş değildir.</span>
   </div>
 </footer>
 

package/kit/kit.mjs

@@ -31,7 +31,7 @@ const ADDONS = fs.readdirSync(path.join(TEMPLATES, 'addons'));
 const TOOLS = ['claude', 'codex', 'antigravity'];
 // Root entries that are not part of the common layer (the kit itself, generated and temporary files)
 // CLAUDE.local.md is personal (in .gitignore); it must not be carried into a project installed from a local folder
-const COMMON_EXCLUDE = new Set(['.git', 'kit', 'node_modules', '.kit.json', '.kit.local.json', 'README.md', 'dashboard.html', '.previews', 'sandbox', '.calisma', '.impeccable', 'CLAUDE.local.md', 'LICENSE', 'README.en.md', 'package.json']);
+const COMMON_EXCLUDE = new Set(['.git', 'kit', 'node_modules', '.kit.json', '.kit.local.json', 'README.md', 'dashboard.html', '.previews', 'sandbox', '.calisma', '.impeccable', 'CLAUDE.local.md', 'LICENSE', 'README.en.md', 'package.json', '.claude-plugin']);
 // Files that only make sense in the kit repo and are not carried into projects
 const KIT_ONLY = ['.github/workflows/kit-tests.yml', '.github/workflows/npm-publish.yml'];
 // Run from the npm package (npx tillerhand): the kit lives in the npx cache, which can be cleared, so the record names

package/kit/templates/addons/tr/types/backend/app/shared/payments.py

@@ -21,7 +21,8 @@ IYZICO_CHECKOUT = (
 
 
 def _text(value: object) -> str | None:
-    # Only non-empty strings and integers are signed values; anything else fails the check
+    # Only non-empty strings and integers are signed values; anything else fails the check.
+    # json.loads keeps big integers exact, so unlike the TypeScript copy there is no 2^53 limit here.
     if isinstance(value, bool) or not isinstance(value, (str, int)):
         return None
     return str(value) or None

package/kit/templates/addons/tr/types/web-saas/src/lib/payments/webhook-signature.ts

@@ -9,8 +9,10 @@ const same = (a: string, b: string): boolean => {
   return x.length === y.length && timingSafeEqual(x, y);
 };
 const hmac = (key: string, text: string, encoding: 'hex' | 'base64'): string => createHmac('sha256', key).update(text).digest(encoding);
-// Only non-empty strings and numbers are signed values; anything else (missing, object, boolean) fails the check
-const text = (v: unknown): string | null => ((typeof v === 'string' || typeof v === 'number') && String(v) !== '' ? String(v) : null);
+// Only non-empty strings and safe integers are signed values; anything else (missing, object, boolean) fails the check.
+// iyziPaymentId is a JSON number (long): above 2^53 JSON.parse has already rounded it, so the id is wrong and is rejected.
+// shortcut: such a notification is refused (ids are ~8 digits today); if ids near 2^53, read it with a JSON.parse reviver's context.source.
+const text = (v: unknown): string | null => (typeof v === 'string' ? v || null : Number.isSafeInteger(v) ? String(v) : null);
 
 const IYZICO_DIRECT = ['iyziEventType', 'paymentId', 'paymentConversationId', 'status'];
 const IYZICO_CHECKOUT = ['iyziEventType', 'iyziPaymentId', 'token', 'paymentConversationId', 'status'];

package/kit/templates/addons/tr/types/web-saas/tests/security/payment-webhook.mjs

@@ -25,6 +25,15 @@ test('iyzico: a correctly signed notification is accepted (direct and checkout f
   assert.equal(verifyIyzico(direct, iyzicoSign(direct), SECRET), true);
   assert.equal(verifyIyzico(checkout, iyzicoSign(checkout), SECRET), true);
   assert.equal(verifyIyzico(direct, iyzicoSign(direct).toUpperCase(), SECRET), true, 'hex case does not matter');
+  const numeric = { ...checkout, iyziPaymentId: 22416751 };
+  assert.equal(verifyIyzico(numeric, iyzicoSign(numeric), SECRET), true, 'iyziPaymentId as a JSON number (long)');
+});
+
+test('iyzico: a payment id rounded by JSON.parse (above 2^53) is rejected', () => {
+  const body = JSON.parse('{"iyziEventType":"CHECKOUT_FORM_AUTH","iyziPaymentId":9007199254740993,"token":"tok-abc","paymentConversationId":"siparis-43","status":"SUCCESS"}');
+  const sent = { ...body, iyziPaymentId: '9007199254740993' };
+  assert.equal(verifyIyzico(body, iyzicoSign(sent), SECRET), false);
+  assert.equal(verifyIyzico(body, iyzicoSign(body), SECRET), false, 'even when signed over the rounded value');
 });
 
 test('iyzico: forged, altered or unsigned notifications are rejected', () => {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tillerhand",
-  "version": "3.39.3",
+  "version": "3.40.0",
   "description": "Claude Code, Codex ve Antigravity için Türkçe vibe coding kiti: kurallar, komutlar, korumalar ve proje şablonları.",
   "license": "MIT",
   "type": "module",
@@ -16,6 +16,7 @@
     "kit/",
     "!kit/eval/",
     "!kit/tests/",
+    "!kit/plugin/",
     ".gitattributes",
     "AGENTS.md",
     "CHANGELOG.md",