uvako-cli 0.1.2 → 0.2.0

package/README.md

@@ -1,6 +1,6 @@
 # uvako-cli
 
-Uvako mağazaları için tema geliştirme aracı. Temayı başlatır, denetler ve yüklenebilir pakete çevirir.
+Uvako mağazaları için tema geliştirme aracı. Temayı başlatır, denetler, mağazanıza yükler ve kaydettikçe canlı önizletir.
 
 **[Uvako](https://uvako.com)** — Rox Software ürünü.
 
@@ -13,45 +13,94 @@ npm install -g uvako-cli
 uvako version
 ```
 
+## Hızlı başlangıç
+
+1. Mağaza panelinde **Ayarlar → Temalar → Geliştirici erişimi** bölümünden bir erişim anahtarı oluşturun.
+2. Giriş yapın (anahtar sorulur, ekrana yazılmaz):
+
+```bash
+uvako login --store magazam
+```
+
+3. Bir katalog temasını temel alan yeni tema başlatın:
+
+```bash
+uvako theme init atolye --base linea
+```
+
+4. Canlı geliştirin: dosyaları kaydettikçe tema mağazanıza yüklenir, açık önizleme sayfası kendini yeniler.
+
+```bash
+uvako theme dev atolye
+```
+
+Önizleme adresi mağazanızın kendi adresidir (`https://magazam.uvoo.store/?preview=…`); tarayıcıda mağaza
+paneline giriş yapmış olmanız gerekir. Tema, panelden yayınlanana kadar vitrininizi değiştirmez.
+
 ## Komutlar
 
 | Komut | Ne yapar |
 |---|---|
-| `uvako theme init <anahtar>` | Yeni tema iskeleti oluşturur (`--name`, `--author`). |
+| `uvako login --store <mağaza>` | Mağazaya tema erişim anahtarıyla bağlanır. |
+| `uvako logout` · `uvako whoami` | Kayıtlı girişi siler · bağlı mağazayı gösterir. |
+| `uvako theme init <anahtar>` | Yeni tema iskeleti (`--base`, `--name`, `--author`). |
 | `uvako theme check [klasör]` | Temayı denetler: yapı, ayarlar, bölümler, görseller, güvenlik. |
+| `uvako theme dev [klasör]` | Canlı geliştirme: kaydettikçe yükler, önizleme yenilenir. |
+| `uvako theme push [klasör]` | Temayı mağazanın tema kütüphanesine yükler. |
+| `uvako theme pull <anahtar>` | Yüklediğiniz temayı indirir (`--dir`, `--force`). |
+| `uvako theme list` | Mağazadaki temaları ve yüklediğiniz paketleri listeler. |
+| `uvako theme submit <anahtar>` | Temayı themes.uvako.com için incelemeye gönderir. |
+| `uvako theme delete <anahtar> --yes` | Yüklediğiniz paketi siler. |
 | `uvako theme package [klasör]` | Denetimden geçen temayı zip paketine çevirir (`--out`). |
 | `uvako version` | Sürümü yazar. |
 
-`uvako-cli` aynı komutların uzun adıdır. `check`, hem bağımsız tema klasörlerinde hem platform deposundaki temalarda (`themes/<anahtar>`) çalışır; depodayken stil ve görselleri `frontend/storefront` altındaki yerlerinden okur. Hata varsa çıkış kodu 1'dir.
+`uvako-cli` aynı komutların uzun adıdır. Hata varsa çıkış kodu 1'dir. CI için `UVAKO_STORE` ve
+`UVAKO_TOKEN` ortam değişkenleri girişin yerini tutar.
 
 ## Tema paketi
 
-Tema kod içermez. Paket şunlardan oluşur:
+Tema kod içermez. Bir katalog temasını (`base`) temel alır ve onun üstüne şunları getirir:
 
 ```
-theme.json                     kimlik: key, name, version
-config/settings_schema.json    panelde görünen ayarlar
-config/settings_data.json      ayarların varsayılan değerleri
-config/sections.json           ana sayfa bölüm türleri
-templates/index.json           ana sayfadaki bölüm sırası
-styles/                        SCSS (renk / yazı tipi değişkenleri ve temaya özgü kurallar)
+theme.json                     kimlik: key, name, version, base; mağaza vitrini bilgileri
+config/settings_data.json      temel temadan farklı olan ayar değerleri
+config/settings_schema.json    (isteğe bağlı) panelde görünen ayarlar
+templates/index.json           (isteğe bağlı) ana sayfadaki bölüm sırası
+styles/_tokens.scss            renk, yazı tipi, köşe değişkenleri (temanın tamamına yayılır)
+styles/theme.scss              temaya özgü SCSS
 assets/                        logo, slayt ve banner görselleri, yazı tipleri
+reference/                     temel temanın ayarları ve bölüm türleri (pakete girmez)
 ```
 
+Bölümlerin kendisi (slayt, banner, ürün vitrini…) temel temadan gelir; paket hangilerinin hangi sırayla
+ve hangi görünümle kullanılacağını söyler. Katalog temaları: [themes.uvako.com](https://themes.uvako.com).
+
+## Yayınlama
+
+- `push` ile yüklenen tema **yalnızca kendi mağazanızda** görünür.
+- `submit` temayı Uvako incelemesine gönderir. Onaylanan sürüm themes.uvako.com'da listelenir ve diğer
+  mağazalar kurabilir. Fiyatı (`theme.json` içindeki `price` öneridir) Uvako onaylar.
+- Onaydan sonra yüklediğiniz yeni sürümler yeniden onaylanana kadar yalnızca kendi mağazanızı etkiler.
+
 ## Güvenlik kuralları
 
-`check` şunları reddeder:
+Mağaza, yüklenen paketi aynı kurallarla **kendisi yeniden denetler**; `check` hatayı önceden görmeniz içindir.
 
-- JSON, SCSS/CSS, görsel ve yazı tipi dışındaki her dosya türü (JavaScript, TypeScript, HTML, PHP, çalıştırılabilir dosyalar).
+- Yalnızca yukarıdaki dosyalar kabul edilir: JSON, SCSS, görsel ve yazı tipi. JavaScript, şablon ve
+  çalıştırılabilir dosyalar reddedilir.
 - `<script>`, `javascript:` adresleri, `onclick` gibi olay öznitelikleri, `<iframe>` (SVG ve ayar metinleri dahil).
 - Kod çalıştıran CSS (`expression`, `behavior`, `-moz-binding`).
-- SCSS içinden yazı tipi sağlayıcıları dışındaki adreslere yapılan çağrılar.
+- SCSS içinde döngü, fonksiyon ve mixin tanımı (`@while`, `@for`, `@each`, `@function`, `@mixin`, `@use`).
+  Temel temanın mixin'leri `@include` ile kullanılabilir.
+- Paketin kendi dosyaları dışındaki `@import`'lar ve yazı tipi sağlayıcıları dışındaki adresler.
 - Sembolik bağlar, gizli dosyalar, 5 MB'tan büyük dosyalar, 60 MB'tan büyük ya da 600 dosyadan fazla paketler.
 - Gizli anahtar ya da parola gibi görünen değerler.
 
-Araç platformun kaynak kodunu içermez ve ağa bağlanmaz.
+Erişim anahtarı yalnızca tema işlemlerine yetkilidir; sipariş, müşteri ve ayarlara erişemez. Bilgisayarınızda
+kullanıcı klasörünüzde saklanır, tema klasörüne yazılmaz, yalnızca giriş yaptığınız mağazaya ve yalnızca
+https üzerinden gönderilir. Kaybederseniz panelden iptal edin.
 
-Yerel önizleme (`theme dev`) ve mağazaya yükleme (`login`, `theme push`, `theme pull`) bu sürümde yoktur.
+Araç platformun kaynak kodunu içermez.
 
 ## Uvako
 

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "uvako-cli",
-  "version": "0.1.2",
-  "description": "Uvako tema geliştirme aracı. Tema başlatır, denetler ve paketler. https://uvako.com",
+  "version": "0.2.0",
+  "description": "Uvako tema geliştirme aracı. Tema başlatır, denetler, mağazaya yükler ve canlı önizletir. https://uvako.com",
   "type": "module",
   "license": "UNLICENSED",
   "author": {

package/src/api.js

@@ -0,0 +1,49 @@
+// Mağazanın tema uç noktası (/api/theme-cli). Erişim anahtarı yalnızca girişte seçilen mağazaya
+// gönderilir: yönlendirmeler izlenmez, böylece anahtar başka bir adrese taşınmaz.
+
+export class ApiError extends Error {
+  constructor(message, { status = 0, code = "", problems = [] } = {}) {
+    super(message);
+    this.status = status;
+    this.code = code;
+    this.problems = problems;
+  }
+}
+
+export async function call({ origin, token }, method, route, { body, raw = false, timeout = 120000 } = {}) {
+  let response;
+  try {
+    response = await fetch(`${origin}/api/theme-cli${route}`, {
+      method,
+      redirect: "error",
+      headers: { Authorization: `Bearer ${token}`, Accept: "application/json", "User-Agent": "uvako-cli", ...(body ? { "Content-Type": "application/zip" } : {}) },
+      body,
+      signal: AbortSignal.timeout(timeout),
+    });
+  } catch (error) {
+    throw new ApiError(`Mağazaya bağlanılamadı (${origin}): ${error.cause?.code ?? error.message}`);
+  }
+  if (response.ok) return raw ? Buffer.from(await response.arrayBuffer()) : response.json();
+  let payload = null;
+  try {
+    payload = await response.json();
+  } catch {
+    // JSON olmayan yanıt (ör. ağ geçidi hatası).
+  }
+  const problem = payload?.error ?? {};
+  const fallback = response.status === 404 ? "Bu adreste Uvako tema uç noktası yok. Mağaza adresini kontrol edin." : `Sunucu ${response.status} yanıtı verdi.`;
+  throw new ApiError(problem.message || fallback, { status: response.status, code: problem.code || "", problems: Array.isArray(problem.problems) ? problem.problems : [] });
+}
+
+/** Herkese açık uç nokta: temel temanın başlangıç ayarları (giriş gerektirmez). */
+export async function starter(site, base) {
+  let response;
+  try {
+    response = await fetch(`${site}/api/site/themes/${encodeURIComponent(base)}/starter`, { headers: { Accept: "application/json", "User-Agent": "uvako-cli" }, signal: AbortSignal.timeout(30000) });
+  } catch (error) {
+    throw new ApiError(`uvako.com'a bağlanılamadı: ${error.cause?.code ?? error.message}`);
+  }
+  if (response.status === 404) throw new ApiError(`"${base}" adında bir temel tema yok. Temalar: https://themes.uvako.com`, { status: 404 });
+  if (!response.ok) throw new ApiError(`Temel tema okunamadı (${response.status}).`, { status: response.status });
+  return response.json();
+}

package/src/check.js

@@ -2,20 +2,27 @@ import { existsSync, readFileSync } from "node:fs";
 import path from "node:path";
 import { walk } from "./files.js";
 
-// Tema paketinin denetimi. Kurallar platformun tema yükleyicisiyle (backend/internal/theme) aynı
-// yapıyı arar; üstüne güvenlik kuralları eklenir: tema kod çalıştıramaz, dışarıdan betik çağıramaz.
+// Tema denetimi. Mağazaya yüklenen paketi platform aynı kurallarla yeniden denetler; buradaki
+// denetim geliştiriciye hatayı yüklemeden önce göstermek içindir, güvenlik kararı sunucudadır.
+//
+// İki düzen vardır:
+//   paket  — bağımsız tema klasörü: theme.json içindeki "base" bir katalog temasıdır; paket onun
+//            üstüne ayar, bölüm sırası, SCSS ve görsel getirir.
+//   depo   — platform deposundaki katalog teması (themes/<anahtar>).
 
-export const limits = { fileBytes: 5 * 1024 * 1024, totalBytes: 60 * 1024 * 1024, files: 600 };
+export const limits = { fileBytes: 5 * 1024 * 1024, totalBytes: 60 * 1024 * 1024, files: 600, styleBytes: 512 * 1024, archiveBytes: 40 * 1024 * 1024 };
 
 const keyPattern = /^[a-z0-9]+(?:-[a-z0-9]+)*$/;
 const versionPattern = /^\d+\.\d+\.\d+$/;
+const stylePattern = /^_?[a-z0-9]+(?:[-_][a-z0-9]+)*\.scss$/;
+const segmentPattern = /^[A-Za-z0-9_][A-Za-z0-9._-]*$/;
 
-// Pakette bulunabilecek dosya türleri. Betik, şablon ve çalıştırılabilir dosyalar yoktur.
-const allowedExtensions = new Set([
-  ".json", ".scss", ".css", ".md", ".txt",
-  ".png", ".jpg", ".jpeg", ".webp", ".avif", ".gif", ".svg", ".ico",
-  ".woff", ".woff2", ".ttf", ".otf", ".eot",
-]);
+const assetExtensions = new Set([".png", ".jpg", ".jpeg", ".webp", ".avif", ".gif", ".svg", ".ico", ".woff", ".woff2", ".ttf", ".otf"]);
+// Depodaki katalog temalarında bulunabilecek dosya türleri.
+const repoExtensions = new Set([...assetExtensions, ".json", ".scss", ".css", ".md", ".txt", ".eot"]);
+
+/** Pakete girmeyen, yalnızca geliştiriciye yardımcı dosyalar. */
+export const localOnly = (rel) => rel === "README.md" || rel.startsWith("reference/") || rel.endsWith(".zip");
 
 // SCSS içinden çağrılabilecek dış adresler (yazı tipleri).
 const allowedStyleHosts = new Set(["fonts.googleapis.com", "fonts.gstatic.com", "fonts.bunny.net"]);
@@ -24,24 +31,25 @@ const scriptPatterns = [
   { pattern: /<script\b/i, text: "<script> etiketi" },
   { pattern: /javascript:/i, text: "javascript: adresi" },
   { pattern: /\son[a-z]+\s*=/i, text: "olay özniteliği (onclick, onload…)" },
-  { pattern: /<iframe\b|<object\b|<embed\b/i, text: "gömülü içerik etiketi" },
+  { pattern: /<iframe\b|<object\b|<embed\b|<foreignObject\b/i, text: "gömülü içerik etiketi" },
 ];
 
 const secretPatterns = [
   /-----BEGIN [A-Z ]*PRIVATE KEY-----/,
   /\b(sk|pk)_(live|test)_[A-Za-z0-9]{16,}\b/,
   /\bAKIA[0-9A-Z]{16}\b/,
+  /\buvt_[A-Za-z0-9_-]{20,}\b/,
   // JSON içinde tırnaklar ters eğik çizgiyle kaçışlı olabilir.
   /\b(api[_-]?key|secret|password|token)\\?["']?\s*[:=]\s*\\?["'][^"'\\]{12,}/i,
 ];
 
-function readJson(file, report, label) {
+function readJson(file, report, label, required = true) {
   if (!existsSync(file)) {
-    report.errors.push(`${label} yok.`);
+    if (required) report.errors.push(`${label} yok.`);
     return null;
   }
   try {
-    return JSON.parse(readFileSync(file, "utf8").replace(/^/, ""));
+    return JSON.parse(readFileSync(file, "utf8").replace(/^\uFEFF/, ""));
   } catch (error) {
     report.errors.push(`${label} geçerli JSON değil: ${error.message}`);
     return null;
@@ -82,22 +90,175 @@ function scanText(rel, text, report) {
   }
 }
 
-function scanStyle(rel, text, report) {
-  if (/expression\s*\(|behavior\s*:|-moz-binding/i.test(text)) report.errors.push(`${rel}: tarayıcıda kod çalıştıran CSS (expression, behavior, -moz-binding) içeriyor.`);
-  if (/javascript:/i.test(text)) report.errors.push(`${rel}: javascript: adresi içeriyor.`);
-  for (const match of text.matchAll(/(?:@import\s+(?:url\()?\s*|url\(\s*)["']?((?:https?:)?\/\/[^"')\s]+)/gi)) {
-    let host = "";
-    try {
-      host = new URL(match[1].startsWith("//") ? `https:${match[1]}` : match[1]).hostname;
-    } catch {
-      host = "?";
+function hostOf(target) {
+  try {
+    return new URL(target.startsWith("//") ? `https:${target}` : target).hostname;
+  } catch {
+    return "?";
+  }
+}
+
+const allowedUrl = (target) => /^(https:)?\/\//i.test(target) && allowedStyleHosts.has(hostOf(target));
+
+/**
+ * Stil denetimi. `strict` paketlerde açıktır: döngü, fonksiyon ve mixin tanımı yoktur (paket
+ * derleyiciyi kilitleyemez), yalnızca paketin kendi dosyaları içe aktarılır.
+ */
+function scanStyle(rel, source, report, { strict = false, styles = new Set(), tokens = false } = {}) {
+  let text = source.replace(/\/\*[\s\S]*?\*\//g, " ").replace(/(^|[\s;{}])\/\/[^\n]*/gm, "$1");
+  const held = [];
+  text = text.replace(/"(?:[^"\\\n]|\\.)*"|'(?:[^'\\\n]|\\.)*'/g, (quoted) => `"~${held.push(quoted.slice(1, -1)) - 1}~"`);
+  const resolve = (value) => {
+    const match = /^"~(\d+)~"$/.exec(value.trim());
+    return (match ? held[Number(match[1])] ?? "" : value).trim();
+  };
+  const all = `${text} ${held.join(" ")}`;
+  if (/expression\s*\(|behavior\s*:|-moz-binding|<\/style/i.test(all)) report.errors.push(`${rel}: tarayıcıda kod çalıştıran CSS (expression, behavior, -moz-binding) içeriyor.`);
+  if (/javascript:/i.test(all)) report.errors.push(`${rel}: javascript: adresi içeriyor.`);
+  if (strict) {
+    const rule = /@(while|for|each|function|mixin|use|forward|debug|warn|error|charset)\b/i.exec(text);
+    if (rule) report.errors.push(`${rel}: @${rule[1].toLowerCase()} kullanılamaz. Tema stilleri döngü, fonksiyon ve mixin tanımı içeremez; temel temanın mixin'leri @include ile kullanılabilir.`);
+    if (text.includes("\\")) report.errors.push(`${rel}: tırnak dışında ters eğik çizgi kullanılamaz.`);
+  }
+  text = text.replace(/url\(([^)]*)\)/gi, (_, inner) => {
+    const target = resolve(inner);
+    if (/^data:/i.test(target)) {
+      if (strict && !/^data:(image\/(png|jpe?g|gif|webp)|font\/woff2?|application\/font-woff2?);base64,/i.test(target)) report.errors.push(`${rel}: yalnızca görsel ve yazı tipi data: adresleri kullanılabilir.`);
+    } else if ((target.includes("//") || (strict && target.includes(":"))) && !allowedUrl(target)) {
+      report.errors.push(`${rel}: izin verilmeyen dış adres (${hostOf(target)}). Görsel ve yazı tiplerini assets/ altına koyun; yalnızca şu adresler çağrılabilir: ${[...allowedStyleHosts].join(", ")}.`);
+    }
+    return "url()";
+  });
+  for (const match of text.matchAll(/@import\s+([^;]+);/gi)) {
+    for (const part of match[1].split(",")) {
+      if (/^\s*url\(\)/i.test(part)) continue;
+      const target = resolve(part);
+      if (target.includes("//") || target.includes(":")) {
+        if (!allowedUrl(target)) report.errors.push(`${rel}: izin verilmeyen dış adres (${hostOf(target)}).`);
+      } else if (strict && !(/^[a-z0-9]+(?:[-_][a-z0-9]+)*$/.test(target) && (styles.has(`${target}.scss`) || styles.has(`_${target}.scss`)))) {
+        report.errors.push(`${rel}: @import "${target}" pakette yok. Yalnızca paketin kendi styles/ dosyaları içe aktarılabilir.`);
+      }
+    }
+  }
+  if (tokens) {
+    for (const raw of text.split(";")) {
+      const statement = raw.trim();
+      if (statement === "" || /^\$[A-Za-z0-9_-]+\s*:\s*[^{}@]+$/.test(statement) || /^@import/i.test(statement)) continue;
+      report.errors.push(`${rel}: yalnızca değişken ataması ($ad: değer;) ve yazı tipi @import'u içerebilir.`);
+      break;
+    }
+  }
+}
+
+function checkIdentity(dir, meta, report) {
+  const key = typeof meta?.key === "string" ? meta.key.trim() : "";
+  report.key = key;
+  if (!meta) return key;
+  if (!keyPattern.test(key) || key.length > 40) report.errors.push(`theme.json: "key" küçük harf, rakam ve tireden oluşmalı (ör. "linea").`);
+  else if (key !== path.basename(dir)) report.errors.push(`theme.json: "key" (${key}) klasör adıyla (${path.basename(dir)}) aynı olmalı.`);
+  if (!String(meta.name ?? "").trim()) report.errors.push(`theme.json: "name" gerekli.`);
+  if (!versionPattern.test(String(meta.version ?? ""))) report.errors.push(`theme.json: "version" 1.0.0 biçiminde olmalı.`);
+  if (!String(meta.description ?? "").trim()) report.warnings.push(`theme.json: "description" boş; tema listesinde açıklama görünmez.`);
+  return key;
+}
+
+function checkTemplate(index, types, report, source) {
+  if (!index) return;
+  if (!Array.isArray(index.order) || index.order.length === 0) report.errors.push(`templates/index.json: "order" boş; ana sayfada bölüm görünmez.`);
+  for (const id of index.order ?? []) {
+    const section = index.sections?.[id];
+    if (!section) report.errors.push(`templates/index.json: "order" içindeki "${id}" bölümü "sections" altında tanımlı değil.`);
+    else if (types && !types.has(section.type)) report.errors.push(`templates/index.json: "${id}" bölümünün türü (${section.type}) ${source} yok.`);
+  }
+}
+
+function checkImages(data, assets, report) {
+  if (!data || typeof data !== "object") return;
+  for (const [name, value] of Object.entries(data)) {
+    if (typeof value !== "string" || !/^uploads\/[^\s]+\.(png|jpe?g|webp|avif|gif|svg|ico)$/i.test(value)) continue;
+    if (!existsSync(path.join(assets, value))) report.errors.push(`config/settings_data.json: "${name}" ayarındaki görsel bulunamadı (assets/${value}).`);
+  }
+}
+
+// ── paket ──────────────────────────────────────────────────────────────────────────────────────
+
+function checkPackage(dir, meta, report) {
+  const base = String(meta?.base ?? "").trim();
+  if (meta && !keyPattern.test(base)) report.errors.push(`theme.json: "base" gerekli: paketin temel aldığı katalog teması (ör. "linea"). Temalar: https://themes.uvako.com`);
+  if (meta && (Number(meta.price ?? 0) < 0 || Number(meta.price ?? 0) > 100000 || Number.isNaN(Number(meta.price ?? 0)))) report.errors.push(`theme.json: "price" 0 ile 100.000 arasında olmalı.`);
+  if (meta?.demo_url && !/^https:\/\/[^\s]+$/.test(String(meta.demo_url))) report.errors.push(`theme.json: "demo_url" https:// ile başlayan bir adres olmalı.`);
+
+  const { files, links } = walk(dir);
+  for (const link of links) report.errors.push(`${link}: sembolik bağ pakete alınamaz.`);
+  const styles = new Set(files.filter((file) => file.rel.startsWith("styles/")).map((file) => file.rel.slice("styles/".length)));
+  const totals = { files: 0, bytes: 0, style: 0 };
+  let schema = null;
+  let data = null;
+  let index = null;
+  for (const file of files) {
+    const rel = file.rel;
+    if (localOnly(rel)) continue;
+    totals.files += 1;
+    totals.bytes += file.size;
+    const parts = rel.split("/");
+    if (parts.some((part) => !segmentPattern.test(part))) {
+      report.errors.push(`${rel}: dosya adında yalnızca harf, rakam, nokta, tire ve alt çizgi olabilir; gizli dosya olamaz.`);
+      continue;
     }
-    if (!allowedStyleHosts.has(host)) report.errors.push(`${rel}: izin verilmeyen dış adres (${host}). Görsel ve yazı tiplerini assets/ altına koyun; yalnızca şu adresler çağrılabilir: ${[...allowedStyleHosts].join(", ")}.`);
+    const ext = path.extname(rel).toLowerCase();
+    const text = () => readFileSync(file.full, "utf8");
+    if (rel === "theme.json") scanText(rel, text(), report);
+    else if (rel === "config/settings_schema.json" || rel === "config/settings_data.json" || rel === "templates/index.json") {
+      if (file.size > 1024 * 1024) report.errors.push(`${rel}: 1 MB sınırını aşıyor.`);
+      else scanText(rel, text(), report);
+    } else if (parts[0] === "styles" && parts.length === 2 && stylePattern.test(parts[1])) {
+      totals.style += file.size;
+      if (file.size <= limits.styleBytes) {
+        const source = text();
+        scanText(rel, source, report);
+        scanStyle(rel, source, report, { strict: true, styles, tokens: parts[1] === "_tokens.scss" });
+      }
+    } else if (parts[0] === "assets" && parts.length >= 2) {
+      if (!assetExtensions.has(ext)) {
+        report.errors.push(`${rel}: bu dosya türü (${ext || "uzantısız"}) temada bulunamaz.`);
+        continue;
+      }
+      if (file.size > limits.fileBytes) report.errors.push(`${rel}: ${(file.size / 1024 / 1024).toFixed(1)} MB; tek dosya sınırı ${limits.fileBytes / 1024 / 1024} MB.`);
+      else if (file.size > 1024 * 1024 && /\.(png|jpe?g|gif)$/i.test(ext)) report.warnings.push(`${rel}: ${(file.size / 1024 / 1024).toFixed(1)} MB. WebP ya da sıkıştırılmış JPEG sayfayı hızlandırır.`);
+      if (ext === ".svg" && file.size <= limits.fileBytes) scanText(rel, text(), report);
+    } else {
+      report.errors.push(`${rel}: bu dosya pakette bulunamaz. İzin verilenler: theme.json, config/settings_schema.json, config/settings_data.json, templates/index.json, styles/*.scss, assets/**.`);
+    }
+  }
+  if (totals.style > limits.styleBytes) report.errors.push(`Stil dosyaları toplam ${limits.styleBytes / 1024} KB sınırını aşıyor.`);
+  if (styles.size > 0 && !styles.has("theme.scss") && !(styles.size === 1 && styles.has("_tokens.scss"))) report.errors.push("styles/theme.scss yok: stil dosyaları oradan içe aktarılır.");
+
+  schema = readJson(path.join(dir, "config", "settings_schema.json"), report, "config/settings_schema.json", false);
+  if (schema) {
+    if (schema.group?.type !== "tab" || !Array.isArray(schema.group?.values) || schema.group.values.length === 0) report.errors.push(`config/settings_schema.json: "group" sekmeli olmalı ({"type":"tab","values":[…]}).`);
+    schemaKeys(schema.group, new Set(), report);
+  }
+  data = readJson(path.join(dir, "config", "settings_data.json"), report, "config/settings_data.json", false);
+  if (data && (typeof data !== "object" || Array.isArray(data))) report.errors.push("config/settings_data.json: anahtar-değer nesnesi olmalı.");
+  index = readJson(path.join(dir, "templates", "index.json"), report, "templates/index.json", false);
+  // Bölüm türleri temel temadan gelir; `theme init` bunları reference/sections.json dosyasına yazar.
+  const reference = existsSync(path.join(dir, "reference", "sections.json")) ? readJson(path.join(dir, "reference", "sections.json"), { errors: [] }, "") : null;
+  checkTemplate(index, reference?.sections ? new Set(Object.keys(reference.sections)) : null, report, `${base} temasında`);
+  checkImages(data, path.join(dir, "assets"), report);
+  for (const shot of [meta?.screenshot, ...(Array.isArray(meta?.screenshots) ? meta.screenshots : [])]) {
+    const rel = String(shot ?? "").trim().replace(/^\//, "").replace(/^assets\//, "");
+    if (rel && !existsSync(path.join(dir, "assets", rel))) report.errors.push(`theme.json: ekran görüntüsü pakette yok (assets/${rel}).`);
   }
+  report.files = totals.files;
+  report.bytes = totals.bytes;
+  if (totals.bytes > limits.totalBytes) report.errors.push(`Tema ${(totals.bytes / 1024 / 1024).toFixed(0)} MB; sınır ${limits.totalBytes / 1024 / 1024} MB.`);
+  if (totals.files > limits.files) report.errors.push(`Tema ${totals.files} dosya içeriyor; sınır ${limits.files}.`);
 }
 
-function scanFiles(root, label, report, totals) {
-  if (!existsSync(root)) return [];
+// ── platform deposundaki katalog teması ────────────────────────────────────────────────────────
+
+function scanRepoFiles(root, label, report, totals) {
+  if (!existsSync(root)) return;
   const { files, links } = walk(root);
   for (const link of links) report.errors.push(`${label}/${link}: sembolik bağ pakete alınamaz.`);
   for (const file of files) {
@@ -106,7 +267,7 @@ function scanFiles(root, label, report, totals) {
     totals.files += 1;
     totals.bytes += file.size;
     if (file.rel.split("/").some((part) => part === ".." || part.startsWith("."))) report.errors.push(`${rel}: gizli dosya ya da üst klasöre çıkan yol.`);
-    if (!allowedExtensions.has(ext)) {
+    if (!repoExtensions.has(ext)) {
       report.errors.push(`${rel}: bu dosya türü (${ext || "uzantısız"}) temada bulunamaz.`);
       continue;
     }
@@ -114,92 +275,60 @@ function scanFiles(root, label, report, totals) {
     else if (file.size > 1024 * 1024 && /\.(png|jpe?g|gif)$/i.test(ext)) report.warnings.push(`${rel}: ${(file.size / 1024 / 1024).toFixed(1)} MB. WebP ya da sıkıştırılmış JPEG sayfayı hızlandırır.`);
     if ([".json", ".scss", ".css", ".svg", ".md", ".txt"].includes(ext) && file.size <= limits.fileBytes) {
       const text = readFileSync(file.full, "utf8");
-      // Ayar verisindeki HTML alanları (alt bilgi menüsü gibi) platformda temizlenir; betik yine de reddedilir.
       scanText(rel, text, report);
       if (ext === ".scss" || ext === ".css") scanStyle(rel, text, report);
     }
   }
-  return files;
 }
 
-export function checkTheme(dir) {
-  const report = { dir, key: "", layout: "", errors: [], warnings: [], files: 0, bytes: 0 };
-  if (!existsSync(path.join(dir, "theme.json"))) {
-    report.errors.push(`${dir} bir tema klasörü değil: theme.json bulunamadı.`);
-    return report;
-  }
-  const where = locate(dir);
-  report.layout = where.layout;
-
-  // ── kimlik ───────────────────────────────────────────────────────────
-  const meta = readJson(path.join(dir, "theme.json"), report, "theme.json");
-  const key = typeof meta?.key === "string" ? meta.key.trim() : "";
-  report.key = key;
-  if (meta) {
-    if (!keyPattern.test(key) || key.length > 40) report.errors.push(`theme.json: "key" küçük harf, rakam ve tireden oluşmalı (ör. "linea").`);
-    else if (key !== path.basename(dir)) report.errors.push(`theme.json: "key" (${key}) klasör adıyla (${path.basename(dir)}) aynı olmalı.`);
-    if (!String(meta.name ?? "").trim()) report.errors.push(`theme.json: "name" gerekli.`);
-    if (!versionPattern.test(String(meta.version ?? ""))) report.errors.push(`theme.json: "version" 1.0.0 biçiminde olmalı.`);
-    if (!String(meta.description ?? "").trim()) report.warnings.push(`theme.json: "description" boş; tema listesinde açıklama görünmez.`);
-  }
-
-  // ── ayar şeması ve değerler ──────────────────────────────────────────
+function checkRepo(dir, meta, key, where, report) {
   const schema = readJson(path.join(dir, "config", "settings_schema.json"), report, "config/settings_schema.json");
-  const known = new Set();
   if (schema) {
     if (schema.group?.type !== "tab" || !Array.isArray(schema.group?.values)) report.errors.push(`config/settings_schema.json: "group" sekmeli olmalı ({"type":"tab","values":[…]}).`);
-    schemaKeys(schema.group, known, report);
+    schemaKeys(schema.group, new Set(), report);
   }
   const data = readJson(path.join(dir, "config", "settings_data.json"), report, "config/settings_data.json");
   if (data && (typeof data !== "object" || Array.isArray(data))) report.errors.push("config/settings_data.json: anahtar-değer nesnesi olmalı.");
 
-  // ── bölümler ve ana sayfa şablonu ────────────────────────────────────
   const sections = readJson(path.join(dir, "config", "sections.json"), report, "config/sections.json");
   const types = new Set(Object.keys(sections?.sections ?? {}));
   if (sections && types.size === 0) report.errors.push(`config/sections.json: "sections" altında en az bir bölüm türü olmalı.`);
   for (const [type, section] of Object.entries(sections?.sections ?? {})) {
     if (key && !type.startsWith(`${key}-`)) report.warnings.push(`config/sections.json: "${type}" bölüm türü tema anahtarıyla ("${key}-") başlamıyor.`);
     if (!String(section?.name ?? "").trim()) report.errors.push(`config/sections.json: "${type}" bölümünün adı yok.`);
-    // "keys" isteğe bağlıdır (ayarı olmayan ya da ayarları başka biçimde bağlanan bölümler vardır); verilmişse liste olmalı.
+    // "keys" isteğe bağlıdır; verilmişse liste olmalı.
     if (section?.keys !== undefined && !Array.isArray(section.keys)) report.errors.push(`config/sections.json: "${type}" bölümünün "keys" alanı liste olmalı.`);
   }
-  const index = readJson(path.join(dir, "templates", "index.json"), report, "templates/index.json (ana sayfa şablonu)");
-  if (index) {
-    if (!Array.isArray(index.order) || index.order.length === 0) report.errors.push(`templates/index.json: "order" boş; ana sayfada bölüm görünmez.`);
-    for (const id of index.order ?? []) {
-      const section = index.sections?.[id];
-      if (!section) report.errors.push(`templates/index.json: "order" içindeki "${id}" bölümü "sections" altında tanımlı değil.`);
-      else if (sections && !types.has(section.type)) report.errors.push(`templates/index.json: "${id}" bölümünün türü (${section.type}) config/sections.json içinde yok.`);
-    }
-  }
+  checkTemplate(readJson(path.join(dir, "templates", "index.json"), report, "templates/index.json (ana sayfa şablonu)"), sections ? types : null, report, "config/sections.json içinde");
 
-  // ── dosyalar: tür, boyut, güvenlik ───────────────────────────────────
   const totals = { files: 0, bytes: 0 };
-  if (where.layout === "package") {
-    const { files } = { files: scanFiles(dir, ".", report, totals) };
-    if (!files.some((file) => file.rel === "styles/theme.scss")) report.warnings.push("styles/theme.scss yok; tema platformun temel stilleriyle görünür.");
-  } else {
-    for (const sub of ["config", "templates"]) scanFiles(path.join(dir, sub), sub, report, totals);
-    scanFiles(where.styles, "styles", report, totals);
-    scanFiles(where.assets, "assets", report, totals);
-    if (!existsSync(path.join(where.styles, "theme.scss"))) report.errors.push(`Stil dosyası yok: ${path.join(where.styles, "theme.scss")}`);
-  }
+  for (const sub of ["config", "templates"]) scanRepoFiles(path.join(dir, sub), sub, report, totals);
+  scanRepoFiles(where.styles, "styles", report, totals);
+  scanRepoFiles(where.assets, "assets", report, totals);
+  if (!existsSync(path.join(where.styles, "theme.scss"))) report.errors.push(`Stil dosyası yok: ${path.join(where.styles, "theme.scss")}`);
   report.files = totals.files;
   report.bytes = totals.bytes;
   if (totals.bytes > limits.totalBytes) report.errors.push(`Tema ${(totals.bytes / 1024 / 1024).toFixed(0)} MB; sınır ${limits.totalBytes / 1024 / 1024} MB.`);
   if (totals.files > limits.files) report.errors.push(`Tema ${totals.files} dosya içeriyor; sınır ${limits.files}.`);
-
-  // ── ayarlardaki görseller yerinde mi ─────────────────────────────────
-  if (data && typeof data === "object") {
-    for (const [name, value] of Object.entries(data)) {
-      if (typeof value !== "string" || !/^uploads\/[^\s]+\.(png|jpe?g|webp|avif|gif|svg|ico)$/i.test(value)) continue;
-      if (!existsSync(path.join(where.assets, value))) report.errors.push(`config/settings_data.json: "${name}" ayarındaki görsel bulunamadı (assets/${value}).`);
-    }
-  }
+  checkImages(data, where.assets, report);
   if (meta?.screenshot) {
     const shot = String(meta.screenshot).replace(new RegExp(`^/themes/${key}/assets/`), "");
     if (!existsSync(path.join(where.assets, shot))) report.warnings.push(`theme.json: ekran görüntüsü bulunamadı (assets/${shot}).`);
   }
+}
+
+export function checkTheme(dir) {
+  const report = { dir, key: "", layout: "", errors: [], warnings: [], files: 0, bytes: 0 };
+  if (!existsSync(path.join(dir, "theme.json"))) {
+    report.errors.push(`${dir} bir tema klasörü değil: theme.json bulunamadı.`);
+    return report;
+  }
+  const where = locate(dir);
+  report.layout = where.layout;
+  const meta = readJson(path.join(dir, "theme.json"), report, "theme.json");
+  const key = checkIdentity(dir, meta, report);
+  if (where.layout === "package") checkPackage(dir, meta, report);
+  else checkRepo(dir, meta, key, where, report);
   return report;
 }