uvako-cli 0.4.0 → 0.5.0

package/README.md

@@ -1,6 +1,8 @@
 # uvako-cli
 
-Uvako mağazaları için tema geliştirme aracı. Temayı başlatır, denetler, mağazanıza yükler ve kaydettikçe canlı önizletir.
+Uvako için tema ve uygulama geliştirme aracı. Temayı başlatır, denetler, mağazanıza yükler ve kaydettikçe
+canlı önizletir. Herkese açık uygulamayı başlatır, yerelde çalıştırıp webhook'ları bilgisayarınıza aktarır
+ve dağıtır.
 
 **[Uvako](https://uvako.com)** — Rox Software ürünü.
 
@@ -57,6 +59,35 @@ paneline giriş yapmış olmanız gerekir. Tema, panelden yayınlanana kadar vit
 `uvako-cli` aynı komutların uzun adıdır. Hata varsa çıkış kodu 1'dir. CI için `UVAKO_STORE` ve
 `UVAKO_TOKEN` ortam değişkenleri girişin yerini tutar.
 
+## Uygulamalar
+
+Uvako partnerleri birden çok mağazaya kurulabilen uygulama yazar. Mağaza uygulamayı panelindeki onay
+ekranından kurar (OAuth); uygulama yalnızca onaylanan kapsamlarla çalışır.
+
+```bash
+uvako login                          # partner hesabı: tarayıcıda partner panelinden onaylanır
+uvako app init stok-senkron          # örnek uygulama + uvako.app.json, Uvako'ya kaydeder
+cd stok-senkron
+uvako app dev --store <geliştirme mağazası>
+```
+
+`app dev` örnek uygulamayı client id ve secret ile başlatır, geliştirme mağazanızda uygulamanın adresini
+`http://localhost:3000` yapar, o mağazanın webhook'larını bilgisayarınızdaki alıcıya aktarır (imzasıyla) ve
+kurulum bağlantısını yazar. Tünel gerekmez.
+
+| Komut | Ne yapar |
+|---|---|
+| `uvako login` | Partner hesabıyla cihaz girişi (`--no-browser`: tarayıcıyı açmaz). |
+| `uvako logout --partner` | Partner girişini kapatır (anahtar sunucuda da iptal edilir). |
+| `uvako app init <ad>` | Örnek uygulama (`--dir`, `--offline`: kaydetmeden). |
+| `uvako app dev [klasör]` | Yerelde çalıştırma ve webhook aktarımı (`--store`, `--port`, `--no-serve`, `--no-update`). |
+| `uvako app deploy [klasör]` | `uvako.app.json`'u yeni sürüm olarak dağıtır (`--submit`). |
+| `uvako app submit [klasör]` | Uvako incelemesine gönderir; onaylanınca tüm mağazalar kurabilir. |
+| `uvako app list` | Uygulamalarınızı listeler (`--json`). |
+
+Her uygulama `app/uninstalled` ve üç KVKK/GDPR webhook'unu (`privacy_webhooks`) tanımlamak zorundadır.
+Client secret diske yazılmaz. CI için `UVAKO_PARTNER_TOKEN`. Ayrıntı: Uvako Admin API belgesi.
+
 ## Tema paketi
 
 Tema kod içermez. Bir katalog temasını (`base`) temel alır ve onun üstüne şunları getirir:

package/bin/uvako-cli.js

@@ -1,10 +1,15 @@
 #!/usr/bin/env node
 import { main } from "../src/main.js";
 
-main(process.argv.slice(2)).then(
-  (code) => process.exit(code),
-  (error) => {
-    console.error(`Hata: ${error?.message ?? error}`);
-    process.exit(1);
-  },
-);
+// Çıkış kodu atanır ve süreç kendiliğinden kapanır: process.exit, Windows'ta kapanmakta olan fetch
+// bağlantılarının üstüne gelince libuv uyarısıyla düşebiliyor. Açık kalan bir şey olursa kısa süre
+// sonra yine de çıkılır.
+const finish = (code) => {
+  process.exitCode = code;
+  setTimeout(() => process.exit(code), 3000).unref();
+};
+
+main(process.argv.slice(2)).then(finish, (error) => {
+  console.error(`Hata: ${error?.message ?? error}`);
+  finish(1);
+});

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "uvako-cli",
-  "version": "0.4.0",
-  "description": "Uvako tema geliştirme aracı. Tema başlatır, denetler, mağazaya yükler ve canlı önizletir. https://uvako.com",
+  "version": "0.5.0",
+  "description": "Uvako tema ve uygulama geliştirme aracı. Tema başlatır, denetler ve canlı önizletir; herkese açık uygulama başlatır, yerelde çalıştırıp webhook aktarır ve dağıtır. https://uvako.com",
   "type": "module",
   "license": "UNLICENSED",
   "author": {
@@ -42,7 +42,8 @@
   "files": [
     "bin",
     "src",
-    "README.md"
+    "README.md",
+    "templates"
   ],
   "engines": {
     "node": ">=22"

package/src/app.js

@@ -0,0 +1,412 @@
+import { spawn } from "node:child_process";
+import { existsSync, mkdirSync, readdirSync, readFileSync, statSync, writeFileSync } from "node:fs";
+import path from "node:path";
+import { fileURLToPath } from "node:url";
+import { ApiError } from "./api.js";
+import { partnerSaved } from "./config.js";
+import { t, tm } from "./i18n.js";
+import { explainPartner, partnerCall } from "./partner.js";
+
+// `uvako app`: herkese açık uygulamalar. Yapılandırma uygulama klasöründeki uvako.app.json'dur;
+// client secret diske yazılmaz (`app dev` yerel uygulamaya ortam değişkeniyle verir).
+
+export const configFile = "uvako.app.json";
+const templateDir = path.join(path.dirname(fileURLToPath(import.meta.url)), "..", "templates", "app");
+const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));
+const stamp = () => new Date().toLocaleTimeString("tr-TR");
+
+export function slug(text) {
+  return String(text ?? "")
+    .toLocaleLowerCase("tr")
+    .replace(/ı/g, "i").replace(/ğ/g, "g").replace(/ü/g, "u").replace(/ş/g, "s").replace(/ö/g, "o").replace(/ç/g, "c")
+    .replace(/[^a-z0-9]+/g, "-").replace(/^-+|-+$/g, "").slice(0, 40);
+}
+
+/** Yeni uygulamanın yapılandırması. Adresler örnektir; dağıtmadan önce gerçek adresle değiştirilir. */
+export function starterConfig(name) {
+  return {
+    client_id: "",
+    name,
+    application_url: "https://example.com",
+    redirect_urls: ["https://example.com/auth/callback"],
+    scopes: ["read_orders", "read_products"],
+    // Panelde iframe içinde açılır (@uvako/app-bridge ve oturum belirteci).
+    embedded: true,
+    webhooks: [{ topics: ["orders/create", "app/uninstalled", "app_subscriptions/update"], uri: "/webhooks" }],
+    // KVKK/GDPR zorunlu webhook'ları: üçü de tanımlı olmalı.
+    privacy_webhooks: {
+      customer_data_request_url: "/webhooks/customers/data_request",
+      customer_deletion_url: "/webhooks/customers/redact",
+      shop_deletion_url: "/webhooks/shop/redact",
+    },
+    listing: { tagline: "", description: "", category: "", pricing: "", website: "", support_email: "", privacy_url: "" },
+    dev: { command: "node server.js", port: 3000 },
+  };
+}
+
+export function readConfig(dir) {
+  const file = path.join(dir, configFile);
+  if (!existsSync(file)) throw new Error(t("{0} bir uygulama klasörü değil: {1} bulunamadı. Yeni uygulama için: uvako app init <ad>", dir, configFile));
+  let config;
+  try {
+    config = JSON.parse(readFileSync(file, "utf8"));
+  } catch (error) {
+    throw new Error(t("{0} geçerli JSON değil: {1}", configFile, error.message));
+  }
+  const problems = checkConfig(config);
+  if (problems.length) throw new Error(problems.map((p) => `${configFile}: ${p}`).join("\n"));
+  return config;
+}
+
+function writeConfig(dir, config) {
+  writeFileSync(path.join(dir, configFile), `${JSON.stringify(config, null, 2)}\n`);
+}
+
+/** Yerel denetim (kolaylık içindir; asıl denetimi sunucu yapar). */
+export function checkConfig(config) {
+  const problems = [];
+  if (!config || typeof config !== "object" || Array.isArray(config)) return [t("yapılandırma bir nesne olmalı.")];
+  if (typeof config.name !== "string" || !config.name.trim() || config.name.length > 60) problems.push(t("\"name\" gerekli (en çok 60 karakter)."));
+  if (config.client_id !== undefined && config.client_id !== "" && !/^[0-9a-f]{32}$/.test(config.client_id)) problems.push(t("\"client_id\" 32 karakterlik bir kimlik olmalı (ya da boş)."));
+  const https = (value) => {
+    try {
+      const u = new URL(value);
+      return u.protocol === "https:" && !u.username && !u.password;
+    } catch {
+      return false;
+    }
+  };
+  if (!https(config.application_url)) problems.push(t("\"application_url\" https:// ile başlayan bir adres olmalı."));
+  if (!Array.isArray(config.redirect_urls) || config.redirect_urls.length === 0 || config.redirect_urls.some((u) => !https(u))) problems.push(t("\"redirect_urls\" https adreslerinden oluşan bir liste olmalı."));
+  if (!Array.isArray(config.scopes) || config.scopes.length === 0 || config.scopes.some((s) => !/^(read|write)_[a-z_]+$/.test(s))) problems.push(t("\"scopes\" kapsam listesi olmalı (ör. [\"read_products\"])."));
+  if (config.webhooks !== undefined && (!Array.isArray(config.webhooks) || config.webhooks.some((w) => !Array.isArray(w?.topics) || typeof w?.uri !== "string"))) problems.push(t("\"webhooks\" [{\"topics\": [...], \"uri\": \"/webhooks\"}] biçiminde olmalı."));
+  const privacy = config.privacy_webhooks;
+  for (const key of ["customer_data_request_url", "customer_deletion_url", "shop_deletion_url"]) {
+    const value = privacy?.[key];
+    if (typeof value !== "string" || !(value.startsWith("/") ? !value.startsWith("//") : https(value))) problems.push(t("\"privacy_webhooks.{0}\" zorunlu: /webhooks/... yolu ya da https adresi (KVKK/GDPR).", key));
+  }
+  if (Array.isArray(config.webhooks) && !config.webhooks.some((w) => Array.isArray(w?.topics) && w.topics.includes("app/uninstalled"))) problems.push(t("\"webhooks\" içinde zorunlu app/uninstalled konusu yok."));
+  if (config.dev !== undefined &&(typeof config.dev !== "object" || (config.dev.port !== undefined && !(Number.isInteger(config.dev.port) && config.dev.port > 0 && config.dev.port < 65536)))) problems.push(t("\"dev.port\" geçerli bir port olmalı."));
+  return problems;
+}
+
+/** Sunucuya giden yapılandırma: client_id ve dev yerel kalır. */
+export function remoteConfig(config) {
+  const { client_id: _id, dev: _dev, ...rest } = config;
+  return { webhooks: [], listing: {}, ...rest };
+}
+
+export const blocksDir = "blocks";
+const blockFiles = new Set(["block.json", "block.html", "block.css"]);
+
+/**
+ * Vitrin blokları (theme app extension): blocks/<anahtar>/block.json (ad ve ayar şeması), block.html
+ * (şablon) ve isteğe bağlı block.css. Klasör varsa yapılandırmanın theme_blocks alanı buradan kurulur.
+ * Blokta kod çalışmaz; asıl denetimi sunucu yapar (tema paketleriyle aynı kurallar).
+ */
+export function readBlocks(dir) {
+  const root = path.join(dir, blocksDir);
+  if (!existsSync(root)) return null;
+  const blocks = [];
+  for (const handle of readdirSync(root).sort()) {
+    const folder = path.join(root, handle);
+    if (!statSync(folder).isDirectory()) continue;
+    for (const name of readdirSync(folder)) {
+      if (!blockFiles.has(name)) throw new Error(t("{0}: bilinmeyen dosya {1}. Blokta yalnızca block.json, block.html ve block.css olabilir.", `${blocksDir}/${handle}`, name));
+    }
+    const read = (name) => (existsSync(path.join(folder, name)) ? readFileSync(path.join(folder, name), "utf8") : "");
+    let meta;
+    try {
+      meta = JSON.parse(read("block.json") || "{}");
+    } catch (error) {
+      throw new Error(t("{0} geçerli JSON değil: {1}", `${blocksDir}/${handle}/block.json`, error.message));
+    }
+    blocks.push({ handle, name: meta.name ?? handle, template: read("block.html"), css: read("block.css"), settings: meta.settings ?? [] });
+  }
+  return blocks;
+}
+
+/** Yerel denetim: sunucunun reddedeceği belirgin hatalar (betik, olay özniteliği, döngü). */
+export function checkBlocks(blocks) {
+  const problems = [];
+  for (const b of blocks ?? []) {
+    const where = `${blocksDir}/${b.handle}`;
+    if (!/^[a-z0-9]+(?:-[a-z0-9]+)*$/.test(b.handle)) problems.push(t("{0}: klasör adı küçük harf, rakam ve tire olmalı.", where));
+    if (!b.template.trim()) problems.push(t("{0}: block.html boş.", where));
+    if (/<script\b|\son[a-z]+\s*=|javascript:/i.test(b.template)) problems.push(t("{0}: blokta betik çalıştırılamaz (<script>, onclick=, javascript:).", where));
+    if (/\{\{-?\s*(range|with|define|template|block)\b|\{\{-?\s*\$/.test(b.template)) problems.push(t("{0}: şablonda yalnızca {{ .settings.ad }} ve if/else kullanılabilir.", where));
+    if (/url\s*\(|@import/i.test(b.css)) problems.push(t("{0}: block.css içinde url() ve @import kullanılamaz.", where));
+    if (!Array.isArray(b.settings)) problems.push(t("{0}: block.json \"settings\" bir liste olmalı.", where));
+  }
+  return problems;
+}
+
+/** Bloklarla birlikte yapılandırma (blocks/ klasörü varsa theme_blocks onunla değiştirilir). */
+export function withBlocks(dir, config) {
+  const blocks = readBlocks(dir);
+  if (!blocks) return config;
+  const problems = checkBlocks(blocks);
+  if (problems.length) throw new Error(problems.join("\n"));
+  return { ...config, theme_blocks: blocks };
+}
+
+function fill(text, vars) {
+  return text.replace(/\{\{(\w+)\}\}/g, (_, key) => vars[key] ?? "");
+}
+
+/** `uvako app init <ad>`: örnek uygulama klasörü. Partner girişi varsa uygulama Uvako'ya da kaydedilir. */
+export async function initApp(name, options = {}) {
+  if (!name || name === true) throw new Error(t("Uygulama adı gerekli: uvako app init <ad>"));
+  const handle = slug(name);
+  if (!handle) throw new Error(t("Uygulama adı harf ya da rakam içermeli."));
+  const dir = path.resolve(options.cwd ?? process.cwd(), typeof options.dir === "string" ? options.dir : handle);
+  if (existsSync(path.join(dir, configFile))) throw new Error(t("Klasörde zaten bir uygulama var: {0}", dir));
+  mkdirSync(dir, { recursive: true });
+  const config = starterConfig(String(name));
+  writeFileSync(path.join(dir, "server.js"), readFileSync(path.join(templateDir, "server.js"), "utf8"));
+  writeFileSync(path.join(dir, "README.md"), fill(readFileSync(path.join(templateDir, "README.md"), "utf8"), { name: config.name }));
+  writeFileSync(path.join(dir, "package.json"), `${JSON.stringify({ name: handle, private: true, type: "module", scripts: { dev: "uvako app dev", start: "node server.js" }, engines: { node: ">=22" } }, null, 2)}\n`);
+  writeFileSync(path.join(dir, ".gitignore"), ".uvako/\nnode_modules/\n.env\n");
+  // Örnek vitrin bloğu: tema editöründen ana sayfaya eklenir.
+  const example = path.join(templateDir, blocksDir, "yildiz-puani");
+  mkdirSync(path.join(dir, blocksDir, "yildiz-puani"), { recursive: true });
+  for (const name of blockFiles) {
+    if (existsSync(path.join(example, name))) writeFileSync(path.join(dir, blocksDir, "yildiz-puani", name), readFileSync(path.join(example, name), "utf8"));
+  }
+  writeConfig(dir, config);
+  let registered = false;
+  if (!options.offline && (partnerSaved() || process.env.UVAKO_PARTNER_TOKEN)) {
+    const created = await partnerCall("POST", "/apps", { body: remoteConfig(withBlocks(dir, config)) });
+    config.client_id = created.app.clientId;
+    writeConfig(dir, config);
+    registered = true;
+  }
+  return { dir, config, registered };
+}
+
+/** Kayıtlı değilse kaydeder, değilse yapılandırmayı yeni sürüm olarak dağıtır. */
+async function syncRemote(dir, config) {
+  const body = remoteConfig(withBlocks(dir, config));
+  if (!config.client_id) {
+    const created = await partnerCall("POST", "/apps", { body });
+    config.client_id = created.app.clientId;
+    writeConfig(dir, config);
+    return { app: created.app, created: true, changed: true };
+  }
+  const before = await partnerCall("GET", `/apps/${config.client_id}`);
+  const app = await partnerCall("PUT", `/apps/${config.client_id}/config`, { body });
+  return { app, created: false, changed: app.revision !== before.revision };
+}
+
+const statusText = (app) =>
+  app.suspendedAt ? t("askıda") : { draft: t("taslak"), pending: t("incelemede"), approved: t("yayında"), rejected: t("reddedildi") }[app.status] ?? app.status;
+
+export async function deployApp(target, options = {}) {
+  const dir = path.resolve(target ?? ".");
+  try {
+    const config = readConfig(dir);
+    const { app, created, changed } = await syncRemote(dir, config);
+    if (created) console.log(t("Uygulama kaydedildi: {0} (client_id {1})", app.config.name, app.clientId));
+    console.log(changed ? t("Dağıtıldı: {0} sürüm {1}", app.config.name, app.revision) : t("Değişiklik yok: {0} sürüm {1}", app.config.name, app.revision));
+    console.log(t("Durum: {0}{1}", statusText(app), app.publishedRevision ? t(" · mağazalardaki sürüm {0}", app.publishedRevision) : ""));
+    if (app.publishedRevision !== app.revision) console.log(t("Bu sürüm yalnızca kendi geliştirme mağazalarınızda geçerli. Herkese açmak için: uvako app submit"));
+    if (options.submit) return submitApp(target);
+    return 0;
+  } catch (error) {
+    if (error instanceof ApiError) return explainPartner(error);
+    throw error;
+  }
+}
+
+export async function submitApp(target) {
+  const dir = path.resolve(target ?? ".");
+  try {
+    const config = readConfig(dir);
+    if (!config.client_id) throw new Error(t("Uygulama henüz kayıtlı değil. Önce: uvako app deploy"));
+    const app = await partnerCall("POST", `/apps/${config.client_id}/submit`, { body: {} });
+    console.log(t("İncelemeye gönderildi: {0} sürüm {1}. Uvako onayladığında tüm mağazalar bu sürümü kurabilir.", app.config.name, app.revision));
+    return 0;
+  } catch (error) {
+    if (error instanceof ApiError) return explainPartner(error);
+    throw error;
+  }
+}
+
+export async function listApps(options = {}) {
+  try {
+    const { apps } = await partnerCall("GET", "/apps");
+    if (options.json) {
+      console.log(JSON.stringify(apps, null, 2));
+      return 0;
+    }
+    if (!apps.length) console.log(t("Kayıtlı uygulamanız yok. Başlamak için: uvako app init <ad>"));
+    for (const a of apps) console.log(`  ${a.config.name}  [${a.clientId}]  ${t("sürüm {0}", a.revision)} · ${statusText(a)} · ${t("{0} kurulum", a.installs)}`);
+    return 0;
+  } catch (error) {
+    if (error instanceof ApiError) return explainPartner(error);
+    throw error;
+  }
+}
+
+/**
+ * Aktarılan bir webhook teslimatını yerel alıcıya gönderir. Başlıklar ve gövde Uvako'nun imzaladığı
+ * hâliyle gider; yol teslimat adresinin yoludur (https://uygulama.example.com/webhooks → /webhooks).
+ */
+export async function forward(delivery, localOrigin, timeout = 5000) {
+  const source = new URL(delivery.address);
+  const target = `${localOrigin}${source.pathname}${source.search}`;
+  const started = Date.now();
+  try {
+    const response = await fetch(target, { method: "POST", headers: delivery.headers, body: delivery.body, redirect: "manual", signal: AbortSignal.timeout(timeout) });
+    const text = (await response.text()).slice(0, 2048);
+    return { target, outcome: { code: response.status, body: text, error: "", durationMs: Date.now() - started } };
+  } catch (error) {
+    return { target, outcome: { code: 0, body: "", error: String(error.cause?.code ?? error.message ?? error), durationMs: Date.now() - started } };
+  }
+}
+
+/** Bir oturumun bekleyen teslimatlarını alıp yerel alıcıya iletir; iletilen sayısını döner. */
+export async function relayOnce(sessionId, localOrigin, log = console.log) {
+  const { deliveries } = await partnerCall("GET", `/dev/${sessionId}/deliveries`, { timeout: 20000 });
+  for (const d of deliveries) {
+    const { target, outcome } = await forward(d, localOrigin);
+    await partnerCall("POST", `/dev/${sessionId}/deliveries/${d.id}`, { body: outcome });
+    const result = outcome.code ? `${outcome.code}` : t("ulaşılamadı ({0})", outcome.error);
+    log(t("[{0}] {1} → {2} {3} ({4} ms)", stamp(), d.topic, new URL(target).pathname, result, outcome.durationMs));
+  }
+  return deliveries.length;
+}
+
+/** `uvako app dev`: yerel uygulamayı başlatır, geliştirme mağazasını ona bağlar ve webhook'ları aktarır. */
+export async function devApp(target, options = {}) {
+  const dir = path.resolve(target ?? ".");
+  let config;
+  let session;
+  let child = null;
+  try {
+    config = readConfig(dir);
+    const port = Number(options.port ?? config.dev?.port ?? 3000);
+    if (!Number.isInteger(port) || port < 1 || port > 65535) throw new Error(t("Geçersiz port: {0}", options.port));
+    const local = `http://localhost:${port}`;
+
+    if (!options["no-update"]) {
+      const { app, created, changed } = await syncRemote(dir, config);
+      if (created) console.log(t("Uygulama kaydedildi: {0} (client_id {1})", app.config.name, app.clientId));
+      else if (changed) console.log(t("Yapılandırma dağıtıldı: sürüm {0} (yalnızca kendi mağazalarınızda)", app.revision));
+    } else if (!config.client_id) {
+      throw new Error(t("Uygulama henüz kayıtlı değil. --no-update olmadan çalıştırın ya da: uvako app deploy"));
+    }
+
+    let store = typeof options.store === "string" ? options.store : "";
+    if (!store) {
+      const { stores } = await partnerCall("GET", "/stores");
+      if (stores.length !== 1) {
+        console.error(stores.length ? t("Hangi mağazada geliştireceğinizi seçin: --store <mağaza>") : t("Partner hesabınızda geliştirme mağazası yok. partner.uvako.com → Mağazalar → Geliştirme mağazası aç."));
+        for (const s of stores) console.error(`  ${s.slug}  ${s.host}`);
+        return 1;
+      }
+      store = stores[0].slug;
+    }
+    const redirects = config.redirect_urls.map((u) => {
+      const parsed = new URL(u);
+      return `${local}${parsed.pathname}`;
+    });
+    session = await partnerCall("POST", `/apps/${config.client_id}/dev`, { body: { store, app_url: local, redirect_urls: [...new Set(redirects)] } });
+    const { clientSecret } = await partnerCall("POST", `/apps/${config.client_id}/secret`, { body: {} });
+
+    if (!options["no-serve"]) {
+      const command = String(config.dev?.command ?? "node server.js");
+      const adminOrigin = session.store.admin.replace(/\/admin$/, "");
+      child = spawn(command, {
+        cwd: dir,
+        shell: true,
+        stdio: "inherit",
+        env: {
+          ...process.env,
+          PORT: String(port),
+          UVAKO_CLIENT_ID: config.client_id,
+          UVAKO_CLIENT_SECRET: clientSecret,
+          UVAKO_APP_URL: local,
+          UVAKO_SCOPES: config.scopes.join(","),
+          UVAKO_API_VERSION: "2026-10",
+          // Yerel mağaza (http) için; gerçek mağazalarda uygulama https://<shop> kullanır.
+          UVAKO_ADMIN_ORIGIN: adminOrigin.startsWith("http://") ? adminOrigin : "",
+          // Yerelde oturum belirtecinin dest'i bu mağazadır (örnek uygulama: shopFromOrigin).
+          UVAKO_SHOP: session.store.host,
+        },
+      });
+      child.on("exit", (code) => {
+        if (code !== null && code !== 0) console.error(t("! Yerel uygulama {0} koduyla kapandı.", code));
+      });
+    }
+
+    console.log(t("\nGeliştirme: {0} → {1} ({2})", config.name, session.store.name, session.store.host));
+    console.log(t("Yerel uygulama: {0}", local));
+    console.log(t("Kur / aç:       {0}", session.installUrl));
+    console.log(t("Bu mağazada uygulamanın adresi yerel adres oldu ve webhook'ları buraya aktarılıyor. Durdurmak için Ctrl+C.\n"));
+  } catch (error) {
+    child?.kill();
+    if (error instanceof ApiError) return explainPartner(error);
+    console.error(`✖ ${tm(error.message)}`);
+    return 1;
+  }
+
+  let stopping = false;
+  const stop = async () => {
+    if (stopping) return;
+    stopping = true;
+    try {
+      await partnerCall("DELETE", `/dev/${session.id}`);
+    } catch {
+      // Oturum 45 saniye sonra kendiliğinden düşer.
+    }
+    child?.kill();
+    console.log(t("\nGeliştirme durdu. Mağaza dağıtılan adresleri kullanıyor; webhook'lar yeniden internetten gidiyor."));
+  };
+  return new Promise((resolve) => {
+    process.on("SIGINT", () => void stop().then(() => resolve(0)));
+    const local = `http://localhost:${Number(options.port ?? config.dev?.port ?? 3000)}`;
+    (async () => {
+      let failures = 0;
+      while (!stopping) {
+        try {
+          const count = await relayOnce(session.id, local);
+          failures = 0;
+          if (count === 0) await sleep(1500);
+        } catch (error) {
+          if (stopping) break;
+          if (error instanceof ApiError && (error.status === 401 || error.status === 422 || error.status === 404)) {
+            console.error(`✖ ${tm(error.message)}`);
+            await stop();
+            resolve(1);
+            return;
+          }
+          failures++;
+          if (failures === 1 || failures % 10 === 0) console.error(t("[{0}] ! Partner paneline ulaşılamadı: {1}", stamp(), tm(error.message)));
+          await sleep(3000);
+        }
+      }
+    })();
+  });
+}
+
+export async function appCommand(command, target, options) {
+  if (command === "init") {
+    try {
+      const { dir, config, registered } = await initApp(target, options);
+      const rel = path.relative(process.cwd(), dir) || ".";
+      console.log(t("Uygulama oluşturuldu: {0}", rel));
+      console.log(registered ? t("Uvako'ya kaydedildi: client_id {0}", config.client_id) : t("Henüz kayıtlı değil (giriş yok ya da --offline). Kayıt için: uvako login, sonra uvako app deploy {0}", rel));
+      console.log(t("Sıradaki adım: cd {0} && uvako app dev --store <geliştirme mağazası>", rel));
+      return 0;
+    } catch (error) {
+      if (error instanceof ApiError) return explainPartner(error);
+      throw error;
+    }
+  }
+  if (command === "dev") return devApp(target, options);
+  if (command === "deploy") return deployApp(target, options);
+  if (command === "submit") return submitApp(target);
+  if (command === "list") return listApps(options);
+  return null;
+}

package/src/config.js

@@ -8,6 +8,13 @@ import { t } from "./i18n.js";
 
 export const defaultStoreApex = "uvoo.store";
 export const siteOrigin = () => process.env.UVAKO_SITE_URL || "https://uvako.com";
+/** Partner paneli: `uvako login` (cihaz girişi) ve `uvako app` komutları buraya bağlanır. */
+export const partnerOrigin = () => {
+  const raw = (process.env.UVAKO_PARTNER_URL || "https://partner.uvako.com").replace(/\/+$/, "");
+  const url = new URL(raw);
+  if (url.protocol !== "https:" && !local(url.hostname)) throw new Error(t("Partner paneline yalnızca https ile bağlanılır."));
+  return url.origin;
+};
 
 export function configDir() {
   if (process.env.UVAKO_CONFIG_DIR) return process.env.UVAKO_CONFIG_DIR;
@@ -20,9 +27,13 @@ const file = () => path.join(configDir(), "credentials.json");
 function read() {
   try {
     const data = JSON.parse(readFileSync(file(), "utf8"));
-    return { current: typeof data.current === "string" ? data.current : "", stores: data.stores && typeof data.stores === "object" ? data.stores : {} };
+    return {
+      current: typeof data.current === "string" ? data.current : "",
+      stores: data.stores && typeof data.stores === "object" ? data.stores : {},
+      partner: data.partner && typeof data.partner === "object" ? data.partner : null,
+    };
   } catch {
-    return { current: "", stores: {} };
+    return { current: "", stores: {}, partner: null };
   }
 }
 
@@ -99,3 +110,34 @@ export function sessions() {
 }
 
 export const credentialsPath = () => (existsSync(file()) ? file() : "");
+
+/**
+ * Partner oturumu (uvako app komutları): önce UVAKO_PARTNER_TOKEN (CI), sonra `uvako login` ile
+ * kaydedilen giriş. Anahtar yalnızca girişin yapıldığı partner adresine gönderilir.
+ */
+export function partnerSession() {
+  const origin = partnerOrigin();
+  if (process.env.UVAKO_PARTNER_TOKEN) return { origin, token: process.env.UVAKO_PARTNER_TOKEN.trim(), name: "" };
+  const entry = read().partner;
+  if (!entry?.token || entry.origin !== origin) throw new Error(t("Partner girişi yapılmamış. Önce: uvako login"));
+  return { origin, token: entry.token, name: entry.name ?? "", email: entry.email ?? "" };
+}
+
+export function savePartner(origin, token, name, email) {
+  const data = read();
+  data.partner = { origin, token, name, email, savedAt: new Date().toISOString() };
+  write(data);
+}
+
+export function dropPartner() {
+  const data = read();
+  const had = Boolean(data.partner);
+  data.partner = null;
+  write(data);
+  return had;
+}
+
+export function partnerSaved() {
+  const entry = read().partner;
+  return entry?.token ? { origin: entry.origin, name: entry.name ?? "", email: entry.email ?? "" } : null;
+}