uvako-cli 0.4.0 → 0.6.0

package/templates/app/server.js

@@ -0,0 +1,357 @@
+// Uvako örnek uygulaması — bağımlılık yok (Node.js 22+).
+//
+// Ne yapar:
+//   GET  /                 Mağaza panelinden açılış (shop, timestamp, hmac imzalı). Kurulu değilse kurulumu başlatır.
+//                          embedded=1 ile panelin içindeki iframe'de açılır: sayfa @uvako/app-bridge'i
+//                          mağazadan yükler, sunucuya her istekte oturum belirteci (JWT) gönderir.
+//   GET  /api/shop         (Authorization: Bearer <oturum belirteci>) mağaza bilgisi
+//   POST /api/billing      (Bearer) aylık ücret oluşturur; panel onay sayfasının yolunu döner
+//   GET  /billing/return   Ücret kararından sonra dönüş: durumu okur, panele geri gönderir
+//   GET  /auth?shop=…      OAuth kurulumunu başlatır: mağazanın onay ekranına gönderir.
+//   GET  /auth/callback    Onay dönüşü: hmac ve state doğrulanır, kod erişim anahtarıyla değiştirilir.
+//   POST /webhooks         Mağaza olayları: X-Uvako-Hmac-Sha256 imzası doğrulanır.
+//   POST /webhooks/…       KVKK/GDPR zorunlu konuları (customers/data_request, customers/redact, shop/redact).
+//
+// Ortam değişkenleri (`uvako app dev` hepsini kendisi verir):
+//   UVAKO_CLIENT_ID, UVAKO_CLIENT_SECRET   Partner panelindeki uygulama kimliği ve sırrı
+//   UVAKO_APP_URL                          Uygulamanın adresi (yerelde http://localhost:3000)
+//   UVAKO_SCOPES                           İstenecek kapsamlar (virgülle)
+//   UVAKO_ADMIN_ORIGIN                     Yalnızca yerel geliştirme: mağazanın adresi (ör. http://demo.localhost:5174)
+//   UVAKO_SHOP                             Yalnızca yerel geliştirme: mağazanın platform adresi (ör. demo.localhost)
+//   UVAKO_EMBEDDED                         "0": uygulama panele gömülmez, kendi adresinde açılır (varsayılan gömülü)
+//   UVAKO_TEST_CHARGES                     "0": ücretler gerçek olur (varsayılan test: ödeme alınmaz)
+//   PORT                                   Dinlenecek port
+//
+// Erişim anahtarları .uvako/tokens.json dosyasında durur (depoya koymayın; .gitignore'da).
+import { createHmac, randomBytes, timingSafeEqual } from "node:crypto";
+import { mkdirSync, readFileSync, writeFileSync } from "node:fs";
+import { createServer } from "node:http";
+
+const PORT = Number(process.env.PORT || 3000);
+const CLIENT_ID = process.env.UVAKO_CLIENT_ID || "";
+const CLIENT_SECRET = process.env.UVAKO_CLIENT_SECRET || "";
+const APP_URL = (process.env.UVAKO_APP_URL || `http://localhost:${PORT}`).replace(/\/+$/, "");
+const SCOPES = process.env.UVAKO_SCOPES || "read_products";
+const ADMIN_ORIGIN = process.env.UVAKO_ADMIN_ORIGIN || "";
+const API_VERSION = "2026-10";
+const TOKENS = process.env.UVAKO_TOKENS_FILE || ".uvako/tokens.json";
+const EMBEDDED = process.env.UVAKO_EMBEDDED !== "0";
+const TEST_CHARGES = process.env.UVAKO_TEST_CHARGES !== "0";
+
+if (!CLIENT_ID || !CLIENT_SECRET) {
+  console.error("UVAKO_CLIENT_ID ve UVAKO_CLIENT_SECRET gerekli. Yerelde `uvako app dev` ile çalıştırın.");
+  process.exit(1);
+}
+
+// ---- güvenlik yardımcıları ---------------------------------------------------------------------
+
+const safeEqual = (a, b) => {
+  const x = Buffer.from(String(a));
+  const y = Buffer.from(String(b));
+  return x.length === y.length && timingSafeEqual(x, y);
+};
+
+/** Uvako'nun yönlendirmelere eklediği hmac: diğer parametreler ada göre sıralı, "k=v" ve "&" ile. */
+function validQuery(params) {
+  const hmac = params.get("hmac");
+  if (!hmac) return false;
+  const message = [...params.keys()].filter((k) => k !== "hmac").sort().map((k) => `${k}=${params.get(k)}`).join("&");
+  const expected = createHmac("sha256", CLIENT_SECRET).update(message).digest("hex");
+  const timestamp = Number(params.get("timestamp"));
+  // Eski bağlantılar tekrar kullanılamasın.
+  return safeEqual(hmac, expected) && Math.abs(Date.now() / 1000 - timestamp) < 300;
+}
+
+/** Webhook imzası: base64(HMAC-SHA256(ham gövde, client secret)). Gövde ayrıştırılmadan doğrulanır. */
+const validWebhook = (raw, signature) => safeEqual(createHmac("sha256", CLIENT_SECRET).update(raw).digest("base64"), signature || "");
+
+// Mağaza adresi yalnızca platform adresi olabilir; client secret'ı başka bir adrese göndermeyiz.
+const validShop = (shop) => /^[a-z0-9][a-z0-9-]*\.(uvoo\.store|localhost)$/.test(shop || "") && (!shop.endsWith(".localhost") || ADMIN_ORIGIN !== "");
+const shopOrigin = (shop) => (shop.endsWith(".localhost") ? ADMIN_ORIGIN : `https://${shop}`);
+
+/**
+ * Oturum belirteci (panelin verdiği JWT): HS256, client secret ile imzalı, aud = client id, bir dakika
+ * geçerli; dest mağazanın adresidir. Çerez yerine her API isteğinde Authorization başlığıyla gelir.
+ * Doğrulanınca isteğin hangi mağazadan geldiği bilinir.
+ */
+function verifySessionToken(header) {
+  const match = /^Bearer ([\w-]+)\.([\w-]+)\.([\w-]+)$/.exec(header || "");
+  if (!match) return null;
+  const [, head, body, signature] = match;
+  let alg, claims;
+  try {
+    alg = JSON.parse(Buffer.from(head, "base64url").toString("utf8")).alg;
+    claims = JSON.parse(Buffer.from(body, "base64url").toString("utf8"));
+  } catch {
+    return null;
+  }
+  if (alg !== "HS256") return null;
+  const expected = createHmac("sha256", CLIENT_SECRET).update(`${head}.${body}`).digest("base64url");
+  if (!safeEqual(expected, signature)) return null;
+  const now = Date.now() / 1000;
+  const leeway = 5;
+  if (claims.aud !== CLIENT_ID || !(now <= claims.exp + leeway) || now + leeway < claims.nbf || claims.iss !== `${claims.dest}/admin`) return null;
+  const shop = shopFromOrigin(claims.dest);
+  return shop ? { shop, claims } : null;
+}
+
+function shopFromOrigin(origin) {
+  try {
+    const u = new URL(origin);
+    if (u.protocol === "https:" && validShop(u.hostname)) return u.hostname;
+    // Yerel geliştirme: panel ADMIN_ORIGIN'de çalışır; mağaza `uvako app dev`in verdiği UVAKO_SHOP'tur.
+    const devShop = process.env.UVAKO_SHOP || u.hostname;
+    if (ADMIN_ORIGIN && u.origin === ADMIN_ORIGIN && validShop(devShop)) return devShop;
+  } catch {
+    // geçersiz adres
+  }
+  return "";
+}
+
+/** Uygulama yalnızca kendi mağazasının panelinde çerçevelenebilir (clickjacking'e karşı). */
+const frameHeaders = (shop) => ({ "Content-Security-Policy": `frame-ancestors ${shop ? shopOrigin(shop) : "'none'"}` });
+const panelApp = (shop) => `${shopOrigin(shop)}/admin/uygulamalar/ac/${CLIENT_ID}`;
+
+function sign(value) {
+  return `${value}.${createHmac("sha256", CLIENT_SECRET).update(value).digest("base64url")}`;
+}
+function unsign(cookie) {
+  const i = String(cookie || "").lastIndexOf(".");
+  if (i < 1) return "";
+  const value = cookie.slice(0, i);
+  return safeEqual(sign(value), cookie) ? value : "";
+}
+const cookies = (req) => Object.fromEntries((req.headers.cookie || "").split(/;\s*/).filter(Boolean).map((c) => [c.split("=")[0], decodeURIComponent(c.split("=").slice(1).join("="))]));
+
+// ---- erişim anahtarları -------------------------------------------------------------------------
+
+function readTokens() {
+  try {
+    return JSON.parse(readFileSync(TOKENS, "utf8"));
+  } catch {
+    return {};
+  }
+}
+function saveToken(shop, entry) {
+  const all = readTokens();
+  if (entry) all[shop] = entry;
+  else delete all[shop];
+  mkdirSync(TOKENS.split("/").slice(0, -1).join("/") || ".", { recursive: true });
+  writeFileSync(TOKENS, JSON.stringify(all, null, 2), { mode: 0o600 });
+}
+
+/** Admin API çağrısı: https://<mağaza>/api/admin/2026-10/… */
+async function adminApi(shop, path, { method = "GET", body } = {}) {
+  const entry = readTokens()[shop];
+  if (!entry) return { status: 401, body: {} };
+  const response = await fetch(`${shopOrigin(shop)}/api/admin/${API_VERSION}${path}`, {
+    method,
+    headers: { "X-Uvako-Access-Token": entry.token, Accept: "application/json", ...(body ? { "Content-Type": "application/json" } : {}) },
+    body: body ? JSON.stringify(body) : undefined,
+    redirect: "error",
+  });
+  return { status: response.status, body: await response.json().catch(() => ({})) };
+}
+
+// ---- yönlendirmeler -----------------------------------------------------------------------------
+
+function send(res, status, body, headers = {}) {
+  res.writeHead(status, { "Content-Type": "text/html; charset=utf-8", "X-Content-Type-Options": "nosniff", ...headers });
+  res.end(body);
+}
+const escape = (s) => String(s).replace(/[&<>"']/g, (c) => ({ "&": "&amp;", "<": "&lt;", ">": "&gt;", '"': "&quot;", "'": "&#39;" })[c]);
+
+function startInstall(res, shop) {
+  const state = randomBytes(16).toString("hex");
+  const authorize = new URL(`${shopOrigin(shop)}/admin/oauth/authorize`);
+  authorize.searchParams.set("client_id", CLIENT_ID);
+  authorize.searchParams.set("scope", SCOPES);
+  authorize.searchParams.set("redirect_uri", `${APP_URL}/auth/callback`);
+  authorize.searchParams.set("state", state);
+  // state, isteği başlatan tarayıcıya bağlanır (CSRF'e karşı).
+  send(res, 302, "", { Location: authorize.href, "Set-Cookie": `uvako_state=${sign(`${shop}|${state}`)}; HttpOnly; Path=/auth; Max-Age=600; SameSite=Lax` });
+}
+
+const missingScopes = (granted) => SCOPES.split(",").map((s) => s.trim()).filter((s) => s && !granted.includes(s) && !(s.startsWith("read_") && granted.includes(`write_${s.slice(5)}`)));
+
+/** Panelin içindeki sayfa. Köprü mağazanın kendi adresinden yüklenir; veri yalnızca belirteçli API'den gelir. */
+function embeddedPage(res, shop) {
+  const origin = shopOrigin(shop);
+  send(res, 200, `<!doctype html>
+<html lang="tr"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1">
+<title>Uvako örnek uygulaması</title>
+<style>body{font-family:system-ui,sans-serif;margin:24px;color:#1f2933}button{margin:0 8px 8px 0;padding:8px 14px;border-radius:8px;border:1px solid #cbd2d9;background:#fff;cursor:pointer}pre{background:#f5f7fa;padding:12px;border-radius:8px;white-space:pre-wrap}</style>
+<script src="${escape(origin)}/admin/app-bridge.js"></script></head>
+<body>
+<h1>Uvako örnek uygulaması</h1>
+<p id="shop">Mağaza bilgisi yükleniyor…</p>
+<p><button id="toast">Bildirim göster</button><button id="products">Ürünler sayfasına git</button><button id="modal">Onay penceresi</button><button id="plan">Pro plana geç (aylık ücret)</button></p>
+<pre id="log"></pre>
+<script>
+const log = (text) => { document.getElementById("log").textContent += text + "\\n"; };
+const app = UvakoAppBridge.createApp();
+app.title.set("Ana sayfa");
+app.fetch("/api/shop").then((r) => r.json()).then((b) => {
+  if (b.error) throw new Error(b.error);
+  document.getElementById("shop").textContent = "Mağaza: " + b.name;
+  log("Oturum belirteci sunucuda doğrulandı (" + b.dest + ").");
+}).catch((e) => log("Hata: " + e.message));
+document.getElementById("toast").onclick = () => app.toast.show("Örnek uygulamadan merhaba");
+document.getElementById("products").onclick = () => app.redirect.toAdmin("/urunler");
+document.getElementById("modal").onclick = () => app.modal.open({ title: "Emin misiniz?", message: "Bu yalnızca bir örnek.", primary: "Evet", secondary: "Vazgeç" }).then((a) => log("Seçim: " + a));
+document.getElementById("plan").onclick = () => app.fetch("/api/billing", { method: "POST" }).then((r) => r.json()).then((b) => {
+  if (!b.confirmation_url) throw new Error(b.error || "ücret oluşturulamadı");
+  // Onay panelde: yalnızca panel içi yol verilir, panel kendisi gider.
+  app.redirect.toAdmin(new URL(b.confirmation_url).pathname);
+}).catch((e) => log("Hata: " + e.message));
+</script>
+</body></html>`, frameHeaders(shop));
+}
+
+function json(res, status, payload) {
+  res.writeHead(status, { "Content-Type": "application/json; charset=utf-8", "Cache-Control": "no-store", "X-Content-Type-Options": "nosniff" });
+  res.end(JSON.stringify(payload));
+}
+
+/** /api/*: yalnızca geçerli oturum belirteciyle; çerez kabul edilmez. */
+async function api(req, res, url) {
+  const session = verifySessionToken(req.headers.authorization);
+  if (!session) return json(res, 401, { error: "oturum belirteci geçersiz" });
+  const { shop, claims } = session;
+  if (req.method === "GET" && url.pathname === "/api/shop") {
+    const { status, body } = await adminApi(shop, "/shop");
+    if (status !== 200) return json(res, 502, { error: `Admin API ${status}` });
+    return json(res, 200, { name: body.shop?.name ?? shop, dest: claims.dest });
+  }
+  if (req.method === "POST" && url.pathname === "/api/billing") {
+    const back = new URL(`${APP_URL}/billing/return`);
+    back.searchParams.set("shop", shop);
+    const { status, body } = await adminApi(shop, "/recurring_application_charges", {
+      method: "POST",
+      body: { recurring_application_charge: { name: "Pro plan", price: "99.00", return_url: back.href, trial_days: 0, test: TEST_CHARGES } },
+    });
+    if (status !== 201) return json(res, 422, { error: body.errors || `Admin API ${status}` });
+    console.log(`[ücret] ${shop} · ${body.recurring_application_charge.id} onay bekliyor`);
+    return json(res, 200, { confirmation_url: body.recurring_application_charge.confirmation_url });
+  }
+  json(res, 404, { error: "bulunamadı" });
+}
+
+/** Ücret kararından sonra (panel return_url?charge_id=… ile gönderir): durumu okur, panele döner. */
+async function billingReturn(res, url) {
+  const shop = url.searchParams.get("shop");
+  const id = url.searchParams.get("charge_id") || "";
+  if (!validShop(shop) || !/^[0-9a-f-]{36}$/.test(id)) return send(res, 400, "Geçersiz dönüş.");
+  const { body } = await adminApi(shop, `/recurring_application_charges/${id}`);
+  console.log(`[ücret] ${shop} · ${id}: ${body.recurring_application_charge?.status ?? "okunamadı"}`);
+  send(res, 302, "", { Location: EMBEDDED ? panelApp(shop) : "/" });
+}
+
+async function home(req, res, url) {
+  let shop = "";
+  if (url.searchParams.has("hmac")) {
+    if (!validQuery(url.searchParams)) return send(res, 400, "İmza geçersiz ya da bağlantının süresi doldu.");
+    shop = url.searchParams.get("shop");
+  } else {
+    shop = unsign(cookies(req).uvako_shop);
+  }
+  if (!validShop(shop)) return send(res, 200, `<h1>Uvako örnek uygulaması</h1><p>Uygulamayı mağaza panelinden açın.</p>`, frameHeaders(""));
+  const entry = readTokens()[shop];
+  if (url.searchParams.get("embedded") === "1") {
+    // Panel yalnızca kurulu uygulamayı çerçeveler; kurulum bilgisi burada yoksa çerçeve içinde OAuth yapılmaz.
+    if (!entry || missingScopes(entry.scope.split(",")).length) return send(res, 200, "<p>Kurulum bilgisi bulunamadı. Uygulamayı Uygulamalar sayfasından kaldırıp yeniden kurun.</p>", frameHeaders(shop));
+    return embeddedPage(res, shop);
+  }
+  // Kurulu değilse ya da yeni sürüm ek kapsam istiyorsa onay ekranına gönderilir.
+  if (!entry || missingScopes(entry.scope.split(",")).length) return startInstall(res, shop);
+  // Gömülü uygulama kendi adresinde açılmaz: panelin içindeki sayfasına döner.
+  if (EMBEDDED && url.searchParams.has("hmac")) return send(res, 302, "", { Location: panelApp(shop) });
+  const { status, body } = await adminApi(shop, "/shop");
+  if (status === 401) {
+    saveToken(shop, null);
+    return startInstall(res, shop);
+  }
+  send(res, 200, `<h1>Uvako örnek uygulaması</h1><p>Mağaza: <b>${escape(body.shop?.name ?? shop)}</b></p><p>Kapsamlar: ${escape(entry.scope)}</p>`, {
+    "Set-Cookie": `uvako_shop=${sign(shop)}; HttpOnly; Path=/; Max-Age=86400; SameSite=Lax`,
+  });
+}
+
+async function callback(req, res, url) {
+  const q = url.searchParams;
+  if (q.get("error")) return send(res, 200, "<p>Kurulum iptal edildi.</p>");
+  if (!validQuery(q)) return send(res, 400, "İmza geçersiz ya da bağlantının süresi doldu.");
+  const shop = q.get("shop");
+  const [stateShop, state] = unsign(cookies(req).uvako_state).split("|");
+  if (!validShop(shop) || stateShop !== shop || !state || !safeEqual(state, q.get("state") || "")) return send(res, 400, "state doğrulanamadı; kurulumu yeniden başlatın.");
+  const response = await fetch(`${shopOrigin(shop)}/api/admin/oauth/access_token`, {
+    method: "POST",
+    headers: { "Content-Type": "application/json", Accept: "application/json" },
+    body: JSON.stringify({ client_id: CLIENT_ID, client_secret: CLIENT_SECRET, code: q.get("code") }),
+    redirect: "error",
+  });
+  const token = await response.json().catch(() => ({}));
+  if (!response.ok) return send(res, 502, `Kod değiştirilemedi: ${escape(token.error_description || response.status)}`);
+  saveToken(shop, { token: token.access_token, scope: token.scope, installedAt: new Date().toISOString() });
+  console.log(`[kurulum] ${shop} · kapsamlar: ${token.scope}`);
+  send(res, 302, "", { Location: EMBEDDED ? panelApp(shop) : "/", "Set-Cookie": [`uvako_shop=${sign(shop)}; HttpOnly; Path=/; Max-Age=86400; SameSite=Lax`, "uvako_state=; Path=/auth; Max-Age=0"] });
+}
+
+const seen = new Set();
+
+function webhook(req, res) {
+  const chunks = [];
+  let size = 0;
+  req.on("data", (chunk) => {
+    size += chunk.length;
+    if (size > 1 << 20) req.destroy();
+    else chunks.push(chunk);
+  });
+  req.on("end", () => {
+    const raw = Buffer.concat(chunks);
+    if (!validWebhook(raw, req.headers["x-uvako-hmac-sha256"])) {
+      console.warn("[webhook] imza geçersiz, reddedildi");
+      return send(res, 401, "imza geçersiz");
+    }
+    // Yeniden denemelerde X-Uvako-Webhook-Id aynı kalır: aynı teslimat bir kez işlenir.
+    const id = req.headers["x-uvako-webhook-id"];
+    const topic = req.headers["x-uvako-topic"];
+    const shop = req.headers["x-uvako-shop-domain"];
+    if (!seen.has(id)) {
+      seen.add(id);
+      const body = JSON.parse(raw.toString("utf8"));
+      console.log(`[webhook] ${topic} · ${shop} · ${body.order_number ?? body.title ?? body.name ?? body.id ?? ""}`);
+      if (topic === "app/uninstalled") saveToken(shop, null);
+      // KVKK/GDPR zorunlu konuları: bu örnek müşteri verisi saklamaz; gerçek uygulama burada
+      // veriyi mağazaya iletir (data_request) ya da siler (redact). 30 gün içinde tamamlanmalı.
+      if (topic === "customers/data_request") console.log(`[kvkk] ${shop}: ${body.customer?.email ?? body.customer?.id} için veri talebi`);
+      if (topic === "customers/redact") console.log(`[kvkk] ${shop}: ${body.customer?.email ?? body.customer?.id} silinecek (${body.orders_to_redact?.length ?? 0} sipariş)`);
+      if (topic === "shop/redact") {
+        saveToken(shop, null);
+        console.log(`[kvkk] ${shop}: mağazanın tüm verisi silinecek`);
+      }
+    }
+    send(res, 200, "ok");
+  });
+}
+
+export const server = createServer((req, res) => {
+  const url = new URL(req.url, APP_URL);
+  const route = `${req.method} ${url.pathname}`;
+  const done = (promise) => promise.catch((error) => {
+    console.error(error);
+    send(res, 500, "Bir hata oluştu.");
+  });
+  if (route === "GET /") return done(home(req, res, url));
+  if (route === "GET /auth") {
+    const shop = url.searchParams.get("shop");
+    return validShop(shop) ? startInstall(res, shop) : send(res, 400, "shop parametresi bir Uvako mağazası olmalı.");
+  }
+  if (route === "GET /auth/callback") return done(callback(req, res, url));
+  if (url.pathname.startsWith("/api/")) return done(api(req, res, url));
+  if (route === "GET /billing/return") return done(billingReturn(res, url));
+  // /webhooks ve KVKK uçları (/webhooks/customers/redact …) aynı doğrulamadan geçer.
+  if (req.method === "POST" && (url.pathname === "/webhooks" || url.pathname.startsWith("/webhooks/"))) return webhook(req, res);
+  send(res, 404, "Bulunamadı");
+});
+
+server.listen(PORT, () => console.log(`Uygulama ${APP_URL} adresinde çalışıyor.`));