Orbit kapısını yoruma uydur, yerel Worker'ı çalışır hale getir

identity.ts'teki yorum "ORBIT_ISSUER tanımlanır tanımlanmaz yerel geliştirme
yolu kapanır" diyordu ama koşul `ORBIT_ISSUER && ORBIT_AUDIENCE` idi ve
üretimde tam olarak bu boşluk açıktı: ISSUER secret olarak yazılmış,
AUDIENCE hiç tanımlanmamış, dolayısıyla akış Orbit bloğunu atlayıp dev
dalına düşüyordu. DEV_PUBLISH_TOKEN üretimde olmadığı için sonuç 401'di —
yani kusur görünmüyordu ve o token eklendiği gün sessizce açılacaktı.

Kapı artık yalnız ORBIT_ISSUER. Eksik AUDIENCE başka bir yola sapmıyor,
503 ile duruyor.

identity-tests.mjs bu garantiyi koda bağlıyor (9 vaka, test:orbit içinde
koşuyor). Eski koşul geri konduğunda hedef vaka düşüyor — mutasyonla
doğrulandı, dosya yedekten geri yüklendi.

Yerel wrangler dev'in çökme nedeni de bulundu: yerel D1'e göçler hiç
uygulanmamış, site_state tablosu yok, her sayfa 500. `npm run dev:ssr`
derleme + göç + sunucuyu tek komutta yapıyor; README bunu ve atlanınca
çıkan hatayı yazıyor.

Author: sametbasbug

README.md

@@ -292,9 +292,15 @@ skip themselves when it is absent.
 ## Development commands
 
 ```bash
-# Run the Astro dev server
+# Run the Astro dev server (static preview, no Worker bindings)
 npm run dev
 
+# Run the deployed Worker locally, with D1/R2 bindings and server routes.
+# This also applies pending migrations to the LOCAL database — skipping that
+# step leaves the local D1 empty and every page fails with
+# "no such table: site_state".
+npm run dev:ssr
+
 # Build the static site
 npm run build
 

package.json

@@ -15,6 +15,8 @@
   },
   "scripts": {
     "dev": "astro dev",
+    "dev:ssr": "npm run build:ssr && npm run dev:db && wrangler dev --config wrangler.ssr.jsonc",
+    "dev:db": "wrangler d1 migrations apply haber --local --config wrangler.ssr.jsonc",
     "build": "astro build",
     "build:ssr": "astro build --config astro.config.ssr.mjs",
     "deploy": "wrangler deploy --config wrangler.ssr.jsonc",
@@ -29,7 +31,7 @@
     "haber:ayna": "node scripts/haber-ayna.mjs",
     "haber:ayna:kuru": "node scripts/haber-ayna.mjs --kuru",
     "test:newsroom": "newsroom/.venv/bin/python -m pytest newsroom/tests",
-    "test:orbit": "node worker/tools/orbit-token-tests.mjs && node worker/tools/orbit-giris-tests.mjs",
+    "test:orbit": "node worker/tools/orbit-token-tests.mjs && node worker/tools/orbit-giris-tests.mjs && node worker/tools/identity-tests.mjs",
     "quality": "npm run test:newsroom && npm run test:orbit && npm run typecheck && npm run build"
   },
   "dependencies": {

worker/src/identity.ts

@@ -246,7 +246,18 @@ export async function authenticate(request: Request, env: AuthEnv): Promise<Auth
     };
   }
 
-  if (env.ORBIT_ISSUER && env.ORBIT_AUDIENCE) {
+  /* Kapı `ORBIT_ISSUER`: tanımlıysa bu bloktan CANLI ÇIKIŞ YOK, yani aşağıdaki
+   * yerel geliştirme dalına düşmek imkânsız. Koşul önceden
+   * `ORBIT_ISSUER && ORBIT_AUDIENCE` idi ve üretimde tam olarak bu boşluk
+   * açıktı: `ORBIT_ISSUER` tanımlı, `ORBIT_AUDIENCE` tanımlı değil, dolayısıyla
+   * blok atlanıp dev dalına düşülüyordu. `DEV_PUBLISH_TOKEN` tanımlı olmadığı
+   * için sonuç 401'di — ama yukarıdaki yorumun verdiği "Orbit tanımlanır
+   * tanımlanmaz dev yolu kapanır" garantisi yürürlükte değildi. Eksik ayar
+   * artık sessizce başka bir yola sapmıyor, 503 ile duruyor. */
+  if (env.ORBIT_ISSUER) {
+    if (!env.ORBIT_AUDIENCE) {
+      return { ok: false, status: 503, error: "Orbit yapılandırması eksik: ORBIT_AUDIENCE tanımlı değil" };
+    }
     const verified = await verifyOrbitToken(token, env.ORBIT_ISSUER, env.ORBIT_AUDIENCE);
     if ("error" in verified) return { ok: false, ...verified };
 
@@ -273,9 +284,10 @@ export async function authenticate(request: Request, env: AuthEnv): Promise<Auth
     };
   }
 
-  /* Orbit yapılandırılmamış: yalnız yerel geliştirme yolu. Bu dal üretimde
-   * çalışmamalı ve `ORBIT_ISSUER` tanımlanır tanımlanmaz kendiliğinden
-   * devre dışı kalır — unutulup açık kalabilecek ayrı bir bayrak yok. */
+  /* Orbit yapılandırılmamış: yalnız yerel geliştirme yolu. Buraya ancak
+   * `ORBIT_ISSUER` HİÇ tanımlı değilken gelinir — yukarıdaki blok tanımlıysa
+   * her durumda kendi içinde sonuçlanıyor. Unutulup açık kalabilecek ayrı bir
+   * bayrak yok. */
   if (env.DEV_PUBLISH_TOKEN && timingSafeEqual(token, env.DEV_PUBLISH_TOKEN)) {
     return {
       ok: true,

worker/tools/identity-tests.mjs

@@ -0,0 +1,103 @@
+/* `authenticate` yol seçimini sınar.
+ *
+ * Bu dosya bir yorumun verdiği sözü koda bağlamak için var. `identity.ts`
+ * "Orbit tanımlanır tanımlanmaz yerel geliştirme yolu kapanır" diyordu ama
+ * koşul `ORBIT_ISSUER && ORBIT_AUDIENCE` olduğu için üretimde tam tersi
+ * geçerliydi: ISSUER vardı, AUDIENCE yoktu, akış dev dalına düşüyordu.
+ * `DEV_PUBLISH_TOKEN` tanımlı olmadığı için kimse fark etmedi — yani kusur
+ * bir gün o token eklendiğinde sessizce açılacaktı.
+ *
+ * En önemli vaka bu yüzden "eksik ayar + geçerli dev token" vakası: garanti
+ * tutuyorsa oradan kimlik ÇIKMAMALI.
+ */
+import { authenticate } from "../src/identity.ts";
+
+const DEV = "dev-token-123";
+
+/* `first()` her zaman null döner: yayıncı anahtarı yolunun veritabanına
+ * gittiğini ama eşleşme bulamadığını temsil ediyor. Yol seçimini sınıyoruz,
+ * satır okumayı değil. */
+const bosDB = { prepare: () => ({ bind: () => ({ first: async () => null }) }) };
+
+const istek = (token) =>
+  new Request("https://haber.sametbasbug.dev/api/publish", {
+    method: "POST",
+    headers: token ? { authorization: `Bearer ${token}` } : {},
+  });
+
+const results = [];
+function check(label, actual, expected) {
+  const ok = actual === expected;
+  results.push({ ok, label });
+  console.log(`${ok ? "  ok  " : "FAIL  "}${label.padEnd(52)} ${String(actual).padEnd(46)} beklenen: ${expected}`);
+}
+const outcome = (r) => (r.ok ? `ok via=${r.identity.via}` : `${r.status} ${r.error}`);
+
+console.log("── Orbit kapısı ──");
+{
+  /* DÜZELTMENİN TA KENDİSİ: eksik AUDIENCE dev dalını açmamalı. */
+  const r = await authenticate(istek(DEV), {
+    DB: bosDB, ORBIT_ISSUER: "https://orbit.sametbasbug.dev", DEV_PUBLISH_TOKEN: DEV,
+  });
+  check("eksik ORBIT_AUDIENCE dev yolunu açmıyor", outcome(r), "503 Orbit yapılandırması eksik: ORBIT_AUDIENCE tanımlı değil");
+}
+{
+  /* Orbit tam yapılandırılmış: geçersiz token dev token'ıyla AYNI olsa bile
+   * Orbit doğrulamasında kalmalı, dev dalına düşmemeli. */
+  const r = await authenticate(istek(DEV), {
+    DB: bosDB,
+    ORBIT_ISSUER: "https://orbit.sametbasbug.dev",
+    ORBIT_AUDIENCE: "haber.sametbasbug.dev",
+    DEV_PUBLISH_TOKEN: DEV,
+  });
+  check("Orbit açıkken dev token Orbit'te reddediliyor", r.ok, false);
+  check("  ve dev yoluna düşmüyor", r.status === 401 || r.status === 503, true);
+}
+
+console.log("\n── yerel geliştirme yolu ──");
+{
+  const r = await authenticate(istek(DEV), { DB: bosDB, DEV_PUBLISH_TOKEN: DEV });
+  check("ORBIT_ISSUER yokken dev token geçiyor", outcome(r), "ok via=shared-secret");
+}
+{
+  const r = await authenticate(istek("baska"), { DB: bosDB, DEV_PUBLISH_TOKEN: DEV });
+  check("yanlış dev token reddediliyor", outcome(r), "401 yetkisiz");
+}
+{
+  const r = await authenticate(istek(DEV), { DB: bosDB });
+  check("DEV_PUBLISH_TOKEN yoksa reddediliyor", outcome(r), "401 yetkisiz");
+}
+
+console.log("\n── başlık ──");
+{
+  const r = await authenticate(istek(null), { DB: bosDB, DEV_PUBLISH_TOKEN: DEV });
+  check("başlıksız istek reddediliyor", outcome(r), "401 yetkilendirme başlığı yok");
+}
+
+console.log("\n── yayıncı anahtarı ──");
+{
+  /* Anahtar öneki tanınıyor ve VERİTABANINA gidiliyor; eşleşme yoksa 401.
+   * Önemli olan bu yolun Orbit kapısından bağımsız çalışmaya devam etmesi —
+   * geçiş sırasında ikisi birden ayakta kalmalı. */
+  const r = await authenticate(istek("hbr_pub_v1_xxx"), {
+    DB: bosDB, ORBIT_ISSUER: "https://orbit.sametbasbug.dev", ORBIT_AUDIENCE: "haber.sametbasbug.dev",
+  });
+  check("anahtar yolu Orbit açıkken de deneniyor", outcome(r), "401 yetkisiz");
+}
+{
+  const bulanDB = {
+    prepare: () => ({
+      bind: () => ({
+        first: async () => ({ subject: "asteria", author: "Asteria AI", may_write_brief: 1, may_publish: 1, disabled_at: null }),
+      }),
+    }),
+  };
+  const r = await authenticate(istek("hbr_pub_v1_xxx"), {
+    DB: bulanDB, ORBIT_ISSUER: "https://orbit.sametbasbug.dev", ORBIT_AUDIENCE: "haber.sametbasbug.dev",
+  });
+  check("geçerli anahtar Orbit açıkken de kabul", outcome(r), "ok via=publisher-key");
+}
+
+const failed = results.filter((r) => !r.ok);
+console.log(`\n${results.length - failed.length}/${results.length} geçti`);
+if (failed.length) { console.error("düşenler: " + failed.map((f) => f.label).join(", ")); process.exit(1); }