@@ -142,7 +142,10 @@ def json(self):
 
         class Client:
             def get(self, url, **kwargs):
-                if "api.pexels.com" in url:
+                # `in` yerine `startswith`: alt dize kontrolü
+                # "https://kotu.example/?x=api.pexels.com" adresini de
+                # Pexels sanardı (py/incomplete-url-substring-sanitization).
+                if url.startswith("https://api.pexels.com/"):
                     return Response(payload={"photos": photos})
                 return Response(content=image)
 
 
@@ -25,7 +25,7 @@
  * aksi halde ayrı veritabanlarına bakıyor.
  */
 import { execFileSync } from "node:child_process";
-import { readFileSync, writeFileSync, readdirSync, unlinkSync, existsSync } from "node:fs";
+import { readFileSync, writeFileSync, readdirSync, unlinkSync } from "node:fs";
 import { join } from "node:path";
 
 const ARGS = process.argv.slice(2);
@@ -115,7 +115,16 @@ for (const a of makaleler) {
   const yol = join(DIZIN, `${a.slug}.md`);
   beklenen.add(`${a.slug}.md`);
   const yeni = markdownUret(a, etiketler.get(a.slug) ?? [], kaynaklar.get(a.slug) ?? []);
-  const eski = existsSync(yol) ? readFileSync(yol, "utf-8") : null;
+  /* Önce `existsSync` sorup sonra okumak iki ayrı sistem çağrısı: arada
+   * dosya kaybolursa okuma patlar. Doğrudan okuyup ENOENT'i yokluk sayıyoruz
+   * — tek çağrı, yarış yok (js/file-system-race). Diğer hatalar yutulmuyor:
+   * izin hatasını "dosya yok" saymak, arşivi sessizce yeniden yazdırırdı. */
+  let eski = null;
+  try {
+    eski = readFileSync(yol, "utf-8");
+  } catch (hata) {
+    if (hata.code !== "ENOENT") throw hata;
+  }
   if (eski === yeni) { degismeyen++; continue; }
   if (eski !== null && eski.trimEnd() === yeni.trimEnd()) sadeceSonBosluk++;
   else if (eski !== null) { farkliIcerik++; if (farkliIcerik <= 5) console.log(`  İÇERİK FARKI: ${a.slug}`); }
 
@@ -92,7 +92,17 @@ export function slugify(title: string): string {
     .join("")
     .toLowerCase();
 
-  let slug = mapped.replace(/[^a-z0-9]+/gu, "-").replace(/^-+|-+$/gu, "");
+  /* İkinci kalıpta `-+` değil `-` var ve bu bilinçli.
+   *
+   * İlk `replace` alfanümerik olmayan her DİZİYİ tek bir tireye indiriyor,
+   * yani çıktısında ardışık tire bulunması imkânsız. `-+$` yazmak, hiç
+   * oluşamayacak bir diziyi geri izlemeyle aramak demek: CodeQL bunu
+   * polinom ReDoS olarak işaretliyor (js/polynomial-redos) ve kalıp olarak
+   * haklı, yalnız buradaki girdiyle erişilemiyor.
+   *
+   * Tek tire yazmak hem denk hem geri izlemesiz. Ama denklik ilk `replace`'in
+   * daraltmasına DAYANIYOR: o kaldırılırsa burası da bozulur. */
+  let slug = mapped.replace(/[^a-z0-9]+/gu, "-").replace(/^-|-$/gu, "");
 
   if (slug.length > MAX_SLUG_LENGTH) {
     const cut = slug.slice(0, MAX_SLUG_LENGTH);
 
@@ -7,7 +7,20 @@
  */
 import { readFileSync } from "node:fs";
 
-const BASE = process.argv[2] ?? "http://localhost:8788";
+/* Bu araç yerel test verisini — test token'ları ve yayın külliyatı — gövdeye koyup BASE'e gönderiyor.
+ * BASE komut satırından geliyor ve varsayılanı düz `http`. Yanlış bir adres
+ * verilirse test verisi şifresiz olarak oraya gider (js/file-access-to-http).
+ * Bu yüzden hedef ya yereldir ya da `https` olmak zorunda. */
+function hedefiDogrula(base) {
+  const url = new URL(base);
+  const yerel = ["localhost", "127.0.0.1", "[::1]", "::1"].includes(url.hostname);
+  if (!yerel && url.protocol !== "https:") {
+    throw new Error(`Yerel olmayan hedefe düz http ile gidilmez: ${base}`);
+  }
+  return base;
+}
+
+const BASE = hedefiDogrula(process.argv[2] ?? "http://localhost:8788");
 const tokens = JSON.parse(readFileSync(new URL("../.cases/orbit-tokens.json", import.meta.url), "utf-8"));
 
 const results = [];
 
@@ -11,7 +11,20 @@
 import { readFileSync } from "node:fs";
 import { fileURLToPath } from "node:url";
 
-const BASE = process.argv[2] ?? "http://localhost:8790";
+/* Bu araç yerel test verisini — yayın külliyatı ve üretilmiş görseller — gövdeye koyup BASE'e gönderiyor.
+ * BASE komut satırından geliyor ve varsayılanı düz `http`. Yanlış bir adres
+ * verilirse test verisi şifresiz olarak oraya gider (js/file-access-to-http).
+ * Bu yüzden hedef ya yereldir ya da `https` olmak zorunda. */
+function hedefiDogrula(base) {
+  const url = new URL(base);
+  const yerel = ["localhost", "127.0.0.1", "[::1]", "::1"].includes(url.hostname);
+  if (!yerel && url.protocol !== "https:") {
+    throw new Error(`Yerel olmayan hedefe düz http ile gidilmez: ${base}`);
+  }
+  return base;
+}
+
+const BASE = hedefiDogrula(process.argv[2] ?? "http://localhost:8790");
 const TOKEN = process.env.DEV_PUBLISH_TOKEN ?? "yerel-gelistirme-tokeni-degistirilecek";
 const ROOT = fileURLToPath(new URL("../..", import.meta.url));