hikmettan/ihaleist
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

fix: bind Telegram pairing to expiring single-use account challenges

Browse Source
This commit is contained in:
hikmettan
2026-09-06 14:50:11 +03:00
parent aca1f5c3d1
commit 283bfe5990
9 changed files with 137 additions and 23 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/quality/uygulama-durumu.md
+8
View File
@@ -1116,3 +1116,11 @@ Taslak türü seçicisine erişilebilir ad eklendi. Üretim derlemesi geçti. Ö
- Test sırasında kurum tipi seçiminin erişilebilir adının eksik olduğu bulundu; `Filtre kurum tipi` adı eklendi. Diğer seçimlerde mevcut erişilebilir adlar kullanıldı. QA verisine sentetik usul/kurum tipi alanları eklendi; resmi ihale verisi olarak değerlendirilmez.
- Beş tarayıcı kontrolü geçti: ilk birleşik sonuç, yenileme sonrası yeniden uygulama, çelişen bölge boş sonucu, sıfırlama ve tekrar uygulama. Kanıt `rapor/qa-combined-saved-filter.json`. Build başarılı. Test sekmesi ve bu çalışmaya ait geçici sunucu kapatıldı. Bu dar UI değişikliği için otomatik süit tekrar çalıştırılmadı; son süit 262 testte geçmişti.
- D05/D09 birleşik filtre kullanıcı akışına kanıt eklendi. Resmi kaynak alanlarının doğruluğu, gerçek firma ile beş başvuru dosyası ve diğer kabul maddeleri hâlâ açık; genel plan tamamlanmadı.
### 2026-09-06 — Hesaba bağlı, süreli Telegram doğrulaması
- Güvenlik/işlev hatası: eski kod tarayıcıda Math.random ile üretiliyor, herhangi bir altı haneli değer kabul ediliyor ve getUpdates mesajının rakamları içinde alt-dizi aranıyordu; süre/hesap/tek kullanım yoktu. Sunucuda 24 rastgele baytlık kod, yalnız hash saklama, 10 dakika süre, hesaba bağlı doğrulama ve tüketim eklendi.
- Özel sohbet, insan gönderici ve sohbet/gönderici kimliği eşleşmesi gerekiyor. Yalnız yeni mesajın tamamının kod veya `/start kod` olması kabul ediliyor; grup, bot, eski/gelecek tarih, düzenlenmiş mesaj ve alt-dizi eşleşmesi reddediliyor. Sağlayıcı okumasından sonra kod tekrar doğrulanıyor; bu sırada iptal/yenileme/süre dolması bağlantıyı engelliyor. Sürüm kontrollü kayıt tek kullanımı koruyor.
- Genel veri yazma API'siyle doğrudan Telegram chatId atama yolu kapatıldı. UI sunucudan yeni kod oluşturuyor, son geçerliliği gösteriyor, kod oluşmadan doğrulama sunmuyor. Mevcut bağlı hesaplar korunuyor; otomatik bağlantı-onay mesajı yerine uygulama sonucu gösteriliyor.
- Doğrulama: 266 test ve build başarılı. Gerçek kullanıcı deposunda hesap ayrımı, hash saklama, yenileme, süre sınırı, tüketim ve devam eden doğrulamanın iptali; sahte Telegram yanıtlarında özel/taze/tam eşleşme; HTTP üzerinden doğrudan yazma ve eski kod reddi test edildi. Gerçek Telegram ağına test mesajı gönderilmedi.
- Açık kabul: yeni kod ekranının tarayıcı testi, izinli gerçek hesapla bağlama; getUpdates son 100 güncelleme penceresinin yoğun botta yetersiz kalması; genel Telegram bağlantı sürüm/geri dönüş akışları. Genel plan henüz tamamlanmadı.