make semantic embedding dependency opt in

Dockerfile

@@ -20,8 +20,11 @@ WORKDIR /app
 
 # Playwright + Chromium (yalnızca chromium; sistem bağımlılıklarıyla)
 ENV PLAYWRIGHT_BROWSERS_PATH=/ms-playwright
+ARG ENABLE_SEMANTIC_MATCH=0
+ENV UYUM_GOMME=0
 RUN npm init -y >/dev/null \
- && npm i --omit=dev playwright@1.62.1 @huggingface/transformers@3 \
+ && npm i --omit=dev playwright@1.62.1 \
+ && if [ "$ENABLE_SEMANTIC_MATCH" = "1" ]; then npm i --omit=dev @huggingface/transformers@3; fi \
  && npx playwright install --with-deps chromium \
  && npm cache clean --force
 

docs/quality/evidence/qa-container-runtime.json

@@ -4,6 +4,7 @@
   "checks": {
     "nginxConfigTest": "successful",
     "apiHealth": {"status": 200, "body": {"ok": true}},
+    "runtimeNpmAudit": {"high": 0, "critical": 0, "total": 0},
     "staticSecurityHeaders": {
       "x-content-type-options": "nosniff",
       "referrer-policy": "no-referrer",

docs/quality/uygulama-durumu.md

@@ -2081,4 +2081,4 @@ Doğrulama: 289 test geçti, Vite üretim derlemesi başarılı. Host ortamında
 
 Docker runtime image’ında backend’in kullandığı ortak `src/` klasörünün eksik kopyalandığı bulundu ve Dockerfile’a eklendi; önceki image Node `ERR_MODULE_NOT_FOUND` nedeniyle 502 üretiyordu. Yeniden build sonrası `nginx -t` başarılı, `/api/health` 200 ve statik güvenlik başlıkları doğrulandı. Kanıt [`qa-container-runtime.json`](evidence/qa-container-runtime.json) içinde.
 
-Container doğrulamasında runtime npm audit, `@huggingface/transformers` üzerinden `sharp` için iki yüksek önem dereceli ve şu an otomatik düzeltmesi bulunmayan uyarı bildirdi. Bu nedenle semantic embedding özelliği üretimde etkinleştirilmeden önce bağımlılık yükseltmesi veya `UYUM_GOMME=0` ile kontrollü kapatma kararı verilmelidir; uyarı gizlenmeden yayın runbook’una işlendi.
+İlk container doğrulamasında runtime npm audit, `@huggingface/transformers` üzerinden `sharp` için iki yüksek önem dereceli ve otomatik düzeltmesi olmayan uyarı bildirdi. Dockerfile semantic embedding paketini artık varsayılan olarak kurmuyor (`ENABLE_SEMANTIC_MATCH=1` ile açıkça opt-in); varsayılan image audit sonucu 0 açık ve `UYUM_GOMME=0`. Embedding açılacaksa ayrı güvenlik incelemesi ve bağımlılık yükseltmesi gerekir.