Dosya sistemi, ortam değişkenleri ve gizli bilgiler

Ders 27 ve 28'de yazdığın API'nin bir zayıflığı vardı: sunucu kapanınca bütün veri gidiyordu. Bu derste veriyi bir dosyaya yazıp kalıcı yapacaksın ve bunu yaparken çıkan iki gerçek tehlikeyi, yarım kalan dosyayı ve aynı anda gelen istekleri, kendi gözünle göreceksin. Sonra port ve şifre gibi ayarları koddan çıkarıp .env dosyasına taşıyacak, o dosyayı Git'ten ve internetten nasıl uzak tutacağını öğreneceksin. Dersin sonunda yeniden başlatılınca verisini unutmayan, ayarlarını ortamdan okuyan ve hiçbir şifresi koda ya da GitHub'a girmeyen bir API'n olacak.

#Bellek unutur, disk hatırlar

Programının değişkenleri bilgisayarın belleğinde (RAM) durur. Program kapanınca bellekteki her şey silinir; Ders 27'deki şampiyon dizisi de bu yüzden kayboldu. Disk ise program kapansa da, bilgisayar kapansa da hatırlar. Bir bilgiyi programdan uzun yaşatmak istiyorsan onu diske, bir dosyaya yazarsın.

Ders 28'deki sampiyon-api projene dokunmuyoruz. Bu ders için yeni ve kısa bir proje kur: kalici-api. Kodu kısa tutuyoruz ki dikkatin dosyalarda ve ayarlarda kalsın; öğrendiklerini sonra Ders 28'deki API'ne taşıyabilirsin.

PS C:\kod> mkdir kalici-apiPS C:\kod> cd kalici-apiPS C:\kod\kalici-api> npm init -y# mkdir'in yazdığı tabloyu ve npm init'in yazdığı package.json'u geçebilirsinPS C:\kod\kalici-api> npm install express added 65 packages, and audited 66 packages in 1s 28 packages are looking for funding  run `npm fund` for details found 0 vulnerabilities

Paket sayıları sende biraz farklı çıkabilir. Klasörü VS Code'da aç (File → Open Folder) ve Ders 28'deki gibi hemen .gitignore adında bir dosya oluşturup içine node_modules/ yaz; bu dosyayı ders boyunca büyüteceksin. Sonra package.json'da iki şeyi değiştir: "type": "commonjs" satırını "type": "module" yap (Ders 14), "scripts" kısmını da şöyle yaz:

6  "scripts": {7    "start": "node sunucu.js",8    "dev": "node --watch sunucu.js"9  },

npm run dev sunucuyu Ders 27'deki gibi --watch ile başlatacak. Bu dersteki bütün dosyalar C:\kod\kalici-api klasöründe.

#node:fs/promises: dosya ve klasör

Ders 17'de oyunun kaydını readFile ve writeFile ile tek bir dosyaya yazmıştın. Gerçek programlar çoğu zaman klasörlerle de çalışır: her maç için ayrı bir dosya, bir kayıt klasörü, yedekler. dosya-deneme.js adında bir dosya aç ve yaz:

1import { mkdir, writeFile, readdir, readFile } from "node:fs/promises"2 3await mkdir("maclar", { recursive: true })4await writeFile("maclar/mac-1.json", JSON.stringify({ sampiyon: "Ahri", sonuc: "zafer" }), "utf8")5await writeFile("maclar/mac-2.json", JSON.stringify({ sampiyon: "Garen", sonuc: "yenilgi" }), "utf8")6 7const adlar = await readdir("maclar")8console.log(adlar)9 10for (const ad of adlar) {11    const metin = await readFile("maclar/" + ad, "utf8")12    const mac = JSON.parse(metin)13    console.log(`${ad}: ${mac.sampiyon}, ${mac.sonuc}`)14}

[ 'mac-1.json', 'mac-2.json' ]mac-1.json: Ahri, zafermac-2.json: Garen, yenilgi

node dosya-deneme.js ile çalıştır. VS Code'un dosya listesinde maclar klasörü ve içinde iki dosya belirir. Programı ikinci kez çalıştır: aynı çıktı gelir, hata çıkmaz. Kullandığın dört fonksiyon ve birazdan işine yarayacak beşincisi:

{ recursive: true } iki iş görür: kayitlar/2026/ekim gibi iç içe klasörlerin hepsini tek seferde açar ve klasör zaten varsa hata vermez. Onu yazmasaydın ikinci çalıştırmada EEXIST: file already exists (dosya zaten var) hatası alırdın. E ile başlayan bu büyük harfli kodlar işletim sisteminden gelir: ENOENT "böyle bir şey yok", EEXIST "zaten var" demek.

readdir sana yalnız adları verir: mac-1.json, mac-2.json. Dosyayı okurken başına klasörü eklemen gerekir; bu yüzden "maclar/" + ad yazdık. Yalnız readFile(ad, "utf8") yazsaydın Node dosyayı maclar'ın içinde değil, terminalin bulunduğu klasörde arar ve ENOENT verirdi. Yolu metin birleştirerek kurmak çalışıyor ama kırılgan; bir sonraki bölümün konusu bu.

1import { mkdir, readFile } from "node:fs/promises"2 3await mkdir("maclar", { recursive: true })4const metin = await readFile("maclar", "utf8")

node:internal/fs/promises:1261    const bytesRead = (await PromisePrototypeThen(                       ^ Error: EISDIR: illegal operation on a directory, read    at async readFileHandle (node:internal/fs/promises:1261:24)    at async file:///C:/kod/kalici-api/dosya-deneme.js:4:15 {  errno: -4068,  code: 'EISDIR',  syscall: 'read'} Node.js v24.20.0

1import { writeFile } from "node:fs/promises"2 3await writeFile("kayitlar/mac-1.json", "{}", "utf8")

PS C:\kod\kalici-api> node dosya-deneme.jsnode:internal/fs/promises:1345  return new FileHandle(await PromisePrototypeThen(                        ^ Error: ENOENT: no such file or directory, open 'C:\kod\kalici-api\kayitlar\mac-1.json'    at async open (node:internal/fs/promises:1345:25)    at async writeFile (node:internal/fs/promises:1965:14)    at async file:///C:/kod/kalici-api/dosya-deneme.js:3:1 {  errno: -4058,  code: 'ENOENT',  syscall: 'open',  path: 'C:\\kod\\kalici-api\\kayitlar\\mac-1.json'} Node.js v24.20.0

#Dosya yolları: node:path ve import.meta.dirname

Dosya yolunu bir metin olarak yazıyoruz, ama yollar sıradan metinler değil. Windows klasörleri ters eğik çizgiyle (\) ayırır, internetteki sunucuların çoğunu çalıştıran Linux ise düz eğik çizgiyle (/). Bir de göreli yolların kime göre çözüldüğü sorusu var. Üç tuzağı sırayla görelim.

#Ters eğik çizgi tuzağı

Ders 17'de "\n"'in metnin içinde yeni satır demek olduğunu görmüştün. Ters eğik çizgi metnin içinde özel bir işaret başlatır, bu yüzden Windows yolunu tırnak içine olduğu gibi yazmak bozulur. yol-deneme.js adında bir dosya aç:

1const yanlis = "C:\kod\kalici-api\notlar.json"2const ciftCizgi = "C:\\kod\\kalici-api\\notlar.json"3const egikCizgi = "C:/kod/kalici-api/notlar.json"4console.log(yanlis)5console.log(ciftCizgi)6console.log(egikCizgi)

C:kodkalici-apiotlar.jsonC:\kod\kalici-api\notlar.jsonC:/kod/kalici-api/notlar.json

İlk satırda \k sessizce k oldu, \n ise yeni satıra dönüştü; ortada hata mesajı bile yok. İkinci satırda her \ iki kez yazıldı: \\ "gerçekten bir ters eğik çizgi" demek. Üçüncü satır düz eğik çizgi kullanıyor; Node, Windows'ta da /'yi anlar. Kendi kodunda yolları elle birleştirmek yerine bir sonraki bölümdeki aracı kullanacaksın.

#path.join: parçaları doğru birleştirmek

Node'un node:path modülü yollarla çalışmak için yazılmış küçük fonksiyonlar verir. yol-deneme.js'in içini sil ve şunu yaz:

1import path from "node:path"2 3console.log(path.join("maclar", "mac-1.json"))4console.log(path.join("C:/kod/kalici-api", "maclar/", "mac-1.json"))5console.log(path.join("maclar", "..", "veri.json"))6console.log(path.extname("mac-1.json"))7console.log(path.basename("C:\\kod\\kalici-api\\veri.json"))

maclar\mac-1.jsonC:\kod\kalici-api\maclar\mac-1.jsonveri.json.jsonveri.json

• path.join(...) parçaları işletim sisteminin ayırıcısıyla birleştirir. Windows'ta \ koydu; aynı kod Linux'ta maclar/mac-1.json üretir. İkinci satırda fazladan /'yi temizledi, eğik çizgileri de Windows'unkine çevirdi.
• .. "bir üst klasör" demek: maclar'a girip geri çıktı, geriye veri.json kaldı.
• path.extname uzantıyı, path.basename yolun son parçasını, yani dosyanın adını verir.

Kodun bir gün internetteki bir Linux sunucusunda çalışacak. Yolları "maclar\\" + ad diye elle yazarsan orada bozulur; path.join(...) iki yerde de doğru yolu kurar.

#Göreli yol kime göre?

Ders 17'nin sonunda bir tuzak görmüştün: oyunu bir üst klasörden başlatınca kayıt dosyası proje klasörüne değil, başka bir yere yazılmıştı. Sebebi, "kayit.json" gibi göreli yolların programın dosyasına göre değil, terminalin o an bulunduğu klasöre göre çözülmesi.

Farkı gözünle gör. nerede.js adında bir dosya aç, yaz ve iki farklı klasörden çalıştır:

1import path from "node:path"2 3console.log("Çalışma klasörü:", process.cwd())4console.log("Dosyanın klasörü:", import.meta.dirname)5console.log("Göreli yol:", path.resolve("veri.json"))6console.log("Sabit yol:", path.join(import.meta.dirname, "veri.json"))

PS C:\kod\kalici-api> node nerede.jsÇalışma klasörü: C:\kod\kalici-apiDosyanın klasörü: C:\kod\kalici-apiGöreli yol: C:\kod\kalici-api\veri.jsonSabit yol: C:\kod\kalici-api\veri.jsonPS C:\kod\kalici-api> cd ..PS C:\kod> node kalici-api\nerede.jsÇalışma klasörü: C:\kodDosyanın klasörü: C:\kod\kalici-apiGöreli yol: C:\kod\veri.jsonSabit yol: C:\kod\kalici-api\veri.json

• process Node'un, çalışan programı anlatan hazır objesi. process.cwd() çalışma klasörünü verir.
• import.meta.dirname bu kodun yazılı olduğu dosyanın klasörü. Programı nereden başlatırsan başlat değişmez.
• path.resolve("veri.json") göreli bir yolu çalışma klasörüne göre tam yola çevirir. Çıktıda göreli yolun nereye gittiğini bu yüzden görebildik.

Kural: programın kendi dosyalarını (veri, şablon, sayfa klasörü) her zaman path.join(import.meta.dirname, ...) ile bul. Böylece sunucuyu VS Code'un terminalinden de, başka bir klasörden de, canlı sunucudaki bir başlatıcıdan da çalıştırsan aynı dosyaya ulaşır. Ders 28'deki express.static("public") da bu yüzden kırılgandı; birazdan onu da düzelteceksin.

1import path from "node:path"2 3const dosya = path.join(__dirname, "veri.json")4console.log(dosya)

PS C:\kod\kalici-api> node eski-kod.jsfile:///C:/kod/kalici-api/eski-kod.js:3const dosya = path.join(__dirname, "veri.json")                        ^ ReferenceError: __dirname is not defined in ES module scopeThis file is being treated as an ES module because it has a '.js' file extension and '\\?\C:\kod\kalici-api\package.json' contains "type": "module". To treat it as a CommonJS script, rename it to use the '.cjs' file extension.    at file:///C:/kod/kalici-api/eski-kod.js:3:25    ... Node.js v24.20.0

#JSON dosyası: API'nin küçük veritabanı

Şimdi asıl işe geçiyoruz: API'nin verisini bir dosyada tutmak. Plan sade. Bütün veri veri.json adlı tek bir dosyada duracak; her istek dosyayı okuyacak, gerekiyorsa değiştirip geri yazacak:

1{2  "sonId": 2,3  "sampiyonlar": [4    { "id": 1, "isim": "Ahri" },5    { "id": 2, "isim": "Lux" }6  ]7}

sonId'yi Ders 28'den tanıyorsun: verilen son numara. sampiyonlar.length + 1 silmeden sonra aynı numarayı iki kez veriyordu; sonId bunu önlüyordu. Orada bellekteki bir değişkendi ve yeniden başlatınca 3'e dönüyordu. Şimdi verinin yanında, dosyada duruyor; o da kalıcı olacak.

#Okuyan ve yazan iki fonksiyon

Dosya işlerini sunucudan ayrı bir modülde topla. depo.js adında bir dosya aç:

1import { readFile, writeFile } from "node:fs/promises"2import path from "node:path"3 4const DOSYA = path.join(import.meta.dirname, "veri.json")5 6export async function oku() {7    try {8        const metin = await readFile(DOSYA, "utf8")9        return JSON.parse(metin)10    } catch (hata) {11        if (hata.code === "ENOENT") {12            return { sonId: 0, sampiyonlar: [] }13        }14        throw hata15    }16}17 18export async function yaz(veri) {19    await writeFile(DOSYA, JSON.stringify(veri, null, 2), "utf8")20}

• DOSYA bir önceki bölümün kuralına uyuyor: sunucu nereden başlarsa başlasın aynı veri.json.
• oku Ders 17'deki kalıp: dosya yoksa (ENOENT) bu bir hata değil, "henüz veri yok" demek; boş bir başlangıç verisi döner. Başka bir hatayı ne yapacağını bilmediği için yeniden fırlatır.
• yaz objeyi okunaklı JSON'a çevirip dosyanın üstüne yazar.

Şimdi sunucu.js'i yaz. Ders 28'deki API'nin iki uç noktası yeter. app.listen'ı Ders 28'deki gibi hata parametresiyle yazıyoruz:

1import express from "express"2import { oku, yaz } from "./depo.js"3 4const app = express()5const port = 30006 7app.use(express.json())8 9app.get("/api/sampiyonlar", async (req, res) => {10    const veri = await oku()11    res.json(veri.sampiyonlar)12})13 14app.post("/api/sampiyonlar", async (req, res) => {15    const isim = req.body?.isim16    if (typeof isim !== "string" || isim.trim() === "") {17        return res.status(400).json({ hata: "isim alanı gerekli" })18    }19    const veri = await oku()20    veri.sonId = veri.sonId + 121    const yeni = { id: veri.sonId, isim: isim.trim() }22    veri.sampiyonlar.push(yeni)23    await yaz(veri)24    res.status(201).json(yeni)25})26 27app.listen(port, (hata) => {28    if (hata) {29        throw hata30    }31    console.log(`Sunucu çalışıyor: http://localhost:${port}`)32})

PS C:\kod\kalici-api> npm run dev > kalici-api@1.0.0 dev> node --watch sunucu.js Sunucu çalışıyor: http://localhost:3000

POST route'u üç adımda çalışıyor: dosyayı oku, bellekteki kopyayı değiştir, dosyaya geri yaz. Dene: ikinci bir terminal aç, ahri.json ({ "isim": "Ahri" }) ve lux.json ({ "isim": "Lux" }) dosyalarını oluştur ve gönder:

PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar[]PS C:\kod\kalici-api> curl.exe --json "@ahri.json" http://localhost:3000/api/sampiyonlar{"id":1,"isim":"Ahri"}PS C:\kod\kalici-api> curl.exe --json "@lux.json" http://localhost:3000/api/sampiyonlar{"id":2,"isim":"Lux"}

İlk istekte dosya yoktu; oku boş listeyi döndürdü. İlk POST'tan sonra VS Code'un dosya listesinde veri.json belirdi; ikinci POST'tan sonra içi bölümün başındaki gibi oldu (yalnız JSON.stringify her alanı ayrı satıra yazar). Şimdi asıl denemeyi yap: birinci terminalde Ctrl+C ile sunucuyu durdur, npm run dev ile yeniden başlat ve listeyi iste:

PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar[{"id":1,"isim":"Ahri"},{"id":2,"isim":"Lux"}]

Ahri ve Lux yerinde. Sunucu yeniden başladı ama veri diskte bekliyordu. API'n artık kalıcı. Yine de bu hâliyle iki ciddi tehlikesi var; ikisini de kendin tetikleyeceksin.

#Birinci tehlike: yarım kalan dosya

Tablodaki notu hatırla: writeFile dosyanın içini önce boşaltır, sonra yeni metni parça parça yazar. Bu iki an arasında program ölürse ne olur? Elektrik kesilebilir, bilgisayar donabilir, sunucu bir hatayla çökebilir. Bunu taklit eden küçük bir program yaz. Önce verinin yedeğini al, çünkü bu deneme onu silecek. PowerShell'in Copy-Item kaynak hedef komutu bir dosyayı kopyalar:

PS C:\kod\kalici-api> Copy-Item veri.json veri-yedek.json

cokme.js adında bir dosya aç:

1import { yaz } from "./depo.js"2 3const sampiyonlar = []4for (let i = 1; i <= 200000; i++) {5    sampiyonlar.push({ id: i, isim: "Şampiyon " + i })6}7 8yaz({ sonId: 200000, sampiyonlar: sampiyonlar })9setTimeout(() => {10    console.log("Elektrik kesildi!")11    process.exit(1)12}, 3)

Program 200.000 şampiyonluk büyük bir veriyi yazmaya başlıyor ve 3 milisaniye sonra kendini kapatıyor. process.exit(1) programı o anda, yarım işlerini bitirmeden durdurur; kesintiyi böyle taklit ediyoruz. yaz'ın önüne bilerek await koymadık: yazma sürerken saatin işlemesini istiyoruz. Sunucu çalışırken ikinci terminalde dene:

PS C:\kod\kalici-api> node cokme.jsElektrik kesildi!PS C:\kod\kalici-api> (Get-Item veri.json).Length0PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><title>Error</title></head><body><pre>SyntaxError: Unexpected end of JSON input<br> &nbsp; &nbsp;at JSON.parse (&lt;anonymous&gt;)<br> &nbsp; &nbsp;at oku (file:///C:/kod/kalici-api/depo.js:9:21)<br> &nbsp; &nbsp;at async file:///C:/kod/kalici-api/sunucu.js:10:18</pre></body></html>

(Get-Item veri.json).Length dosyanın bayt cinsinden boyutunu verir: 0. Yeni veri yazılamadan program öldü, eski veri ise çoktan silinmişti; Ahri ve Lux gitti. Sende boyut 0 yerine yarım bir sayı da çıkabilir; hangi anda kesildiğine bağlı. API artık her istekte 500 dönüyor ve birinci terminalde aynı hata yazıyor:

SyntaxError: Unexpected end of JSON input    at JSON.parse (<anonymous>)    at oku (file:///C:/kod/kalici-api/depo.js:9:21)    at async file:///C:/kod/kalici-api/sunucu.js:10:18

Express hatayı yakaladı, sunucu çökmedi; ama dosya bozuk kaldıkça hiçbir istek başarılı olamaz. Yanıttaki sayfanın yığın izini, dosya yollarını ve satır numaralarını herkese göstermesi Express'in hazır hata sayfasından; bunu dersin sonunda, canlı ortam bölümünde yeniden ele alacağız. Şimdilik yedeği geri koy:

PS C:\kod\kalici-api> Copy-Item veri-yedek.json veri.json

1import { writeFile, readFile } from "node:fs/promises"2 3await writeFile("bos.json", "", "utf8")4const metin = await readFile("bos.json", "utf8")5console.log("Okunan karakter sayısı:", metin.length)6const veri = JSON.parse(metin)

Okunan karakter sayısı: 0<anonymous_script>:1  SyntaxError: Unexpected end of JSON input    at JSON.parse (<anonymous>)    at file:///C:/kod/kalici-api/bos.js:6:19 Node.js v24.20.0

#Geçici dosya ve rename

Çözümün fikri şu: asıl dosyaya hiç dokunmadan yeni veriyi başka bir dosyaya yaz, yazma bitince adını değiştir. Yeniden adlandırmak aynı diskte tek hamlede olur: bir an önce veri.json eski veriyi gösterir, bir an sonra yenisini. Arada yarım bir hâli yoktur.

depo.js'te iki yeri değiştir: ilk satırdaki import'a rename'i ekle ve yaz'ı yeniden yaz:

1import { readFile, writeFile, rename } from "node:fs/promises"2import path from "node:path"3 4const DOSYA = path.join(import.meta.dirname, "veri.json")5 6export async function oku() {7    try {8        const metin = await readFile(DOSYA, "utf8")9        return JSON.parse(metin)10    } catch (hata) {11        if (hata.code === "ENOENT") {12            return { sonId: 0, sampiyonlar: [] }13        }14        throw hata15    }16}17 18export async function yaz(veri) {19    const gecici = DOSYA + ".tmp"20    await writeFile(gecici, JSON.stringify(veri, null, 2), "utf8")21    await rename(gecici, DOSYA)22}

Yeni veri önce veri.json.tmp'ye yazılıyor. Yazma bütünüyle bitince rename onu veri.json'un yerine koyuyor; eski dosya o anda yenisiyle değişiyor. Kesinti yazma sırasında olursa yarım kalan şey .tmp dosyasıdır, asıl veri sağlam kalır. Kaydet (--watch sunucuyu yeniden başlatır, çünkü depo.js onun içe aktardığı bir dosya) ve aynı çöküşü yeniden dene:

PS C:\kod\kalici-api> node cokme.jsElektrik kesildi!PS C:\kod\kalici-api> (Get-Item veri.json).Length136PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar[{"id":1,"isim":"Ahri"},{"id":2,"isim":"Lux"}]

Program yine yarıda öldü, ama veri.json 136 baytlık eski hâliyle yerinde; API çalışmayı sürdürüyor. Klasörde içi boş ya da yarım bir veri.json.tmp kalmış olabilir. Zararsızdır, bir sonraki başarılı yazma onu ezer; Git'e girmemesini dersin ilerisinde ayarlayacağız.

#İkinci tehlike: aynı anda gelen istekler

Bir sunucu istekleri sırayla değil, gelir gelmez karşılar. İki istek aynı anda gelirse ikisi de dosyayı okur, ikisi de kendi kopyasını değiştirir, ikisi de yazar. Bunu da taklit et: kalabalik.js, on şampiyonu aynı anda eklemeye çalışan bir program. Ders 15'teki Promise.all istekleri aynı anda başlatır, Ders 26'daki ayar objesi de POST gönderir:

1const adres = "http://localhost:3000/api/sampiyonlar"2const isimler = ["Jinx", "Garen", "Teemo", "Annie", "Yasuo", "Zed", "Vi", "Sona", "Thresh", "Brand"]3 4function ekle(isim) {5    return fetch(adres, {6        method: "POST",7        headers: { "Content-Type": "application/json" },8        body: JSON.stringify({ isim: isim })9    })10}11 12const yanitlar = await Promise.all(isimler.map(ekle))13console.log("Durum kodları:", yanitlar.map((y) => y.status).join(" "))14 15const listeYaniti = await fetch(adres)16const liste = await listeYaniti.json()17console.log("Listede", liste.length, "şampiyon var")

Listede Ahri ve Lux var; on ekleme başarılı olursa 12 olmalı:

PS C:\kod\kalici-api> node kalabalik.jsDurum kodları: 201 201 201 201 500 500 500 500 500 500Listede 3 şampiyon var

On istekten dördü 201 Created aldı, yani dört kişiye "eklendi" denildi; ama listede yalnız bir yeni şampiyon var. Altısı ise 500 aldı. Sende sayılar her çalıştırmada değişir; bazen son satır bile hata verir, çünkü liste isteği de o anda kaybolmuş ya da bozulmuş bir dosyaya çarpabilir. Sunucunun terminali neler olduğunu söylüyor:

Error: EPERM: operation not permitted, rename 'C:\kod\kalici-api\veri.json.tmp' -> 'C:\kod\kalici-api\veri.json'    at async rename (node:internal/fs/promises:1490:10)    at async yaz (file:///C:/kod/kalici-api/depo.js:21:5)    at async file:///C:/kod/kalici-api/sunucu.js:23:5 {  errno: -4048,  code: 'EPERM',  syscall: 'rename',  path: 'C:\\kod\\kalici-api\\veri.json.tmp',  dest: 'C:\\kod\\kalici-api\\veri.json'}

İki ayrı sorun üst üste biniyor:

• Ezilen değişiklik: İstekler dosyayı neredeyse aynı anda okudu ve hepsi aynı eski listeyi gördü. Her biri listeye kendi şampiyonunu ekleyip dosyaya yazdı; sonra yazan, öncekinin eklediğini görmeden üstüne yazdı. 201 alan dört şampiyondan üçü böyle kayboldu, hem de hiçbir hata mesajı olmadan.
• Aynı geçici dosya: Bütün istekler aynı veri.json.tmp'ye yazıp onu taşımaya çalıştı. Biri taşırken öteki aynı dosyaya yazıyordu; Windows izin vermedi (EPERM). Bazen de dosya çoktan taşınmış olduğu için ENOENT çıktı.

Böyle bir hata, sen tek başına denerken neredeyse hiç görünmez: istekler sırayla gelir, her şey çalışır. Gerçek kullanıcılar gelince ortaya çıkar. Denemeden sonra yedeği geri koy: Copy-Item veri-yedek.json veri.json.

#Yazmaları sıraya koymak

Çözüm, "oku, değiştir, yaz" işini bir anda tek bir isteğin yapması. Diğerleri sırada bekler. depo.js'in sonuna şunu ekle:

23let sira = Promise.resolve()24 25export function degistir(islem) {26    const sonuc = sira.then(async () => {27        const veri = await oku()28        const cevap = islem(veri)29        await yaz(veri)30        return cevap31    })32    sira = sonuc.catch(() => {})33    return sonuc34}

• sira, kuyruğun sonunu tutan bir Promise. Başta Promise.resolve(): hemen tamamlanmış, "kuyruk boş" demek.
• Her degistir çağrısı kendi işini sira.then(...) ile kuyruğun sonuna ekler. then öncekinin bitmesini bekler; böylece işler aynı anda değil, birbiri ardına çalışır.
• İş, verilen islem fonksiyonuna veriyi verir, onun döndürdüğünü (cevap) saklar, dosyayı yazar ve cevabı döndürür.
• sira = sonuc.catch(() => {}): kuyruğun yeni sonu bu iş olur. catch boş bir fonksiyonla hatayı yutar ki bir iş hata verirse sıradakiler sonsuza dek takılmasın. Hatanın kendisi kaybolmaz: return sonuc onu degistir'i çağıran route'a ulaştırır.

sunucu.js'te ikinci satırı import { oku, degistir } from "./depo.js" yap ve POST route'unun son kısmını değiştir:

14app.post("/api/sampiyonlar", async (req, res) => {15    const isim = req.body?.isim16    if (typeof isim !== "string" || isim.trim() === "") {17        return res.status(400).json({ hata: "isim alanı gerekli" })18    }19    const yeni = await degistir((veri) => {20        veri.sonId = veri.sonId + 121        const sampiyon = { id: veri.sonId, isim: isim.trim() }22        veri.sampiyonlar.push(sampiyon)23        return sampiyon24    })25    res.status(201).json(yeni)26})

Route artık dosyaya kendisi dokunmuyor; "listeye şunu ekle" diyen küçük bir fonksiyonu kuyruğa veriyor. Kaydet ve kalabalığı yeniden gönder:

PS C:\kod\kalici-api> node kalabalik.jsDurum kodları: 201 201 201 201 201 201 201 201 201 201Listede 12 şampiyon var

On istek, on ekleme, eksiksiz. Kaç kez çalıştırırsan çalıştır sonuç aynı; yalnız şampiyonların sırası, isteklerin hangisinin önce vardığına göre değişebilir. Listeyi kısa tutmak için yedeği yine geri koy.

#Ayarlar koddan çıksın: ortam değişkenleri

sunucu.js'e bir daha bak: const port = 3000 kodun içinde yazıyor. Kendi bilgisayarında sorun yok; ama Ders 32'de API'ni bir barındırıcıya koyduğunda hangi portu dinleyeceğine barındırıcı karar verecek. Birazdan bir de şifre gerekecek: bütün listeyi silen tehlikeli bir route'u yalnız yöneticinin çağırabilmesi için bir anahtar. O anahtarı koda yazarsan kodla birlikte Git'e, GitHub'a ve kodu gören herkese gider.

Çözüm, kodu her yerde aynı bırakıp değişen değerleri programa dışarıdan vermek. Program başlarken işletim sistemi ona bir ayar listesi verir; bu listedeki her ada ortam değişkeni denir.

process objesini çalışma klasörü bölümünden tanıyorsun. process.env onun içinde; programın gördüğü bütün ortam değişkenlerini tutan bir obje. ortam.js adında bir dosya aç:

1console.log("İşletim sistemi:", process.env.OS)2console.log("Port:", process.env.PORT)3console.log("Anahtar:", process.env.YONETICI_ANAHTARI)

İşletim sistemi: Windows_NTPort: undefinedAnahtar: undefined

OS Windows'un kendi koyduğu bir değişken; her Windows'ta Windows_NT'dir. PORT ve YONETICI_ANAHTARI'nı henüz kimse tanımlamadı; objede olmayan bir anahtar gibi undefined döndü (Ders 4). PowerShell'de bir ortam değişkenini $env:AD = "değer" ile tanımlarsın. Aynı terminalde dene:

PS C:\kod\kalici-api> $env:PORT = "4000"PS C:\kod\kalici-api> node ortam.jsİşletim sistemi: Windows_NTPort: 4000Anahtar: undefined

Kodu değiştirmedin, çıktı değişti. $env: ile tanımlanan değişken yalnız o terminalde ve oradan başlatılan programlarda yaşar. Terminali kapatınca gider; VS Code'da açtığın başka bir terminal onu hiç görmez. Denemeden sonra bu terminali kapat (terminal listesindeki çöp kutusu simgesi) ve yenisini aç ki PORT sonraki denemelere karışmasın.

1const anahtar = process.env.YONETICI_ANAHTARI2console.log("Anahtarın ilk 4 harfi:", anahtar.slice(0, 4))

file:///C:/kod/kalici-api/anahtar.js:2console.log("Anahtarın ilk 4 harfi:", anahtar.slice(0, 4))                                              ^ TypeError: Cannot read properties of undefined (reading 'slice')    at file:///C:/kod/kalici-api/anahtar.js:2:47    ... Node.js v24.20.0

#.env dosyası ve node --env-file

Her seferinde $env: yazmak yorucu; terminali kapatınca da her şey gidiyor. Bir projede genelde beş on ayar olur. Çözüm, ayarları proje klasöründe .env adlı bir metin dosyasına yazmak ve Node'a, programı başlatırken o dosyayı okutmak.

.env birazdan gerçek bir anahtar taşıyacak. Git'e bir an bile girmemesi için sırayı bozma: önce .gitignore, sonra .env. Kurulumda açtığın .gitignore'u şu hâle getir:

1node_modules/2.env3veri*.json4*.tmp

• .env: birazdan açacağın ayar dosyası.
• veri*.json: veri.json ve veri-yedek.json; * "ne olursa olsun" demek (Ders 7). Veri dosyası kodun parçası değil: her istekte değişir ve gerçek bir uygulamada kullanıcıların bilgilerini taşır.
• *.tmp: yarıda kalmış geçici dosyalar.

Şimdi VS Code'da yeni bir dosya aç, adını tam olarak .env koy (başında nokta var, uzantısı yok), içine iki satır yaz ve ortam.js'i bu kez --env-file seçeneğiyle çalıştır:

1PORT=30002YONETICI_ANAHTARI=gelistirme-anahtari-42

PS C:\kod\kalici-api> node --env-file=.env ortam.jsİşletim sistemi: Windows_NTPort: 3000Anahtar: gelistirme-anahtari-42

--env-file=.env Node'a "programı başlatmadan önce bu dosyadaki satırları process.env'e koy" der. Node 20.6'dan beri Node'un içinde, Node 24.10'dan beri de deneysel değil. İnternetteki eski örneklerde aynı işi gören dotenv paketini (import "dotenv/config") görürsün; Node 24'te ona gerek yok. Bir kural daha: terminalde aynı adla bir değişken zaten tanımlıysa ($env:PORT gibi) o kazanır; Node .env'deki değeri ortamda zaten olan bir değerin üstüne yazmaz.

#.env'in yazım kuralları

Node .env'i kendi kurallarıyla okur ve bazı kurallar seni şaşırtabilir. Hepsini bir kerede gör: VS Code'da kurallar.env adında bir dosya aç ve yaz:

1# Bu satır yorum, Node okumaz2BOSLUKLU = deneme-1233TIRNAKSIZ=Sihirdar Vadisi4TIRNAKLI="Sihirdar Vadisi"5NOTLU=3000 # geliştirme portu6KARE=ab#cd7TIRNAKTA_KARE="ab#cd"8NOKTALI_VIRGUL=3000;9KIVRIK=“abc”10BOS=

goster.js her değeri JSON.stringify ile yazdırıyor (Ders 12); böylece tırnakları, boş metni ve undefined'ı birbirinden ayırt edebilirsin:

1const adlar = ["BOSLUKLU", "TIRNAKSIZ", "TIRNAKLI", "NOTLU", "KARE", "TIRNAKTA_KARE", "NOKTALI_VIRGUL", "KIVRIK", "BOS", "YOK"]2for (const ad of adlar) {3    console.log(ad, JSON.stringify(process.env[ad]))4}

PS C:\kod\kalici-api> node --env-file=kurallar.env goster.jsBOSLUKLU "deneme-123"TIRNAKSIZ "Sihirdar Vadisi"TIRNAKLI "Sihirdar Vadisi"NOTLU "3000"KARE "ab"TIRNAKTA_KARE "ab#cd"NOKTALI_VIRGUL "3000;"KIVRIK "“abc”"BOS ""YOK undefined

• = çevresindeki boşluklar atılır. Tırnaksız değerin içinde boşluk olabilir.
• Değeri saran düz tırnaklar (" ya da ') atılır.
• #'den sonrası yorumdur, değerin ortasında bile: KARE=ab#cd yalnız ab verdi. İçinde # geçen bir şifreyi mutlaka tırnak içine al.
• Sondaki ; değerin parçasıdır. JavaScript alışkanlığıyla satır sonuna noktalı virgül koyma.
• Word ya da WhatsApp'tan gelen kıvrık tırnaklar “ ” tırnak sayılmaz, değerin içinde kalır (Ders 1'deki akıllı tırnak tuzağı).
• BOS= boş metin ("") verir, undefined değil. Dosyada hiç olmayan değişken undefined olur.

Denemeden sonra kurallar.env'i silebilirsin.

#.env.example: şablon Git'e girer

.env Git'e girmiyor. Peki projeyi GitHub'dan indiren bir arkadaşın (ya da yeni bilgisayarındaki sen) hangi ayarların gerektiğini nereden bilecek? Cevap, değerleri boş bırakılmış bir şablon. .env.example adında bir dosya aç:

1# Bu dosyayı kopyalayıp adını .env yap, değerleri doldur.2PORT=30003YONETICI_ANAHTARI=

Bu dosya Git'e girer; içinde gizli bir şey yok, yalnız ayarların adları ve zararsız varsayılanlar. Projeyi yeni kuran kişi şablonu kopyalar ve boşlukları kendi değerleriyle doldurur:

PS C:\kod\kalici-api> Copy-Item .env.example .env

Bu komutu şimdi çalıştırma: senin .env'in zaten var ve Copy-Item hiçbir şey sormadan onun üstüne yazar, anahtarın silinir. Komut, projeyi yeni indiren biri içindir.

.gitignore'daki .env satırı .env.example'ı etkilemez: kural yalnız adı tam olarak .env olan dosyaya uyar.

#Ayarları tek yerde toplamak: ayarlar.js

Ayarları kodun her yerinden process.env.X diye okumak yerine tek bir modülde topla. Böylece programın hangi ayarlara ihtiyaç duyduğu tek dosyada görünür ve eksik bir ayar ilk istek geldiğinde değil, program açılırken yakalanır. ayarlar.js adında bir dosya aç:

1function gerekli(ad) {2    const deger = process.env[ad]3    if (!deger) {4        throw new Error(`${ad} ayarı yok. .env dosyasına bak.`)5    }6    return deger7}8 9export const ayarlar = {10    port: process.env.PORT ?? 3000,11    yoneticiAnahtari: gerekli("YONETICI_ANAHTARI"),12    canli: process.env.NODE_ENV === "production"13}

• gerekli(ad), değişkeni process.env[ad] diye köşeli parantezle okur, çünkü ad bir değişkenin içinde (Ders 4). Değer yoksa ya da boş metinse (!deger, Ders 12) açık bir mesajla hata fırlatır (Ders 13).
• port: PORT yoksa 3000 (Ders 12'deki ??). Port gizli değil ve olmadığında makul bir varsayılanı var.
• yoneticiAnahtari: gizli bir değerin varsayılanı olamaz. Yoksa program hiç açılmasın.
• canli: NODE_ENV adlı değişken "production" ise true. Bu kalıbı dersin sonunda kullanacaksın.

Sunucu Ders 28'deki gibi bir de sayfa sunsun. public adında bir klasör aç ve içine kısa bir sayfa koy:

1<!doctype html>2<html lang="tr">3<head>4    <meta charset="utf-8">5    <title>Şampiyon API'si</title>6</head>7<body>8    <h1>Şampiyon API'si</h1>9    <p>Liste: <a href="/api/sampiyonlar">/api/sampiyonlar</a></p>10</body>11</html>

Şimdi sunucu.js'i ayarları kullanacak hâle getir. Değişen yerler vurgulu: yeni import'lar, sabit yollu express.static, yönetici ara katmanı, listeyi silen route ve app.listen:

1import express from "express"2import path from "node:path"3import { ayarlar } from "./ayarlar.js"4import { oku, degistir } from "./depo.js"5 6const app = express()7 8app.use(express.json())9app.use(express.static(path.join(import.meta.dirname, "public")))10 11function yoneticiMi(req, res, next) {12    if (req.get("Authorization") !== `Bearer ${ayarlar.yoneticiAnahtari}`) {13        return res.status(401).json({ hata: "Yönetici anahtarı eksik ya da yanlış" })14    }15    next()16}17 18app.get("/api/sampiyonlar", async (req, res) => {19    const veri = await oku()20    res.json(veri.sampiyonlar)21})22 23app.post("/api/sampiyonlar", async (req, res) => {24    const isim = req.body?.isim25    if (typeof isim !== "string" || isim.trim() === "") {26        return res.status(400).json({ hata: "isim alanı gerekli" })27    }28    const yeni = await degistir((veri) => {29        veri.sonId = veri.sonId + 130        const sampiyon = { id: veri.sonId, isim: isim.trim() }31        veri.sampiyonlar.push(sampiyon)32        return sampiyon33    })34    res.status(201).json(yeni)35})36 37app.delete("/api/sampiyonlar", yoneticiMi, async (req, res) => {38    await degistir((veri) => {39        veri.sampiyonlar = []40    })41    res.status(204).end()42})43 44app.listen(ayarlar.port, (hata) => {45    if (hata) {46        throw hata47    }48    const mod = ayarlar.canli ? "canlı" : "geliştirme"49    console.log(`Sunucu çalışıyor (${mod}): http://localhost:${ayarlar.port}`)50})

• 9. satır: Ders 28'deki express.static("public") artık çalışma klasörüne bağlı değil; public hep sunucu.js'in yanındaki klasör.
• yoneticiMi bir ara katman. req.get("Authorization") isteğin Authorization başlığını okur; başlık adında büyük-küçük harf fark etmez. Başlık tam olarak Bearer + boşluk + anahtar değilse istek 401 ile geri döner ve route'a hiç ulaşmaz.
• app.delete("/api/sampiyonlar", yoneticiMi, ...) bütün listeyi siler. sonId'ye dokunmuyor; silinen numaralar bir daha verilmez.
• app.listen portu ayarlardan alıyor ve hangi ortamda çalıştığını söylüyor.

sunucu.js'i kaydettiğin anda --watch sunucuyu yeniden başlatır ve birinci terminalde Error: YONETICI_ANAHTARI ayarı yok. .env dosyasına bak. yazıp durur. Şaşırma: dev betiği .env'i henüz okumuyor, ayarlar.js de tam bunu yakaladı. Şimdi package.json'daki dev betiğine --env-file ekle:

6  "scripts": {7    "start": "node sunucu.js",8    "dev": "node --watch --env-file=.env sunucu.js"9  },

start olduğu gibi kaldı; nedenini dersin sonundaki canlı ortam bölümünde göreceksin. --watch package.json'ı izlemez; birinci terminalde sunucuyu Ctrl+C ile durdur ve yeniden başlat:

PS C:\kod\kalici-api> npm run dev > kalici-api@1.0.0 dev> node --watch --env-file=.env sunucu.js Sunucu çalışıyor (geliştirme): http://localhost:3000

İkinci terminalden korumalı route'u dene. Bu bir geliştirme anahtarı, komutun içine yazmanın zararı yok; canlıdaki anahtarı ise komutlara yazma (Ders 26):

PS C:\kod\kalici-api> curl.exe -i -X DELETE http://localhost:3000/api/sampiyonlarHTTP/1.1 401 UnauthorizedX-Powered-By: ExpressContent-Type: application/json; charset=utf-8Content-Length: 51ETag: W/"33-JUk/9UMX2vw4/eg1cpYlxj+GxSc"Date: Mon, 12 Oct 2026 00:14:03 GMTConnection: keep-aliveKeep-Alive: timeout=5 {"hata":"Yönetici anahtarı eksik ya da yanlış"}PS C:\kod\kalici-api> curl.exe -X DELETE http://localhost:3000/api/sampiyonlar -H "Authorization: Bearer yanlis"{"hata":"Yönetici anahtarı eksik ya da yanlış"}PS C:\kod\kalici-api> curl.exe -i -X DELETE http://localhost:3000/api/sampiyonlar -H "Authorization: Bearer gelistirme-anahtari-42"HTTP/1.1 204 No ContentX-Powered-By: ExpressDate: Mon, 12 Oct 2026 00:14:03 GMTConnection: keep-aliveKeep-Alive: timeout=5 PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar[]

Anahtarsız ve yanlış anahtarlı istek 401 aldı; doğru anahtarla liste silindi (204, gövdesiz). Listeyi geri getir: Copy-Item veri-yedek.json veri.json. --watch artık .env'i de izliyor. .env'de anahtarın sonundaki 42'yi 43 yapıp kaydet ve sunucunun terminaline bak:

Change detected in 'C:\\kod\\kalici-api\\.env'Restarting 'sunucu.js'Sunucu çalışıyor (geliştirme): http://localhost:3000

.env yalnız program açılırken okunur; --watch olmasaydı değişikliği görmek için sunucuyu elle yeniden başlatman gerekirdi. Anahtarı 42'ye geri al.

PS C:\kod\kalici-api> npm run dev > kalici-api@1.0.0 dev> node --watch --env-file=.env sunucu.js node: .env: not foundPS C:\kod\kalici-api> node --env-file=.env ortam.jsC:\Program Files\nodejs\node.exe: .env: not found

PS C:\kod\kalici-api> npm start > kalici-api@1.0.0 start> node sunucu.js file:///C:/kod/kalici-api/ayarlar.js:4        throw new Error(`${ad} ayarı yok. .env dosyasına bak.`)              ^ Error: YONETICI_ANAHTARI ayarı yok. .env dosyasına bak.    at gerekli (file:///C:/kod/kalici-api/ayarlar.js:4:15)    at file:///C:/kod/kalici-api/ayarlar.js:11:23    ... Node.js v24.20.0

PS C:\kod\kalici-api> npm run dev > kalici-api@1.0.0 dev> node --watch --env-file=.env sunucu.js file:///C:/kod/kalici-api/sunucu.js:46        throw hata        ^ Error: listen EACCES: permission denied 3000;    at Server.setupListenHandle [as _listen2] (node:net:2302:21)    at listenInCluster (node:net:2433:12)    at Server.listen (node:net:2575:5)    at app.listen (C:\kod\kalici-api\node_modules\express\lib\application.js:605:24)    at file:///C:/kod/kalici-api/sunucu.js:44:5    ... {  code: 'EACCES',  errno: -4092,  syscall: 'listen',  address: '3000;',  port: -1} Node.js v24.20.0Failed running 'sunucu.js'. Waiting for file changes before restarting...

PS C:\kod\kalici-api> npm run dev > kalici-api@1.0.0 dev> node --watch --env-file=.env sunucu.js node:net:2547    validatePort(options.port, 'options.port');    ^ RangeError [ERR_SOCKET_BAD_PORT]: options.port should be >= 0 and < 65536. Received type string ('').    at Server.listen (node:net:2547:5)    at app.listen (C:\kod\kalici-api\node_modules\express\lib\application.js:605:24)    at file:///C:/kod/kalici-api/sunucu.js:44:5    ... {  code: 'ERR_SOCKET_BAD_PORT'} Node.js v24.20.0Failed running 'sunucu.js'. Waiting for file changes before restarting...

#Gizli bilgiler: koda ve Git'e girmez

.env'in Git'e neden hiç girmemesi gerektiğine yakından bakalım. İçindeki her şey gizli değil: PORT'u herkes bilse zararsız. Ama yönetici anahtarı aynı dosyada duruyor; bu yüzden dosyanın tamamını gizli say.

Dört kural:

• Gizli bilgi koda yazılmaz; program onu process.env'den okur.
• .env .gitignore'da durur; Git'e onun yerine .env.example girer.
• Her commit'ten önce git status'a bak: listede .env görüyorsan dur ve .gitignore'u düzelt.
• Ekran görüntüsü alırken, yayın açarken, kodunu birine gösterirken .env açık bir sekmede durmasın.

#Silmek yetmez: Git hatırlar

Kurallara rağmen bir gün .env commit'e girebilir. İlk akla gelen, dosyayı silip yeni bir commit atmak. Bunun neden yetmediğini ayrı bir deneme klasöründe gör. Sunucuyu Ctrl+C ile durdur; birazdan VS Code'da başka bir klasör açacaksın ve terminaller kapanacak. Sonra C:\kod'a geç, sir-deneme adında bir klasör aç, içine gir ve Git'i başlat:

PS C:\kod\kalici-api> cd C:\kodPS C:\kod> mkdir sir-denemePS C:\kod> cd sir-denemePS C:\kod\sir-deneme> git initInitialized empty Git repository in C:/kod/sir-deneme/.git/

git init sende hint: ile başlayan satırlar da yazarsa Ders 18'deki gibi geçebilirsin; varsayılan dal adıyla ilgili bir öneri. VS Code'da File → Open Folder ile bu klasörü aç, yeni bir terminal aç (Terminal → New Terminal) ve iki dosya oluştur: içinde console.log("Sunucu") yazan sunucu.js ve içinde YONETICI_ANAHTARI=c6b3876c-4724-44d6-8f6b-9c56a3dea415 yazan .env. Bu klasörde .gitignore yok; yani hata yapan birinin klasörü. Sonra:

PS C:\kod\sir-deneme> git add .PS C:\kod\sir-deneme> git commit -m "İlk kayıt"[master (root-commit) 9ca960e] İlk kayıt 2 files changed, 2 insertions(+) create mode 100644 .env create mode 100644 sunucu.js

create mode 100644 .env: anahtar kayda girdi. Şimdi "hatayı düzelt": VS Code'da .env'i sil ve silmeyi kaydet:

PS C:\kod\sir-deneme> git add .PS C:\kod\sir-deneme> git commit -m ".env dosyasını sil"[master c0c4e9c] .env dosyasını sil 1 file changed, 1 deletion(-) delete mode 100644 .envPS C:\kod\sir-deneme> git log --onelinec0c4e9c .env dosyasını sil9ca960e İlk kayıtPS C:\kod\sir-deneme> git show 9ca960e:.envYONETICI_ANAHTARI=c6b3876c-4724-44d6-8f6b-9c56a3dea415

git show KOD:dosya bir commit'teki dosyanın o anki içini gösterir. Dosya artık klasörde yok, son commit'te de yok; ama ilk kayıt onu olduğu gibi saklıyor. Commit dosyaların o anki kopyasıdır; silmek yeni bir kayıt ekler, eskisini değiştirmez. Senin commit kodların farklı olacak; git show'a git log --oneline listesinin en altındaki, İlk kayıt satırının kodunu yaz.

Depo GitHub'a gittiyse durum daha kötü: depoyu görebilen herkes eski commit'lere tıklayıp dosyayı okuyabilir ve herkese açık depoları anahtar arayarak sürekli tarayan otomatik programlar var. GitHub bazı tanınmış servislerin anahtar biçimlerini herkese açık depolara gönderilirken yakalayıp engelleyebilir (push protection); ama yalnız tanıdığı biçimleri yakalar, senin uydurduğun bir yönetici anahtarını tanımaz. Git geçmişini yeniden yazan araçlar da var (git filter-repo gibi), ama bir anahtar bir kez dışarı çıktıysa onu kopyalanmış say.

Deneme bitti; sir-deneme klasörünü silebilirsin. VS Code'da File → Open Folder ile C:\kod\kalici-api'ye dön, bir terminal aç ve sunucuyu npm run dev ile yeniden başlat. İkinci terminali de aç; bir sonraki bölümde ikisi de gerekecek.

#Sızınca ne yapılır?

Bir anahtarın sızdığını fark ettiğin anda, sırasıyla:

Örneğin .env'i daha önce commit'lediğin bir projede .gitignore'u yeni oluşturup içine .env yazdıysan:

PS C:\kod\bir-proje> git rm --cached .envrm '.env'PS C:\kod\bir-proje> git status --shortD  .env?? .gitignore

--cached "yalnız Git'in kaydından sil" demek: .env klasöründe durmaya devam eder, Git ise artık onu izlemez. D silindi, ?? henüz izlenmeyen yeni dosya (burada yeni açılan .gitignore) demek. Geçmişteki kopyası yine durur; bu yüzden 4. adım 1. adımın yerini tutmaz.

#Yayına giden klasörde gizli dosya kalmasın

Bir ders de gerçek bir olaydan. Kişisel bir site, bir yayın aracıyla tek komutla internete konuyordu. Aracın yüklediği klasörün içinde, sitenin parçası olmayan başka bir projenin alt klasörü ve onun .env dosyası da duruyordu. .env Git'e hiç girmemişti; .gitignore doğruydu. Ama yayın aracı Git'e değil, klasöre bakıyordu: .env de yüklendi ve adres çubuğuna site-adresi/alt-klasor/.env yazan herkes onu indirebiliyordu. Fark edilince dosya yayından kaldırıldı; böyle bir durumda doğru sıra yukarıdaki adımlardır.

Ders: .gitignore Git'in kuralıdır, yayın araçları her zaman Git'e bakmaz. GitHub Pages (Ders 25) deponu yayınlar; Git'e girmeyen dosya oraya da gitmez. Vercel'in komut satırı aracı gibi araçlar ise bilgisayarındaki klasörü yükler. Vercel'in belgesine göre kendiliğinden atladığı listede .env.local var ama düz .env yok; yüklenmesini istemediğin dosyaları .vercelignore adlı ayrı bir dosyaya yazman gerekir (Ekim 2026'daki belge; liste değişmiş olabilir). Her yayın aracının yok sayma kuralı farklıdır; kullandığın aracın belgesine bak.

#Kendi sunucunda dene

Aynı hatayı Express'le yap. Diyelim ki biri, sayfa dosyaları proje klasöründe dursun diye express.static'e klasörün kendisini verdi. sunucu.js'te 9. satırı geçici olarak değiştir:

9app.use(express.static(import.meta.dirname))

PS C:\kod\kalici-api> curl.exe http://localhost:3000/ayarlar.jsfunction gerekli(ad) {    const deger = process.env[ad]    if (!deger) {        throw new Error(`${ad} ayarı yok. .env dosyasına bak.`)    }    return deger} export const ayarlar = {    port: process.env.PORT ?? 3000,    yoneticiAnahtari: gerekli("YONETICI_ANAHTARI"),    canli: process.env.NODE_ENV === "production"}PS C:\kod\kalici-api> curl.exe http://localhost:3000/.env<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><title>Error</title></head><body><pre>Cannot GET /.env</pre></body></html>

Sunucunun kodu herkese açıldı; /veri.json, /sunucu.js ve /package.json da aynı şekilde iner. Express seni bir kez kurtardı: express.static adı noktayla başlayan dosyaları (.env, .gitignore) varsayılan olarak göndermez. Her araç bu kadar dikkatli değil. Aynı klasörü Ders 18'deki npx serve ile aç: birinci terminalde sunucuyu Ctrl+C ile durdur ve aynı yerde npx serve yaz. 3000 boşaldığı için serve de 3000'i alır; kutudaki adresin http://localhost:3000 olduğuna bak. Sonra ikinci terminalden .env'i iste:

PS C:\kod\kalici-api> curl.exe -i http://localhost:3000/.envHTTP/1.1 200 OKContent-Length: 53Content-Disposition: inline; filename=".env"Accept-Ranges: bytesETag: "5575c6da17169cb20ab81bb8262530deb923a767"Date: Mon, 12 Oct 2026 00:26:42 GMTConnection: keep-aliveKeep-Alive: timeout=5 PORT=3000YONETICI_ANAHTARI=gelistirme-anahtari-42

200 OK ve anahtar ekranda (biz serve 14.2.6 ile denedik). Bu, olaydaki sitenin başına gelenin aynısı. Birinci terminalde serve'ü Ctrl+C ile durdur, sunucu.js'te 9. satırı geri al (app.use(express.static(path.join(import.meta.dirname, "public")))) ve sunucuyu npm run dev ile yeniden başlat.

Kural: yayın klasörüne yalnız yayınlanacak dosyalar girer.

• Sunucu kodu, .env ve veri dosyası public'in dışında durur. İçeride yalnız tarayıcıya gidecekler var: HTML, CSS, tarayıcıda çalışan JavaScript, resimler.
• Statik bir siteyi yayınlarken de aynı kural geçerli: yayınlanan klasörde not, yedek, başka bir projenin klasörü durmaz.
• Yayın aracının yok sayma dosyasını bil: depodan yayınlayan araçlarda .gitignore, klasör yükleyen araçlarda aracın kendi dosyası (.vercelignore gibi).
• Yayından sonra kendin dene: curl.exe -I https://siten/.env 404 dönmeli. Kendi sunucunda şimdi öyle:

PS C:\kod\kalici-api> curl.exe -I http://localhost:3000/.envHTTP/1.1 404 Not FoundX-Powered-By: ExpressContent-Security-Policy: default-src 'none'X-Content-Type-Options: nosniffContent-Type: text/html; charset=utf-8Content-Length: 144Date: Mon, 12 Oct 2026 00:20:06 GMTConnection: keep-aliveKeep-Alive: timeout=5

-I yalnız yanıtın başlıklarını ister; gövdeye bakmadan durum koduna bakmanın kısa yolu.

#Geliştirme ve canlı ortam

Şimdiye kadar her şey senin bilgisayarında, yani geliştirme ortamında çalıştı. Ders 32'de aynı kod bir barındırıcıda, canlı ortamda çalışacak. Kod aynı kalır; değişen ayarlardır.

İki ortamda ayrı anahtar kullanmanın iki faydası var: bilgisayarındaki .env bir gün sızarsa canlı etkilenmez; canlıdaki anahtarı da yalnız gereken kişi bilir. Canlı için tahmin edilemez bir anahtar üretmenin kısa yolu:

PS C:\kod\kalici-api> node -p "crypto.randomUUID()"d155edef-8768-473a-a9b5-a2c8ad7c8332

node -p tırnak içindeki kodu çalıştırıp sonucunu yazar. crypto'yu Ders 31'de tanıyacaksın, şimdilik kalıp olarak kullan. Her çalıştırmada başka bir 36 karakterlik değer çıkar; bu anahtarı tahmin etmek pratikte imkânsızdır.

#NODE_ENV ve Express

NODE_ENV bir gelenek: Node onu kendisi koymaz, barındırıcılar ve sen koyarsın. Değeri production ise birçok paket kendini canlıya göre ayarlar; Express de öyle. Dersin başındaki bozuk veri.json denemesini hatırla: Express'in hata sayfası SyntaxError'ı, dosya yollarını ve satır numaralarını herkese gösteriyordu. Şimdi canlıyı taklit et. Birinci terminalde sunucuyu Ctrl+C ile durdur, VS Code'da yeni bir terminal aç ve ayarları barındırıcının yerine sen ver:

PS C:\kod\kalici-api> $env:NODE_ENV = "production"PS C:\kod\kalici-api> $env:YONETICI_ANAHTARI = "canli-deneme-anahtari"PS C:\kod\kalici-api> npm start > kalici-api@1.0.0 start> node sunucu.js Sunucu çalışıyor (canlı): http://localhost:3000

npm start .env'i okumadı; ayarlar ortamdan geldi, tıpkı barındırıcıda olacağı gibi. "canlı" sözcüğü ayarlar.canli'den geliyor. İkinci terminalde veri dosyasını boşalt ve listeyi iste:

PS C:\kod\kalici-api> Clear-Content veri.jsonPS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><title>Error</title></head><body><pre>Internal Server Error</pre></body></html>PS C:\kod\kalici-api> Copy-Item veri-yedek.json veri.json

Clear-Content dosyanın içini boşaltır. Ziyaretçi yalnız Internal Server Error gördü; ayrıntı, yani SyntaxError: Unexpected end of JSON input ve yığın izi, yine sunucunun terminalinde. Geliştirmede ayrıntı işine yarar, canlıda saldırgana sunucunun haritasını verir (Ders 28'deki kural). Kendi hata yakalayıcını yazdığında aynı ayrımı sen yaparsın: ayarlar.canli ise genel bir cümle, değilse ayrıntı. Kimlik doğrulamada da sık kullanılan bir kalıp bu; Ders 31'de çerezlerin bir ayarını onunla vereceksin.

Bitince sunucuyu durdur ve bu terminali kapat; $env:NODE_ENV ve $env:YONETICI_ANAHTARI onunla birlikte gider. Açık kalırsa aynı terminaldeki npm run dev de kendini canlı sanır, çünkü ortamdaki değer .env'den önce gelir.

#Görevler

Görev dosyalarını proje klasöründe gorevler adında bir alt klasöre koy ve proje klasöründen çalıştır: node gorevler\esyalar.js. package.json'daki "type": "module" onlar için de geçerli. Ortamda $env: ile tanımladığın bir değişken kalmasın diye yeni bir terminal aç. Önce kendin dene, takılırsan ipuçlarını sırayla aç.

Can İksiri: 50 altınDoran Kalkanı: 450 altınUzun Kılıç: 350 altınToplam: 850 altın

1import { mkdir, writeFile, readdir, readFile } from "node:fs/promises"2import path from "node:path"3 4const klasor = path.join(import.meta.dirname, "esyalar")5await mkdir(klasor, { recursive: true })6 7await writeFile(path.join(klasor, "kilic.json"), JSON.stringify({ ad: "Uzun Kılıç", fiyat: 350 }), "utf8")8await writeFile(path.join(klasor, "kalkan.json"), JSON.stringify({ ad: "Doran Kalkanı", fiyat: 450 }), "utf8")9await writeFile(path.join(klasor, "iksir.json"), JSON.stringify({ ad: "Can İksiri", fiyat: 50 }), "utf8")10await writeFile(path.join(klasor, "not.txt"), "Bu bir eşya değil", "utf8")11 12let toplam = 013for (const ad of await readdir(klasor)) {14    if (path.extname(ad) !== ".json") {15        continue16    }17    const metin = await readFile(path.join(klasor, ad), "utf8")18    const esya = JSON.parse(metin)19    console.log(`${esya.ad}: ${esya.fiyat} altın`)20    toplam = toplam + esya.fiyat21}22console.log(`Toplam: ${toplam} altın`)

Can İksiri: 50 altınDoran Kalkanı: 450 altınUzun Kılıç: 350 altınToplam: 850 altın

const denemeler = [undefined, "", "4000", "1", "65535", "0", "65536", "3000;", "3.5", "abc"]for (const metin of denemeler) {    try {        console.log(JSON.stringify(metin), "->", portOku(metin))    } catch (hata) {        console.log(JSON.stringify(metin), "->", hata.message)    }}

undefined -> 3000"" -> 3000"4000" -> 4000"1" -> 1"65535" -> 65535"0" -> PORT geçersiz: "0""65536" -> PORT geçersiz: "65536""3000;" -> PORT geçersiz: "3000;""3.5" -> PORT geçersiz: "3.5""abc" -> PORT geçersiz: "abc"

1function portOku(metin) {2    if (metin === undefined || metin === "") {3        return 30004    }5    const port = Number(metin)6    if (!Number.isInteger(port) || port < 1 || port > 65535) {7        throw new Error(`PORT geçersiz: "${metin}"`)8    }9    return port10}11 12const denemeler = [undefined, "", "4000", "1", "65535", "0", "65536", "3000;", "3.5", "abc"]13for (const metin of denemeler) {14    try {15        console.log(JSON.stringify(metin), "->", portOku(metin))16    } catch (hata) {17        console.log(JSON.stringify(metin), "->", hata.message)18    }19}

undefined -> 3000"" -> 3000"4000" -> 4000"1" -> 1"65535" -> 65535"0" -> PORT geçersiz: "0""65536" -> PORT geçersiz: "65536""3000;" -> PORT geçersiz: "3000;""3.5" -> PORT geçersiz: "3.5""abc" -> PORT geçersiz: "abc"

function dene(adlar) {    try {        ayarlariDenetle(adlar)    } catch (hata) {        console.log(hata.message)    }} process.env.YONETICI_ANAHTARI = "gelistirme-anahtari-42"process.env.BOS_AYAR = "" dene(["YONETICI_ANAHTARI"])dene(["YONETICI_ANAHTARI", "RIOT_ANAHTARI", "BOS_AYAR"])dene([]) process.env.NODE_ENV = "production"dene(["YONETICI_ANAHTARI"])process.env.YONETICI_ANAHTARI = "abcdefghijklmnopqrstuvwxyz12345"dene(["YONETICI_ANAHTARI"])process.env.YONETICI_ANAHTARI = "abcdefghijklmnopqrstuvwxyz123456"dene(["YONETICI_ANAHTARI"])

Ayarlar tamamEksik ayar: RIOT_ANAHTARI, BOS_AYARAyarlar tamamCanlıda YONETICI_ANAHTARI en az 32 karakter olmalıCanlıda YONETICI_ANAHTARI en az 32 karakter olmalıAyarlar tamam

1function ayarlariDenetle(adlar) {2    const eksikler = adlar.filter((ad) => !process.env[ad])3    if (eksikler.length > 0) {4        throw new Error("Eksik ayar: " + eksikler.join(", "))5    }6    const anahtar = process.env.YONETICI_ANAHTARI ?? ""7    if (process.env.NODE_ENV === "production" && anahtar.length < 32) {8        throw new Error("Canlıda YONETICI_ANAHTARI en az 32 karakter olmalı")9    }10    console.log("Ayarlar tamam")11}12 13function dene(adlar) {14    try {15        ayarlariDenetle(adlar)16    } catch (hata) {17        console.log(hata.message)18    }19}20 21process.env.YONETICI_ANAHTARI = "gelistirme-anahtari-42"22process.env.BOS_AYAR = ""23 24dene(["YONETICI_ANAHTARI"])25dene(["YONETICI_ANAHTARI", "RIOT_ANAHTARI", "BOS_AYAR"])26dene([])27 28process.env.NODE_ENV = "production"29dene(["YONETICI_ANAHTARI"])30process.env.YONETICI_ANAHTARI = "abcdefghijklmnopqrstuvwxyz12345"31dene(["YONETICI_ANAHTARI"])32process.env.YONETICI_ANAHTARI = "abcdefghijklmnopqrstuvwxyz123456"33dene(["YONETICI_ANAHTARI"])

Ayarlar tamamEksik ayar: RIOT_ANAHTARI, BOS_AYARAyarlar tamamCanlıda YONETICI_ANAHTARI en az 32 karakter olmalıCanlıda YONETICI_ANAHTARI en az 32 karakter olmalıAyarlar tamam

Dosya yok: { altin: 0, seviye: 1 }Yazıp okudum: { altin: 50, seviye: 7 }Hata: tft-kayit.json bozuk, elle bak (Unexpected end of JSON input)Hata: tft-kayit.json bozuk, elle bak (Expected double-quoted property name in JSON at position 12 (line 1 column 13))

1import { readFile, writeFile, rename } from "node:fs/promises"2import path from "node:path"3 4async function guvenliOku(dosya, varsayilan) {5    let metin6    try {7        metin = await readFile(dosya, "utf8")8    } catch (hata) {9        if (hata.code === "ENOENT") {10            return varsayilan11        }12        throw hata13    }14    try {15        return JSON.parse(metin)16    } catch (hata) {17        throw new Error(`${path.basename(dosya)} bozuk, elle bak (${hata.message})`)18    }19}20 21async function guvenliYaz(dosya, veri) {22    const gecici = dosya + ".tmp"23    await writeFile(gecici, JSON.stringify(veri, null, 2), "utf8")24    await rename(gecici, dosya)25}26 27const yeniOyuncu = { altin: 0, seviye: 1 }28const kayit = path.join(import.meta.dirname, "tft-kayit.json")29 30console.log("Dosya yok:", await guvenliOku(path.join(import.meta.dirname, "yok.json"), yeniOyuncu))31 32await guvenliYaz(kayit, { altin: 50, seviye: 7 })33console.log("Yazıp okudum:", await guvenliOku(kayit, yeniOyuncu))34 35await writeFile(kayit, "", "utf8")36try {37    await guvenliOku(kayit, yeniOyuncu)38} catch (hata) {39    console.log("Hata:", hata.message)40}41 42const yarim = JSON.stringify({ altin: 50, seviye: 7 }).slice(0, 12)43await writeFile(kayit, yarim, "utf8")44try {45    await guvenliOku(kayit, yeniOyuncu)46} catch (hata) {47    console.log("Hata:", hata.message)48}

Dosya yok: { altin: 0, seviye: 1 }Yazıp okudum: { altin: 50, seviye: 7 }Hata: tft-kayit.json bozuk, elle bak (Unexpected end of JSON input)Hata: tft-kayit.json bozuk, elle bak (Expected double-quoted property name in JSON at position 12 (line 1 column 13))

Yayına gitmemesi gereken 3 dosya var:- .env- .env.production- sertifika\sunucu.key

1import { mkdir, writeFile, readdir } from "node:fs/promises"2import path from "node:path"3 4const klasor = path.join(import.meta.dirname, "yayin")5await mkdir(path.join(klasor, "sertifika"), { recursive: true })6const ornekler = ["index.html", "stil.css", ".env", ".env.example", ".env.production", "sertifika/sunucu.key"]7for (const ad of ornekler) {8    await writeFile(path.join(klasor, ad), "deneme", "utf8")9}10 11function tehlikeliMi(ad) {12    if (ad === ".env.example") {13        return false14    }15    if (ad === ".env" || ad.startsWith(".env.")) {16        return true17    }18    const uzanti = path.extname(ad)19    return uzanti === ".pem" || uzanti === ".key"20}21 22const yollar = await readdir(klasor, { recursive: true })23const tehlikeliler = yollar.filter((yol) => tehlikeliMi(path.basename(yol)))24 25if (tehlikeliler.length === 0) {26    console.log("Temiz: yayına hazır")27} else {28    console.log(`Yayına gitmemesi gereken ${tehlikeliler.length} dosya var:`)29    for (const yol of tehlikeliler) {30        console.log("- " + yol)31    }32}

Yayına gitmemesi gereken 3 dosya var:- .env- .env.production- sertifika\sunucu.key

PS C:\kod\kalici-api> curl.exe -X DELETE http://localhost:3000/api/sampiyonlar/2{"hata":"Yönetici anahtarı eksik ya da yanlış"}PS C:\kod\kalici-api> curl.exe -i -X DELETE http://localhost:3000/api/sampiyonlar/2 -H "Authorization: Bearer gelistirme-anahtari-42"HTTP/1.1 204 No Content...PS C:\kod\kalici-api> curl.exe -X DELETE http://localhost:3000/api/sampiyonlar/2 -H "Authorization: Bearer gelistirme-anahtari-42"{"hata":"2 numaralı şampiyon yok"}PS C:\kod\kalici-api> curl.exe -X DELETE http://localhost:3000/api/sampiyonlar/abc -H "Authorization: Bearer gelistirme-anahtari-42"{"hata":"id bir tam sayı olmalı"}PS C:\kod\kalici-api> curl.exe http://localhost:3000/api/sampiyonlar[{"id":1,"isim":"Ahri"}]

44app.delete("/api/sampiyonlar/:id", yoneticiMi, async (req, res) => {45    const id = Number(req.params.id)46    if (!Number.isInteger(id)) {47        return res.status(400).json({ hata: "id bir tam sayı olmalı" })48    }49    const silindi = await degistir((veri) => {50        const onceki = veri.sampiyonlar.length51        veri.sampiyonlar = veri.sampiyonlar.filter((s) => s.id !== id)52        return veri.sampiyonlar.length < onceki53    })54    if (!silindi) {55        return res.status(404).json({ hata: `${id} numaralı şampiyon yok` })56    }57    res.status(204).end()58})

#Kendini sına

console.log(path.join("kayitlar", "2026", "..", "ekim.json"))

#Kayıt noktası

Projeni Git'e kaydet. kalici-api yeni bir proje olduğu için önce git init gerekiyor. Commit'ten önce derste açtığın deneme dosyalarını (dosya-deneme.js, yol-deneme.js, nerede.js, eski-kod.js, bos.js, bos.json, ortam.js, port-hesap.js, anahtar.js, goster.js, maclar klasörü, varsa kurallar.env ve ps-deneme.env) silebilirsin; cokme.js, kalabalik.js, ahri.json ve lux.json API'yi denemenin araçları, kalsınlar. git add .'ten sonra listeye bir kez bak:

Bir sonraki derste sunucun başka servislerle konuşacak: Riot'un API'si gibi anahtar isteyen bir servise .env'deki anahtarla istek atacak, cevap gecikince vazgeçmeyi, hız sınırına uymayı ve anahtarı tarayıcıdan saklayan bir ara sunucu kurmayı öğreneceksin.