audit

name	audit
description	Proje kodu taraması — güvenlik, maliyet, performans, gereksiz dosya, API tehlikeleri. Genel veya odaklı.
argument-hint	[security|cost|performance|cleanup|all]

/audit

Proje kodunu tarayıp sorunları raporla. Jira değil, kod taraması.

Odak seçenekleri

Arg	Ne tarar
(boş) veya all	Hepsini tarar (genel audit)
security	Hardcoded key/secret, .env sızıntısı, SQL injection, XSS, güvensiz storage, Firebase rules, API key exposure
cost	Ücretli servis kullanımı (Firebase, AdMob, RevenueCat, API call), gereksiz network call, büyük asset
performance	Büyük widget rebuild, gereksiz setState, Hive box leak, memory leak, büyük import, cold start
cleanup	Gereksiz dosya, kullanılmayan import/dependency, dead code, TODO/FIXME, boş test, .gitignore eksikleri

Örnekler

/audit                 → genel tarama (hepsi)
/audit security        → sadece güvenlik
/audit cost            → maliyet/ücretli servis odaklı
/audit performance     → performans odaklı
/audit cleanup         → temizlik odaklı

---

Uygulama

Agent tool ile arka planda çalıştır:

Agent(
  prompt=<aşağıdaki şablon>,
  model="sonnet",
  run_in_background=True,
  description="project audit: <odak>"
)

Agent prompt şablonu

Sen bir kod guvenlik ve kalite uzmanisin. Mevcut projeyi tara.

Proje koku: mevcut calisma dizini
ODAK: [kullanıcının verdiği odak, yoksa "all"]

## TARAMA KURALLARI

- Sadece oku ve raporla — dosya DÜZENLEME, kod YAZMA
- Max 25 tool call — verimli çalış
- Grep/Glob ile pattern ara, şüpheli bulursan Read ile doğrula
- False positive verme — emin olmadığın şeyi raporlama

## TARAMA KONTROL LİSTESİ

### SECURITY (odak: security veya all)

1. **Hardcoded secrets:** Grep ile tara:
   - `apiKey`, `api_key`, `secret`, `password`, `token`, `credential` pattern'ları `.dart`, `.json`, `.xml`, `.plist` dosyalarında
   - `.env` dosyası .gitignore'da mı? `.env` repo'da mı?
   - `google-services.json` ve `GoogleService-Info.plist` içinde prod key var mı?

2. **Firebase güvenliği:**
   - `firebase_options.dart` içinde hassas bilgi var mı?
   - Firestore/RTDB security rules tanımlı mı?

3. **Güvensiz storage:**
   - `SharedPreferences` ile hassas veri saklanan yer var mı? (token, password, userId)
   - `flutter_secure_storage` kullanılıyor mu?

4. **Network güvenliği:**
   - HTTP (HTTPS değil) endpoint var mı?
   - SSL pinning var mı?
   - User input doğrudan URL/query'ye ekleniyor mu? (injection)

5. **Platform güvenliği:**
   - Android: `android:debuggable`, `android:allowBackup="true"`, `usesCleartextTraffic`
   - iOS: `NSAllowsArbitraryLoads`

### COST (odak: cost veya all)

1. **Ücretli servis kullanımı:**
   - Firebase hangi servisler aktif? (Firestore, RTDB, Auth, Storage, Analytics, Crashlytics, AdMob)
   - Her birinin free tier limiti nedir, aşma riski var mı?
   - RevenueCat / IAP konfigürasyonu var mı?
   - Gereksiz Firebase çağrısı (her build'de read/write) var mı?

2. **Asset boyutu:**
   - `assets/` klasörü toplam boyut
   - Büyük resim/font dosyaları (>500KB)
   - Kullanılmayan asset

3. **Dependency maliyeti:**
   - `pubspec.yaml`'daki paketlerden ücretli olan var mı?
   - Gereksiz büyük dependency (toplam app size etkisi)

### PERFORMANCE (odak: performance veya all)

1. **Widget rebuild:**
   - `setState` kullanım sayısı ve yeri (büyük widget'ta gereksiz rebuild)
   - `const` constructor eksikleri
   - Provider/Riverpod doğru kullanım (select, watch vs read)

2. **Memory:**
   - Dispose edilmeyen controller (TextEditingController, AnimationController, StreamSubscription)
   - Hive box açılıp kapatılmayan yer
   - Büyük liste (ListView.builder yerine ListView kullanımı)

3. **Startup:**
   - `main.dart` initialization sırası ve süresi
   - Lazy loading var mı?

4. **Build size:**
   - Kullanılmayan import
   - Tree-shaking'i bozan pattern

### CLEANUP (odak: cleanup veya all)

1. **Gereksiz dosyalar:**
   - `.gitignore`'da olması gerekip olmayan dosyalar
   - Build artifact, cache, generated file repo'da mı?
   - Kullanılmayan test fixture, mock, script

2. **Dead code:**
   - Kullanılmayan Dart dosyası (hiçbir yerde import edilmeyen)
   - Kullanılmayan public class/function
   - Commented-out code blokları (>5 satır)

3. **Dependency hygiene:**
   - `pubspec.yaml`'da kullanılmayan paket
   - `pubspec.lock` ile `pubspec.yaml` tutarlılığı

4. **Code hygiene:**
   - TODO/FIXME/HACK/XXX yorumları (listele)
   - Boş test dosyası (test body'si olmayan)
   - `print()` statement'lar (debug kalıntısı)

## RAPOR FORMATI

Her bulgu için:

[SEVİYE] Başlık

• Dosya: path:satır
• Sorun: Ne yanlış
• Risk: Ne olabilir
• Çözüm: Ne yapılmalı

Seviyeler:
- 🔴 **KRİTİK** — hemen düzeltilmeli (secret sızıntısı, güvenlik açığı)
- 🟠 **YÜKSEK** — yakında düzeltilmeli (maliyet riski, performans sorunu)
- 🟡 **ORTA** — planlı düzeltilmeli
- 🔵 **BİLGİ** — iyileştirme önerisi

Rapor sonunda özet tablo:

| # | Seviye | Kategori | Dosya | Başlık |
|---|--------|----------|-------|--------|

Ve genel skor (1-10): 10 = temiz, 1 = acil müdahale.

Çıktı

Agent tamamlandığında raporu kullanıcıya göster. Kritik bulgular varsa vurgula.

Kurallar

• Kod YAZMA, sadece oku ve raporla
• Jira'ya dokunma — bu kod taraması, Jira değil
• Her bulguyu dosya:satır ile referansla
• Gerçek bulgu ver, spekülatif uyarı verme

When NOT to Use

• Tek satirlik basit soru/cevap ise
• Skill'in scope'u disindaysa
• Riskli/destructive is ise (ayri onay gerekir)

Red Flags

• Belirsiz hedef/kabul kriteri
• Gerekli dosya/izin/secret eksik
• Ayni adim 2+ kez tekrarlandi

Error Handling

• Gerekli kaynak yoksa → dur, blocker'i raporla
• Komut/akıs hatasi → en yakin guvenli noktadan devam et
• 3 basarisiz deneme → daha uygun skill/agent'a yonlendir

Verification

• Beklenen cikti uretildi
• Yan etki yok (dosya/ayar)
• Gerekli log/rapor paylasildi