Merhaba,

Claude Code'u ben de günlük olarak kullanıyorum, o yüzden endişenizi tam anlıyorum: model çalışan kod üretiyor ama "çalışıyor" ile "güvenli" aynı şey değil. E-arşiv fatura uygulamasında yapay zekâ ile üretilmiş kodda en sık gördüğüm dört açık şunlar:

1) Yetki kontrolünün uçta unutulması. Fatura id'si ile çağrılan bir uçta "bu fatura gerçekten bu kullanıcıya mı ait" kontrolü yazılmamış oluyor. Mobilde bu, id'yi değiştirip başka firmanın faturasını çekmek demektir. Ekranda görünmemesi korumaz; kontrol sunucuda olmalı.

2) Anahtarların uygulamanın içinde olması. Entegratör/GİB kimlik bilgileri veya API anahtarı uygulamaya gömülüyse APK'dan çıkarılır. Mobil uygulamada sır saklanamaz; entegratör çağrıları sizin sunucunuzdan geçmeli, uygulama sadece kendi kullanıcısının token'ını taşımalı.

3) Oturum ve token yönetimi. Token'ın Keychain/Keystore'da saklanması, süresi, çıkışta ve şifre değişiminde iptal edilmesi. AI genelde login akışını yazar, iptal tarafını yazmaz.

4) Loglar. Fatura içeriği, VKN ve müşteri bilgisi log'a düşüyorsa bu KVKK tarafında ayrı bir problem. Hata ayıklarken eklenen log'lar canlıda unutuluyor.

Süreç tarafında da bir not: /code-review ve todo listesi faydalı ama tek başına yetmiyor, çünkü modelden hem kodu hem de kendi kodunun denetimini istemiş oluyorsunuz. Para ve yetki dokunan uçlar için gerçek test yazmak gerekiyor; bir kere yazılınca her değişiklikte sizi koruyor. Sizin "her şeyi ben deniyorum" dediğiniz yükün büyük kısmı aslında bu.

Yaptığım iş: React Native/Expo ile mobil, Node.js/TypeScript + PostgreSQL ile backend, rol bazlı yetki ve sunucu tarafı doğrulama. Canlıda işlerim var, isterseniz gösteririm.

Özel mesaj attım, projeyi orada konuşalım.

Furkan Öztürk