Supplog

Düzenli takviye veya ilaç kullananlar bir dozu alıp almadığını her zaman hatırlayamıyor; yakınları da bu rutini uzaktan destekleyemiyor. Supplog bu basit gerçek hayat sorunundan çıktı.

• Layered REST mimarisi: DTO'lar, Bean Validation ve global exception handling
• Stateless JWT authentication; tokenVersion ile parola değişikliğinde eski token'lar geçersiz
• ROLE_USER / ROLE_ADMIN authorization ve resource ownership kontrolü
• Doz takibi: PENDING, COMPLETED, SKIPPED, MISSED; rutin bazında ayarlanabilir grace period

1. Web clientReact ve TypeScript arayüzü, ayrı repoda; Vercel'de
2. Security filter chainJwtAuthenticationFilter: imza, kullanıcı ve tokenVersion kontrolü
3. Controller/api/v1 altında REST endpointleri, DTO ve validasyon
4. ServiceBusiness logic, ownership kontrolü, MISSED dozlar için scheduled job
5. RepositorySpring Data JPA, Hibernate
6. PostgreSQLFlyway migration'ları (V1–V8), constraint'ler ve index'ler

1. Stateless JWT'yi revoke edebilmek

   Problem

   JWT stateless olduğu için verilen bir token süresi dolana kadar geçerli kalıyor. Parola değişince ya da hesap kapatılınca eski oturumların da kapanması gerekiyordu.

   Trade-off

   Ayrı bir token blacklist'i ek bir store ve cleanup işi demek. Kullanıcı kaydına bir sayaç koymak ise her istekte kullanıcıyı okumayı gerektiriyor.

   Çözüm

   Token'a tokenVersion claim'i ekledim; JwtAuthenticationFilter bunu veritabanındaki değerle karşılaştırıyor. Parola değişikliği, admin tarafından parola sıfırlama, rol değişikliği ve hesap kapatma sayacı artırıyor.

   Sonuç

   Eski token'lar ek bir store olmadan reddediliyor; deaktive edilmiş hesaplar da authentication'dan geçemiyor.

2. Kaçırılan dozu race condition olmadan işaretlemek

   Problem

   Zamanında işaretlenmeyen doz MISSED olmalı. Ama scheduler bir dozu MISSED yaparken kullanıcı aynı anda COMPLETED işaretleyebilir.

   Trade-off

   Sabit bir süre herkes için uygun değildi; her rutine ayrı süre vermek ise hesaplamayı ve veri modelini büyütüyordu.

   Çözüm

   Her rutine 30, 60, 90 veya 120 dakikalık missedGracePeriod ekledim; her doz için missedAt hesaplanıyor. Scheduler yalnızca süresi geçmiş PENDING kayıtları MISSED yapıyor, missedAt sonrası tamamlama ve atlama reddediliyor. Rutin ve gün başına unique index çift kaydı engelliyor.

   Sonuç

   Scheduler ile complete işleminin birbirinin üzerine yazmadığını kontrol eden PostgreSQL concurrency testleri yazdım.

3. Destekçiye sınırlı erişim

   Problem

   Kullanıcı rutinini bir yakınıyla paylaşmak istiyor ama tüm verisini açmak istemiyor.

   Trade-off

   Tek bir "paylaş" anahtarı basit ama kaba; rutin bazında izin daha fazla kural ve kontrol gerektiriyor.

   Çözüm

   Destek ilişkisi istek, kabul, ret, iptal ve geri alma adımlarından geçiyor. Access scope ALL_ROUTINES veya SELECTED_ROUTINES; destekçi yalnızca açıkça yetkilendirilmiş aktif rutinleri görüyor.

   Sonuç

   Paylaşım kullanıcının kontrolünde kalıyor; admin gerektiğinde ilişkiyi geri alabiliyor.

• Spring Security ile stateless JWT authentication, parolalar BCrypt ile hash'leniyor
• 401 ve 403 için custom JSON response'lar
• Kullanıcı yalnızca kendi verisine erişiyor; admin işlemleri /api/v1/admin altında ve ROLE_ADMIN gerektiriyor
• Admin kendini kapatamıyor, rolünü düşüremiyor; son aktif admin kaldırılamıyor

• User, Supplement, Routine ve RoutineExecution ilişkileri; destek ilişkileri ayrı tabloda
• Soft delete: kullanıcı, takviye ve rutin kayıtları fiziksel olarak silinmiyor
• Schema migration'ları Flyway ile yönetiliyor; ddl-auto=validate entity ve tablo uyuşmazlığını startup'ta yakalıyor
• Constraint'ler ve sorgu index'leri migration'larla eklendi

• POST/api/v1/auth/login

  Giriş yapar, JWT döner

  Herkese açık
• PATCH/api/v1/users/me/password

  Parolayı değiştirir, eski token'ları geçersiz kılar

  Giriş gerekli
• POST/api/v1/routines

  Yeni rutin oluşturur

  Giriş gerekli
• GET/api/v1/routine-executions/today

  Bugünün planlı dozlarını oluşturur ve listeler

  Giriş gerekli
• PATCH/api/v1/routine-executions/routines/{routineId}/today/complete

  Bugünkü dozu tamamlandı olarak işaretler

  Giriş gerekli
• PATCH/api/v1/support/connections/{relationshipId}/access-scope

  Destekçinin access scope'unu değiştirir

  Giriş gerekli
• GET/api/v1/admin/users

  Kullanıcıları listeler

  Sadece admin
• PATCH/api/v1/admin/users/{userId}/deactivate

  Kullanıcı hesabını kapatır

  Sadece admin

Controller mapping'lerinden seçilmiş bir özet. Tam liste ve kurulum için GitHub'daki README'ye bak.

1. v1.0GüncelEkim 2026
   • Rutinler, günlük doz takibi ve MISSED doz taraması
   • Destekçi paylaşımı, JWT ile giriş, admin API'leri
   • Henüz yok: hatırlatma ve bildirimler, ihtiyaç halinde (AS_NEEDED) rutinler