Bağlam
Kısa süre önce atlas.bountools.com altyapısını çalıştıran yokatlas-scrape projesinde devasa bir refactoring ve güvenlik güçlendirme oturumunu tamamladım. Bu proje, resmi YÖK ATLAS verilerini kazıyarak (scrape) yıldırım hızında sunan bir YKS analitik platformudur.
Geçtiğimiz günlerde kod tabanı titiz bir “3-ajanlı incelemeden” geçti. Zafiyetler, performans darboğazları ve SEO sorunları tespit ettik. İşte neleri, nasıl çözdüğümüze dair bir özet.
SQLite SCAN’lerini Ehlileştirmek
Bu projenin temel ve değişmez kurallarından biri: Asla programs_2026 tablosunda SELECT * yapma. Tablonun 92 sütunu var ve satır başına ortalama 3.7 KB boyutunda. Bir sorgu 250.000 satırı taradığında SELECT * demek, verinin büyük bir kısmını Python tarafında çöpe atmak için SQLite motoru üzerinden ~80 MB veri geçirmek anlamına geliyor.
Bunu çözmek için yalnızca API’nin gerçekten ihtiyaç duyduğu ~19 alanı (/api/trends gibi) seçmeye başladık. Ayrıca bileşik DB indeksleri (idx_p2026_*_sira_nulls) ekledik ve sorgu planlayıcısının bu indeksleri kullanabilmesi için ANALYZE komutunu çalıştırdık.
LFI ve XSS Açıklarını Kapatmak
YÖK ATLAS ile konuşan kazıyıcımız (scraper), sertifika sorunları nedeniyle TLS doğrulamasını devre dışı bırakıyor (verify=False). Kaynak sertifikayı kolayca düzeltemesek de, gelen veriyi tehlikeli olarak kabul edebiliriz.
Sunucu tarafında (render sink) katı bir HTML-kaçış (escaping) mekanizması kurduk. SEO <noscript> HTML ve JSON-LD şemaları sunucu tarafından oluşturulurken her değer temizleniyor. Stored-XSS zincirini etkisiz hale getirdik; böylece veri manipüle edilse bile frontend’de çalışmayacak. Ayrıca catch-all yönlendiricisinde, çözümlenen yolların kesinlikle frontend dist dizinine ait olmasını zorunlu kılarak LFI (Local File Inclusion) açıklarını kapattık.
Slug Sözleşmelerini Birleştirmek
Hiçbir şey SEO’yu sessiz 404’ler kadar hızlı öldüremez. Python backend (server.py) ile React frontend (utils/slugs.js) taraflarının birbirinden bağımsız iki farklı slug oluşturma (slugification) implementasyonuna sahip olduğunu keşfettik. Bu iki fonksiyon 228 üniversitenin 2’sinde farklı sonuçlar üretiyor ve derin bağlantıları bozuyordu.
Çözüm? Tek ve kesin (canonical) bir algoritma:
- Küçük harfe çevir
- Türkçe karakter haritasını uygula (
ı -> i,ş -> s, vb.) [^a-z0-9]+karakterlerini-ile değiştir- Sondaki tireleri temizle.
Bu kural artık tüm üniversite veri seti üzerinde çalışan bir regresyon testi (tests/test_security.py::TestSlugParity) ile garanti altına alındı.
Domain Taşıma
Son olarak, prodüksiyon domainini atlas.bogazici.app adresinden atlas.bountools.com adresine taşıdık. Bu sadece bir DNS değişikliği değildi; backend SEO etiketleri, self-hosted Docker swarm konfigürasyonları ve Dokploy güncellemelerinin yanı sıra, eski trafiği yakalamak için 302 yönlendirmeleri eklenmesini de gerektirdi.
Yoğun bir oturum oldu ama uygulama artık çok daha hızlı, düzgün bir şekilde güvenli hale getirilmiş ve bir sonraki öğrenci akınına hazır durumda.