Gate iframe — resolve/close ZORUNLU ✓ Canlı

1) Kullanıcı işlemi tetikler (ör. paketi Kapat) → panel GATE iframe'ini açar ve BEKLER (promise).
2) Sayfan App Bridge'den getContext ile bağlamı alır (hangi paket/masa: refId).
3) Kullanıcı sayfanda seçim yapar →
     resolve(formData) → iframe kapanır; panel topladığın formData ile plugins/hook'u POST eder →
                         webhook'un (actionUrl) { decision:'allow'|'deny', message } döner →
                         allow ise işlem DEVAM eder, deny ise mesajın panelde gösterilir.
     close()           → gate { allow:false } → işlem İPTAL edilir (webhook çağrılmaz).

function bridgeCall(action, params) {
  return new Promise((res) => {
    const requestId = Math.random().toString(36).slice(2);
    function onMsg(e) {
      const d = e.data;
      if (!d || d.type !== "restomenum-bridge-response" || d.requestId !== requestId) return;
      window.removeEventListener("message", onMsg);
      res(d.result);
    }
    window.addEventListener("message", onMsg);
    window.parent.postMessage({ type: "restomenum-bridge", requestId, action, params }, "*");
  });
}

// Sayfa açılınca bağlamı al (hangi kayıt?):
const ctx = await bridgeCall("getContext");   // → { serverId, pluginId, locale, refId }  (refId = paket/masa id)

// Kullanıcı onayladı → işleme DEVAM ET (params = formData; webhook'una aynen gider):
await bridgeCall("resolve", { courierCalled: true });   // veya { decision: "allow" } gibi KENDİ alanların

// Kullanıcı vazgeçti → işlemi İPTAL ET:
await bridgeCall("close");

// bridgeCall: yukarıdaki App Bridge köprüsü. Cevaplar { success, data } zarfındadır → ctx/tok = result.data.
const ctx = await bridgeCall("getContext");
// → { serverId, pluginId, locale, refId }   (refId = gate hedefi: paket/masa doc id)

// Kullanıcı sayfanızda gerekli işlemi yapar (mutabakat onayı, kod girişi…) → fetch'ten HEMEN ÖNCE:
const tok = await bridgeCall("getSessionToken");
// → { token, tokenType: "Bearer", expiresIn: 120 }   — TTL 120 sn, önceden alıp bekletmeyin

await fetch("https://api.SIZIN-DOMAIN.com/gate-approvals", {
  method: "POST",
  headers: { "Authorization": "Bearer " + tok.token, "Content-Type": "application/json" },
  body: JSON.stringify({ refId: ctx.refId, approved: true /* + kendi alanlarınız */ }),
});

resolve();   // ← veri TAŞIMIYOR; yalnız "etkileşim bitti" sinyali. close() = iptal.

const crypto = require("crypto");

function verifySessionToken(token, webhookSecret, myPluginId) {
  const parts = String(token || "").split(".");
  if (parts.length !== 3) return null;
  const [h, p, s] = parts;
  const expected = crypto.createHmac("sha256", webhookSecret).update(h + "." + p).digest("base64url");
  const a = Buffer.from(s), b = Buffer.from(expected);
  if (a.length !== b.length || !crypto.timingSafeEqual(a, b)) return null;
  const payload = JSON.parse(Buffer.from(p, "base64url").toString("utf8"));
  if (payload.iss !== "restomenum") return null;
  if (payload.aud !== myPluginId) return null;            // başka eklentinin token'ı işe yaramaz
  if (Math.floor(Date.now() / 1000) > payload.exp) return null;
  return payload; // { tenantId, sub: <userId>, role: "manager"|"staff", pluginId, iat, exp }
}

// POST /gate-approvals
app.post("/gate-approvals", (req, res) => {
  const claims = verifySessionToken(
    req.headers.authorization?.replace(/^Bearer /, ""), WEBHOOK_SECRET, MY_PLUGIN_ID);
  if (!claims) return res.status(401).end();
  // State: tenant + refId anahtarıyla, KISA TTL ile (ör. 10 dk) sakla
  db.set(`gate:${claims.tenantId}:${req.body.refId}`,
         { approved: true, by: claims.sub, role: claims.role, at: Date.now() },
         { ttlSec: 600 });
  res.json({ ok: true });
});

// actionUrl/webhookUrl handler'ınızda (imza doğrulaması sonrası):
if (body.type === "hook" && (body.event === "packet.close" || body.event === "table.close")) {
  const key = `gate:${body.tenantId}:${body.target.id}`;
  const state = await db.get(key);
  if (state && state.approved) return res.json({ decision: "allow" });
  return res.json({ decision: "deny", message: "Önce eklenti panelindeki doğrulamayı tamamlayın." });
}

Personel "Kapat"a basar
  → panel gate iframe'inizi açar
      → iframe: getContext (refId) → kullanıcı işlemi → getSessionToken
      → iframe → SİZİN backend: POST /gate-approvals (Bearer sessionToken, refId)   ← veri SİZİN kanaldan
      → iframe: resolve()   ← sadece sinyal
  → panel/sunucu hook'unuzu çağırır: { event, target:{id: refId}, tenantId, ... }
      → backend'iniz: gate:{tenantId}:{refId} var mı? → { decision: allow/deny }
  → allow ise işlem yapılır; deny ise mesajınız personele gösterilir