model

type PathRule struct {
	// Prefix, mutlak yol öneki. Eşleşme DİZİN SINIRINDA yapılıyor.
	Prefix string

	// Allow false ise açık ret: izinli bir ağacın içinden dal kesmeye
	// yarıyor. En uzun eşleşen önek kazandığı için çalışıyor.
	Allow bool

	// CanWrite, iznin yazmayı da kapsayıp kapsamadığı.
	CanWrite bool
}

type Role struct {
	Name string

	// Targets, bu rolün erişebildiği hedef adları.
	Targets []string

	/*
	 * Paths, bu rolün SFTP yol kuralları.
	 *
	 * ⚠️ BOŞ LİSTE "HİÇBİR ŞEY" DEĞİL, "KISIT YOK" DEMEK. Kuralı olmayan
	 * bir rol bugünkü gibi her yola erişiyor; kısıtlama kural
	 * EKLENDİĞİNDE başlıyor. Aksi hâli, yükseltmenin ertesi sabahı her
	 * kurulumun SFTP'sini kırmak olurdu.
	 */
	Paths []PathRule
}

type SFTPJournal struct {
	/*
	 * Measured, kaydın mühür satırındaki sayının bilindiği.
	 *
	 * ⚠️ FALSE "GEÇTİ" DEĞİL, "KARŞILAŞTIRILAMAZ" DEMEK — zincir
	 * başındaki (034) boş baş kararının aynısı. Göç 037'den önce
	 * kapanmış oturumlarda ve kaydı hiç tutulmamış oturumlarda mühür
	 * yok; onları "defteri tam" diye göstermek, hiç yapılmamış bir
	 * kontrolü yapılmış saymak olurdu.
	 */
	Measured bool

	// Events, kaydın mühür satırındaki olay sayısı (internal/sftpcast).
	Events int64

	/*
	 * Digest, mühür satırındaki özet: kayda giren satırların
	 * XOR'lanmış SHA-256'sı, onaltılık.
	 *
	 * ⚠️ SAYININ YANINDA DURUYOR ÇÜNKÜ AYRI BİR SORUYU CEVAPLIYOR.
	 * Sayı "kaç satır" diyor; özet "hangi satırlar" diyor. Sayı tutup
	 * özet tutmuyorsa satır SİLİNMEMİŞ, DEĞİŞTİRİLMİŞ demektir — ve o,
	 * defterden satır silmekten daha ince bir müdahale: silinen satır
	 * en azından bir boşluk bırakıyor, değiştirilen satır tam bir
	 * denetim kaydı gibi duruyor.
	 *
	 * ⚠️ OLAY YOKKEN BOŞ — sıfırların onaltılığı DEĞİL. Mühür satırı
	 * da yazılmıyor; dosyada karşılığı olmayan bir değeri saklamak,
	 * kontrolün "kayıt böyle diyor" dediği şeyi uydurmak olurdu.
	 */
	Digest string

	/*
	 * Lost, postern'in deftere koyamadığını BİLDİĞİ olay sayısı:
	 * tampon taştığı için atılanlar ve kapanışta yazılamamış olarak
	 * elde kalanlar.
	 *
	 * ⚠️ AYRI DURUYOR ÇÜNKÜ AYRI BİR BULGU. Aritmetiği "satırlar
	 * silinmiş" hâliyle aynı (satır sayısı mühürden eksik) ama olayı
	 * bambaşka: biri postern'in kendi arızası, öbürü müdahale.
	 */
	Lost int64

	/*
	 * Denied, POSTERN'İN KENDİ reddettiği istek sayısı — defterdeki
	 * "denied." önekli satırlar (sftpaudit/policy.go).
	 *
	 * ⚠️ HEDEFİN "permission denied"I BURAYA GİRMİYOR. O, hedefin dosya
	 * izinleri hakkında bir şey söylüyor; bu, postern'in kurallarının
	 * çiğnenmeye çalışıldığını. İkisini tek sayıya katlamak, denetçiye
	 * "kural sınandı" ile "kullanıcının o dosyaya erişimi yok"u aynı
	 * rakamla gösterirdi.
	 *
	 * ⚠️ SAYI, DEFTERDEKİ SATIR ADEDİNDEN BÜYÜK OLABİLİR. Ardışık aynı
	 * retler tek satıra katlanıyor ve sayı katlananları da içeriyor:
	 * "kaç satır var" ile "kaç kez denendi" apayrı iki soru, ve
	 * denetçinin sorduğu ikincisi.
	 *
	 * ⚠️ Counted FALSE İKEN SIFIR OKUNMAMALI. Göç 038'den önce kapanmış
	 * oturumlarda sayım yapılmadı; sıfır göstermek "hiçbir şey
	 * reddedilmedi" demek olurdu — Measured'ın aynı gerekçesi.
	 */
	Denied int64

	// Counted, Denied'in gerçekten sayıldığı (göç 038 sonrası).
	Counted bool
}

type Session struct {
	// ID, record.NewSessionID()'nin ürettiği değer. Kayıt dosyasının adı
	// da bu olduğu için, denetim kaydı ile .cast dosyası arasındaki bağ
	// tek bir alanla kuruluyor.
	ID string

	// User ve Target, id değil AD tutar. Denetim kaydını okuyan insan
	// "hangi kullanıcı" diye sorduğunda cevabın bir JOIN'e ihtiyacı olmasın.
	User   string
	Target string

	// OSUser, oturumun AÇILDIĞI hesap.
	//
	// users.os_user'ın kopyası gibi görünür ama değildir: policy o an
	// başka bir hesaba karar vermiş olabilir ve kullanıcının bugünkü
	// os_user'ı o günkü kararı değiştirmemeli. Denetim, kaydın alındığı
	// andaki gerçeği saklar.
	OSUser string

	// SrcIP, kullanıcının bastion'a bağlandığı adres.
	SrcIP string

	/*
	 * Temporary: oturumu bir ROL değil, SÜRELİ BİR HAK açtı (göç 044).
	 *
	 * ⚠️ KARAR ANINDA YAZILIYOR, SONRADAN TÜRETİLMİYOR. Hak geri
	 * alındığında ya da süresi dolduğunda jit_grants'tan bakarak "o
	 * saatte açık bir hak var mıydı" demek, denetim kaydını başka bir
	 * tablonun sonraki hâline bağlar; denetçi bunu satırda görmeli.
	 */
	Temporary bool

	// RecordingChain ve RecordingLinks, kaydın zincir başı ve halka
	// sayısı (göç 034).
	//
	// ⚠️ BOŞ BAŞ "DOĞRULANDI" DEĞİL, "DOĞRULANAMAZ" DEMEK. Göç öncesi
	// kapanmış oturumlarda ve çökme sonrası süpürülen oturumlarda baş
	// yok; ikisini "geçti" gibi göstermek, kanıtı olmayan bir kaydı
	// kanıtlanmış saymak olurdu.
	RecordingChain string
	RecordingLinks int64

	// SFTPJournal, oturum kapanırken defterin durumu (göç 037).
	SFTPJournal SFTPJournal

	StartedAt time.Time

	// EndedAt sıfır değerse oturum hâlâ açık (şemada NULL).
	EndedAt time.Time

	// RecordingPath, .cast dosyasının yolu. Kayıt açılamadıysa boş —
	// ama o durumda oturum zaten reddedilmiş olmalı (S1.8 kararı).
	RecordingPath string
}

type Target struct {
	Name    string
	Host    string
	Port    int
	HostKey string

	// Labels, operatörün iliştirdiği key=value notları ("env=prod").
	//
	// ⚠️ YETKİ DEĞİL: erişimi rol → hedef bağı veriyor. Etiket yalnızca
	// hedefleri gruplayıp bulmak için — etiketten yetki türetmek,
	// etiket ekleyebilen herkese yetki dağıtmak olurdu.
	//
	// Yalnızca LİSTELEME yollarında dolu (store.Targets). Oturum açma
	// yolundaki tekil okuma bunu çekmiyor: her bağlantıda ikinci bir
	// sorgu, hiç kullanılmayan bir alan için.
	Labels map[string]string
}

type TargetFacts struct {
	// ServerVersion, sunucunun kendi afişi: "SSH-2.0-OpenSSH_9.6p1 Debian-3".
	ServerVersion string
	// HostKeyType, pinlenmiş anahtarın türü (ssh-ed25519 …).
	HostKeyType string
	// LastSeenAt, son BAŞARILI bağlantı. Sıfır ise hiç bağlanılmadı.
	LastSeenAt time.Time
	// ConnectMS, o bağlantının el sıkışma süresi.
	ConnectMS int
	// LastErrorAt/LastError, son BAŞARISIZ deneme. Başarıyı silmiyor.
	LastErrorAt time.Time
	LastError   string

	// Probe, yalnızca target_probe.enabled ile dolar — yani hedefte
	// komut çalıştırıldıysa. ProbedAt sıfırsa hedefe hiç dokunulmadı.
	//
	// İç içe duruyor ki paneli çizen de, koda bakan da "bu satırı
	// öğrenmek için makineye dokunduk mu" sorusunu tek bakışta
	// cevaplayabilsin.
	Probe    TargetProbe
	ProbedAt time.Time
}

type TargetProbe struct {
	// Kernel, `uname -srm` çıktısı.
	Kernel string
	// OSName, /etc/os-release içindeki PRETTY_NAME (yoksa NAME).
	OSName string
}

type TemporaryAccess struct {
	Target string
	// OSUser, hedefte açılan hesabın adı. Kişinin o günkü os_user'ı;
	// sertifikanın principal'ı da bu olmak zorunda.
	OSUser    string
	ExpiresAt time.Time
	/*
	 * Applied, hesabın hedefte GERÇEKTEN açılmış olduğu. Yarım kalan bir
	 * hak da kayıtta duruyor (süpürücü toplayacak); ona yetki vermek,
	 * var olmayan bir hesaba oturum açtırmaya çalışmak olurdu.
	 */
	Applied bool
}

type User struct {
	// Name, postern kullanıcı adı ("yigit"). auth.go'nun doğruladığı ve
	// Permissions'a koyduğu değer.
	Name string

	// OSUser, kişinin hedeflerdeki VARSAYILAN hesabı. İstek boş geldiğinde
	// principal bu olur.
	//
	// S3 şemasında users.os_user (NOT NULL) — kişiye özel, paylaşılmaz.
	// Driver 1'in özü bu alan: herkes hedefe kendi adıyla düşüyor.
	OSUser string

	// Roles, kişinin sahip olduğu roller. Hedef erişimi rollerden gelir.
	Roles []Role

	// SSOOnly true ise bu kullanıcı YALNIZCA kimlik sağlayıcı üzerinden
	// girebilir; public key ile girişi reddedilir.
	//
	// IdP'den otomatik oluşan (JIT) kullanıcılar böyle doğar: erişimleri
	// IdP'de kapatılınca gerçekten bitsin ve rolleri her girişte
	// tazelensin diye. Elle oluşturulan servis hesapları false kalır.
	SSOOnly bool

	/*
	 * DirBound, hesabın bir DİZİN kimliğine bağlı olduğu.
	 *
	 * ⚠️ Oturum açılışında dizine yeniden sorulup sorulmayacağının
	 * DOĞRU koşulu bu — SSOOnly değil. Ölçüldü: yetkisi dizinden gelen
	 * bir yönetici (admin_via='group') sso_only=false ile duruyordu,
	 * yani dizinde kapatılsa bile anahtarıyla oturum açardı.
	 */
	DirBound bool

	// Admin, uygulama YÖNETİM yetkisi (kullanıcı/rol/hedef değiştirme,
	// web'deki yönetim sayfaları). Hedef erişimiyle ilgisi yok: admin
	// olmayan biri terminale girebilir, admin olan biri rolü yoksa hiçbir
	// hedefe giremez. İki eksen bilerek ayrık.
	Admin bool
}