Bir problemle onu çözen app arasındakiboşluk için bir güven platformu.

Her stateful servisin kendi veritabanı ve kendi ilk sürümünden başlayan kendi migration zinciri var. Bir servis başkasının verisine ihtiyaç duyduğunda, identifier’ı ve kendi tanımladığı bir port’un arkasında yerel bir read-model tutuyor; yani sakladığı şekil, sahibinin elindeki şekil değil, kendi ihtiyacı olan şekil.

Kural disiplinle korunmuyor. Bir servis başkasının persistence tiplerini import ederse ArchUnit build’i düşürüyor; fiziksel ayrımdan sonra ise kazara bile uzanılacak paylaşılan bir şema kalmadı.

TakasServisler arası her okuma eventual consistent oluyor. “Bu app var mı” gibi yazma yolu kontrolleri kesin olmaktan çıkıp yakınsayan hâle geliyor; burada kabul edilebilir bir şey ve sonradan keşfedilmek yerine geçerli olduğu yerlere yazılmış durumda.

Sorgular yerel projeksiyonlara düz SQL ile, Postgres tam metin araması ve bir GIN indeksi üzerinden koşuyor. Burada bilinçli olarak ORM entity’si yok; okuma tarafının koruyacağı bir domain olmadığı için bir object mapper saf ek yük olurdu.

İki kural sayfalamayı dürüst tutuyor. Sıralama bir enum ve enum’ın kendisi izin listesi: bilinmeyen bir değer bizim kodumuz çalışmadan reddediliyor, çünkü clause native bir sorgunun içine interpolate edilmek zorunda ve oraya bir istemci string’i asla ulaşmamalı. İkincisi, her sıralama satır id’siyle bitiyor; çünkü kesin bir toplam sıra olmadan sıralama kolonunda eşitlenen satırlar sayfalar arasında sessizce tekrarlanıyor ya da kayboluyor.

TakasAramak istediğiniz her şeyin önce bir event üzerinde yolculuk etmesi gerekiyor. Yeni bir alan gerektiğinde uzanılacak pratik bir join yok; ki amaç bu, ama bir arama özelliğinin bazen başka bir serviste başlaması anlamına da geliyor.

Tek bir criteria nesnesi ve tek bir native sorguya indirmek, artık ölü olan dokuz repository metodunu sildi ve ucun, dokümantasyonunun hep iddia ettiği gibi davranmasını sağladı.

JSON alanları alan çıkarımıyla değil bütün doküman containment’ı ile sorgulanıyor (çıkarım dizi üyeliğini zaten cevaplayamıyor) ve bu aynı zamanda tek bir GIN indeksinin bugünkü ve gelecekteki her JSON eksenine hizmet etmesi demek.

TakasTek büyük bir sorgu, beş küçük metottan bir bakışta daha zor okunuyor. Karşılığında iki filtrenin hangisinin kazanacağı konusunda anlaşamaması imkânsız hâle geliyor.

Düzeltme, geri kalan her şey için doğru olan global varsayılanı değiştirmek değil, o tek alan için bir property bazlı override. Yokluk da tek bir temsil kazandı: boş girdi komutun kendisinde null’a normalize ediliyor, böylece hiçbir okuyucu iki tür “resim yok” durumunu test etmek zorunda kalmıyor.

Hatırlanmaya değer kısım nasıl yakalandığı. Mock tabanlı testler her iki durumda da geçiyordu; kendisine söyleneni harfiyen yapan bir mapper üzerinde assert ediyorlardı. Satırın hiç değişmediğini gösteren şey, gerçek bir veritabanına karşı koşan bir integration testi oldu.

TakasGelecekteki her opsiyonel-ve-kaldırılabilir alan aynı açık override’a ve onu gerçekten temizleyen bir teste ihtiyaç duyuyor. Küçük ve tekrarlayan bir maliyet; alternatifi sessiz bir veri hatası sınıfı olduğu için kabul edildi.

Commit’ten önce çalışan bir listener event’i aynı bağlantı üzerinde sahibi olan servisin outbox’ına ekliyor. Rollback hiçbir şey yayınlamıyor. Commit ise event’i tarif ettiği veri kadar kalıcı yapıyor.

Zamanlanmış bir relay bekleyen satırları SKIP LOCKED ile kapıyor (bu birden çok instance çalıştırmayı güvenli kılıyor), sonradan dedup için kullanılan sabit bir event id damgalıyor ve aggregate id ile keyed olarak yayınlıyor; böylece bir aggregate’in event’leri sıralı kalıyor.

TakasYayın artık asenkron ve biraz gecikmeli; relay’in polling aralığı gerçek bir gecikme ayarına dönüşüyor. Change-data-capture polling’i ortadan kaldırırdı; bu bir gözden kaçış değil, kayıtlı ve bilinçli bir erteleme.

Snapshot event’lerinde bu bir kolaylık: consumer bir değer set ediyor, dolayısıyla replay zaten yakınsıyor. Durum değil değişim taşıyan iki topic için (bir itibar düzeltmesi ve bir katkı ödülü) çift sayımı engelleyen tek şey bu.

Ödül yolu üreticide ikinci ve bağımsız bir koruma taşıyor: içeriğin üzerine bir kereye mahsus bir zaman damgası. Consumer dedup’ı bir yeniden teslimi durduruyor; üreticideki damga ise yayınla → geri çek → yeniden yayınla döngüsünün iki kez ödüllendirmesini durduruyor. Bir delta gerçekten ikisine birden ihtiyaç duyduğu için iki katman var.

TakasHer consumer event başına küçük bir yazma ödüyor ve defterin bir noktada budanması gerekiyor. Ortadan kaldırdığı hata sınıfının yanında ucuz.

Tek bir error handler tüm filoya hizmet ediyor: üç geri çekilmeli deneme, sonra dead-letter topic’i. Deserialization hataları retry’ları tamamen atlıyor; hiçbir zaman parse edilmeyecek bir payload’ı tekrar denemek sadece daha yavaş bir başarısızlık.

Kurtarma en az kapsama kadar önemli. Replay ucu header’ları koruyor; yani orijinal event id hayatta kalıyor ve yarısı uygulanmış bir batch’i yeniden oynatmak güvenli oluyor, çünkü dedup zaten inmiş olanı hâlâ tanıyor.

TakasRetry’lar retry topic’lerine yönlendirilmek yerine blocking. Düşük hacimli ve idempotent consumer’lar için bu daha basit ve yeterli; hacim aksini söylediği gün için yükseltme yolu yazılı.

İlk çağrı dikkatli yoldan inşa edildi (tipli HTTP interface, transport timeout’ları, retry, circuit breaker, bulkhead, bir anti-corruption mapper ve zarif bir fallback) ve tam breaker döngüsü bağımlılığın gerçek bir kesintisi altında kanıtlandı.

Sonra sahibi aynı veriyi event olarak yayınlamaya başladı, iki tüketici onu yerelde projekte etti ve client silindi. Transport kütüphanesi ile internal uç kaldırılmak yerine korundu: bugün tüketicileri yok ve bir sonraki gerçek senkron ihtiyacın kullanacağı tam olarak onlar. Aynı yığın bugün moderation servisinin publish çağrılarını taşıyor.

TakasProjekte edilen okuma eventual consistent olduğu için bir yazma yolu varlık kontrolü gerçeklikle kısa süre anlaşmazlığa düşebiliyor. Bilerek kabul edildi ve etkilenen yollar belgelendi.

Aşağıdaki servisler dış sağlayıcıyı hiç görmüyor. Paylaşılan bir starter’daki tek bir decoder bean’i hepsini bir kerede geçirdi; servis başına kod yok. Internal token iki dakika yaşıyor; sızmış bir tanesinin neredeyse hiçbir değeri kalmayacak kadar kısa.

İnce kısmı rol. Dış token’dan kopyalanmıyor: gateway onu identity servisinin kendi veritabanından, kısa süre cache’leyerek çözüyor. Yani ürünün içinde verilen bir yetki, kullanıcının bir sonraki girişinde değil, o pencere içinde tüm filoya yayılıyor.

TakasBedeli erişilebilirlik. identity cevap veremediğinde edge, dış token’ın iddia ettiği role güvenmek yerine isteği 503 ile reddediyor; önceki sürüm burada fail-open’dı ve bir dayanıklılık kampanyası bunu kapattı. Anonim trafik etkilenmiyor, otuz saniyelik önbellek bilinen kullanıcıları kısa kesintilerden geçiriyor; yani gerçekten reddedilen şey, yakın zamanda görülmemiş birinin kimlikli isteği.

Yayılım yalnızca türetimle: yeni event yok, read-model yok, senkron çağrı yok. Identity servisi türetilmiş değeri açıyor, gateway internal token’ı mint ederken onu bir claim olarak damgalıyor ve her servis claim’i okuyor. Premium’a bağlı bir özellik eklemek bir boolean okumak.

Entitlement’ın kendisi kullanıcının aktif hak kaynaklarının birleşimi: ücretli abonelik, promosyon kodu, yönetici tarafından verilmiş hediye. Dolayısıyla biten bir abonelik, hâlâ geçerli bir promosyonu olan birini asla düşürmüyor; çünkü “bu kullanıcı hak sahibi mi” sorusu tek bir yerde soruluyor ve bütün sebeplerden birlikte cevaplanıyor.

TakasClaim ancak cache penceresi kadar taze. Bu bilinçli bir tercih: edge’de her istek için identity’ye gidip gelmek çok daha kötü bir anlaşma olurdu.

Bayrak kapalıyken checkout, abonelik yaşam döngüsü, ödeme defteri, plan listesi, sağlayıcı webhook’u ve yönetici iade yüzeyi herkes için erişilemez: kullanıcı, yönetici, anonim fark etmeksizin. Tek bayrak üzerinde iki katman: güvenlik yapılandırması route’ları reddediyor, checkout use case’i de süreç içinde reddediyor; yani süreç içinden bile hiçbir şarj başlatılamıyor.

Tasarımın geri kalanı bir gün açılacağını varsayıyor. Hiçbir kart verisi saklanmıyor; hosted checkout formu tutuyor. Tutar her zaman sunucu tarafında bir plan tanımlayıcısından çözülüyor, istemciden asla kabul edilmiyor. Erişim yalnızca webhook ile doğrulanmış durumdan veriliyor; çünkü bir tarayıcı callback’i terk edilebilir ya da taklit edilebilir ve yetki değildir.

TakasÇalışmayan kod egzersiz görmez. Bu yüzden switch sırasının kendi testi var; en dıştaki kapı beklerken çürüyemesin diye.

Böyle bir kuralın nereye konduğu, ne kadar uzağa eriştiğini belirliyor. On dört bootable modülün ortak tek kütüphanesi observability’ydi; güvenlik starter’ı ise gateway’e hiç eklenemiyor: servlet yığınını sürüklüyor ve reaktif bir gateway onu classpath’te bulunca başlamayı reddediyor. Yeni bir modül açmak, güvenlik kuralını başka bir şeyin adını taşıyan bir jar’ın içine saklamaktan iyiydi.

En keskin bulgu, çalışan bir committed default’tu. Kimlik sağlayıcısının anahtar ucu canlı bir geliştirme tenant’ına düşüyordu; yani prod’da set etmeyi unutmak hata vermezdi, sessizce o tenant’ın imzalarını kabul ederdi ve oraya kayıt olan herkes burada geçerli bir kullanıcı olurdu. Bir default kaçınılmazsa, yanlış bir şeye karşı çalışan değil, **çalışamayan** olanı seç: ayrılmış, geçersiz bir host.

TakasOn dört modül artık eksik bir anahtarda başlamayı reddediyor; bu daha kötü bir ilk deployment, daha iyi bir ikinci yıl demek. Hata gürültülü, anında ve anahtarın adını söylüyor.

İki bağımlılık override’ı duruyor ve her biri kaldırma koşulunu birinin hafızasında değil bir yorumda taşıyor: tarama o property olmadan yeşile döndüğü gün sil. Suppression’lar da aynı standarda tabi — dosya bir gerekçe ve bir son kullanma tarihi zorunlu kılıyor, tarihi de tarayıcının kendisi uyguluyor; yani süre dolunca kayıt susmayı bırakıyor ve kapı kendiliğinden kırmızıya dönüyor.

Build’i çalıştıran girdiler de bağımlılıktır. Bir workflow action tag’i taşınabilir bir işaretçidir: taşınırsa bizim checkout’umuzda bizim token’ımızla farklı kod koşar ve bizim diff’imizde hiçbir şey değişmez — bu yüzden action’lar commit ile pinleniyor. Build wrapper indirdiği arşivi hash ile doğruluyor; çünkü transport güvenliği sunucuyu doğrular, artefaktı değil. İmaj tabanları da pinli, ki onlar olmadan taramanın hiçbir anlamı kalmıyor: tek bir makinede sessizce yedi builder ve beş run imajı birikmişti ve hangi build’in hangisini kullandığını hiçbir şey kaydetmiyordu.

Takasİki tarayıcı yerine bir tane. İkisi, uyumlu tutulacak iki zafiyet veritabanı, iki eşik ve iki ayrı suppression dosyası demekti — bu kod tabanının başka yerlerde bedelini ödemeye devam ettiği ayrışmanın tedarik zincirine ithal edilmiş hâli.

Hesap silme event’inin iki tüketicisi vardı ve ikisi de aynı küçük şeyi yapıyordu: projeksiyondaki görünen adı düşürmek. İsim kayboluyor, içerik kalıyordu; yani her asistan konuşması, tam prompt’u ve tam cevabıyla, silinmiş kullanıcının anahtarında süresiz duruyordu. Silme artık içeriğe ulaşıyor — ve önce ikinci kopyaya ulaşıyor: bir değerlendirme kaydı aynı materyali birebir gömüyor ve kendi kullanıcı sütunu yok, o yüzden aynı transaction içinde ve onu bağlayan satırdan **önce** gitmesi gerekiyor.

Silmek her sınıf için doğru cevap değil, ve hangisinin ne olduğunu söylemek işin ta kendisi. Özel sohbet silinir. Public katkı kalır ve okuma anında de-identify edilir; çünkü onu silmek başkalarının sayfalarını yeniden yazar. Bir oy kalır; çünkü zaten yayımlanmış bir sayının girdisidir. Ödeme kayıtları kalır; çünkü kanun öyle istiyor. Ayrıca bir log satırı, sahibi olmayan, saklama süresi olmayan ve bir silme talebini yerine getirme yolu bulunmayan ikinci bir kopyadır — oraya giden şey pseudonim tanımlayıcıdır. En kötü örnek de varsayılan olandı: bir yer tutucu e-posta gönderici alıcı başına bir satır yazıyordu, yani her broadcast kullanıcı dizinini log’a döküyordu.

TakasOkuma anında de-identify etmek, eskiden doğrudan bir isim join’i yapan yollara bir lookup ekliyor. Herkesin geçmişini olduğu gibi bırakan tek sürüm bu.

İlk canlı ölçüm bir regresyon gibi göründü: anonim bir health isteği tam bileşen dökümü döndürdü — günler önce kapatılmış bir sızıntı. Regresyon değildi. İmajlar o düzeltme inmeden iki saat önce etiketlenmişti ve sonrasındaki beş fazın hiçbiri hiçbir container’da yoktu; üstelik kaynak ağacındaki her kontrol yeşildi. Bir imaj deposu hareketli bir etiket altında sessizce bayatlar, o yüzden artık her servis kendi build’ini damgalıyor ve bir kontrol, koştuğunu iddia ettiği koddan eski bir fleet’i reddediyor.

İki süit kırmızıydı ya da hiç yoktu ve kimse bilemezdi, çünkü onları hiçbir şey koşturmuyordu. Frontend başlık süitinin ne bir npm script’i ne bir workflow’u vardı. Derin uçtan uca tier ise yalnız bir release tag’inde tetikleniyor ve bu repoda hiç tag atılmadı; canlı bir fleet’e karşı ilk gerçek koşusu, kaynağı okuyarak bulunamayacak iki yeni açık buldu — çünkü ikisinde de kaynak doğru görünüyor. Bir catch-all handler, framework seviyesindeki “hatalı istek” istisnalarını anonim bir uçtan sunucu hatasına çeviriyordu; ve ortak hata sözleşmesini miras alamayan tek modül, internete bakan modül çıktı.

TakasÇalışan sistemi test etmek yavaştır, container ister ve her commit’te koşamaz. Bu yüzden kendi tetiği olan ayrı bir tier — ve yanına yazılan ders şu: kimsenin çekmediği bir tetik, olmayan bir testle aynı şeydir.

Domain, içinde hiç framework olmayan düz Java; skor motorunun bir Spring context’i olarak değil aritmetik olarak test edilebilmesini sağlayan şey bu. Persistence modeli bilinçli olarak domain modelinden ayrı: bir ORM anotasyonu bir depolama meselesidir ve bir iş kuralını şekillendirmek onun işi değil.

Transaction sınırları yalnız interactor’larda, hatalar RFC 7807 problem dokümanları ve her servis kendi migration zincirinin sahibi. Katmanlanma review ile değil ArchUnit ile denetleniyor; böylece yorgun bir cuma gününde de geçerli kalıyor.

TakasPragmatik üç katmanlı bir servise göre özellik başına daha çok dosya. On üç serviste buna değiyor; tek serviste muhtemelen fazla olurdu.

Bu yüzden tek bir kapı var: “bu kamuya görünür mü” sorusunu mevcut durum yaşam döngüsü cevaplıyor. Değişen şey event’lerin ne zaman atıldığı. Public stream’ler artık oluşturmada yayınlamıyor (varlık henüz kamuya açık değil), onay anında yayınlıyor; yayından kaldırma ise silme tombstone’unu atıyor. Aşağı akıştaki tüketiciler hiçbir filtre eklemedi; sadece artık yalnızca kamunun görebileceği şeyler için event alıyorlar.

Bu kayma bütün bir hata sınıfını görünür kıldı. Görünürlüğü değiştiren her yazma yolunun event’i atması gerekiyor ve bir yönetici ucu atmıyordu; yani oradan reddedilen bir öge arama indeksinde ve asistanın corpus’unda canlı kalıyordu. Düzeltme, her çağıranın hatırlamasına güvenmek yerine görünürlük geçişinin kendisinde yayınlıyor.

TakasOnay insana bağlı bir darboğaz ve bunun için toplu işlemler yazılması gerekti, dürüst kısmi başarı raporlamasıyla; çünkü on ikisinin on biri başarılıyken “tamam” diyen bir batch, hiç rapor vermemekten kötüdür.

Bütün tasarım o asimetride. Uygulama broker’a ve veritabanına proxy üzerinden ulaşıyor; testin kendi consumer’ı doğrudan bağlanıyor. Böylece bir test Kafka’yı uygulamanın elinden alabiliyor, outbox’ın retry sayaçlarıyla birikmesini izleyebiliyor, broker’ı geri getirip boşaldığını assert edebiliyor ve bunların hepsi kendi doğrulama yolu hayattayken oluyor.

Bunu mümkün kılan bariz olmayan bir ayrıntı var. Bir Kafka istemcisi bir adrese bootstrap ediyor, sonra kendisine broker’ın advertised adresi veriliyor ve oraya doğrudan bağlanıyor; yani yalnız bootstrap adresini proxy’lemek hiçbir şeyi proxy’lemiyor. Bu yüzden broker, advertised listener’ı proxy’nin kendi host portu olacak şekilde başlatılıyor; hem bootstrap hem veri yolu oradan geçiyor. Bu olmadan proxy’yi kesmek hiçbir şeyi kesmiyor ve test yanlış sebeple geçiyor.

TakasBu testler kesinti içinde bilerek gerçek saniyeler harcıyor; bu yüzden katman etiketli ve varsayılan build’den hariç. Hızlı iç döngü hızlı kalıyor, chaos kendi profiliyle koşuyor.

Corpus, app–problem–match üçgeni; diğer her servisin tükettiği aynı event’lerden AI servisine projekte ediliyor. Retrieval çok dilli embedding’ler üzerinde yaklaşık en yakın komşu araması ve indeks, filtreler aday kümesini daralttığında recall sessizce çökmeyecek şekilde ayarlandı.

Uygulama katmanı hangi sağlayıcının cevap verdiğini hiç bilmiyor. O sınıra iki ders gömülü. Bir modelden “JSON döndür” istemek bir kontrat değildir: çıktıyı bir kod bloğuna sarar ve parse başarısız olur; açılış süslü parantezini prefill etmek ilk testi geçer, sonra bir string değerinin içindeki kaçırılmamış tırnakta ölür ki bu prefill’in yapısal olarak engelleyemeyeceği bir sınıftır. Kalıcı çözüm bir şemaya karşı constrained decoding: geçersiz çıktıyı sadece caydırılmış değil, temsil edilemez yapıyor.

TakasYalnızca kendi içeriğimize demirlenmek, asistanın tahmin etmek yerine bilmediğini söylemesi demek. Burada doğru davranış bu ve yine de zaman zaman daha kötü bir demo.

Her harcayan use case’in en tepesinde sırayla dört katman koşuyor: kayan kısa pencere, haftalık tavan, global günlük sınır ve kümülatif sigorta. Okumalar fail-closed: cüzdan bir veritabanına kısa süre ulaşılamadı diye açılmıyor; bir pencere ancak her katmandan geçmiş bir istekle açılıyor; yani bir ret asla birinin saatini başlatmıyor.

Maliyet tam olarak tek bir yerde, sağlayıcı adapter’ında hesaplanıyor ve fiyat kaydı olmayan bir model boot olmayı reddediyor: maliyeti hesaplanamayan bir şey asla trafik almamalı. Ayrıca pahalı bir otomatik yol kapatılmadı, kaldırıldı: en güvenli bütçe koruması, gözetimsiz bir harcayıcının hiç olmaması.

TakasHer istekte bir defteri toplamak bir sorgu maliyeti. Koruduğu model çağrısının yanında ucuz ve sayının doğru olan tek sürümü bu.

Toplanan kamuya açık veri nötr platform içeriğine normalize ediliyor ve sahibinin olağan write API’siyle yazılıyor; orada her şey gibi inceleme bekleyerek iniyor. Seeder moderasyonu yeniden uygulamıyor, onu besliyor. Tekrar çalıştırma güvenliği event dedup’ından değil, kaynak ve dış id ile anahtarlanmış bir provenance defterinden geliyor: hiç event tüketmiyor ve hiç üretmiyor.

Ayrıca hiç kamuya açık yüzeyi yok: gateway route’u yok, dış API yok, yalnız ağdan izole bir operatör ucu var. Herkesin adına yazan bir bileşene mümkün olduğunca az kişi ulaşabilmeli.

TakasSkorsuz tohumlanmış bir katalog, uydurulmuş skorları olan birinden daha boş görünüyor. Kullanıcısı olmayan bir platformun dürüst hâli bu ve onu göstermek zaten amaç.

Onu üç seçim taşıyor. Bayesçi bir prior ince örneklemleri ortaya çekiyor; üç coşkulu oy mükemmel bir on üretmiyor. Recency decay eski görüşleri daha az tartıyor (yazılım eskir) ama bir tabanı var, çünkü eski bir değerlendirme değersiz bir değerlendirme değildir. Ve eksen kırılımı başlık sayının yanında yayınlanıyor, çünkü tek bir sayı “neden” sorusunu asla cevaplamaz.

Motor oyları ve bir zaman damgasını alıp bir sonuç döndürüyor. Repository yok, saat yok, config okuması yok; yani aritmetik olarak test ediliyor ve aynı girdiler her zaman aynı çıktıyı veriyor. Diğer servislerin cache’lediği skorlar hesaplanmış değeri taşıyan event’lerle geliyor; böylece yeniden teslim birikmek yerine yakınsıyor.

TakasDüzenleme yeni match’lerin bir süre sıradan görünmesine yol açıyor. Bu dürüst: üç oydan gelen bir skor, üç yüz oydan gelen bir skor gibi görünmemeli.