|
**Arayüz**
- Marka gradyanlı başlık ve modallar
- Sayaç şeridi (toplam / ekleme / güncelleme / silme / son işlem)
- Üç modal (form / silme onayı / işlem detayı)
- Alan bazlı **renkli diff** tablosu
- İşlem türü, varlık türü ve **tarih aralığı** filtreleri
- **CSV dışa aktarım** (ekrandaki filtrelerle birebir aynı)
- Paylaşılabilir kayıt bağlantısı (`#islem-42`)
- Sağ üstte toast bildirimleri
- **Otomatik koyu tema** (işletim sistemi ayarını izler)
- **Mobil için ayrıca inceltilmiş** — yatay kaydırma yok, dokunma hedefleri ≥32px, ARIA etiketli
- Tamamı Türkçe — CDN'siz, çevrimdışı çalışır
|
**Altyapı**
- Tek yazma noktası: `audit()`
- **Alan bazlı diff** (yalnızca değişen alanlar)
- Hassas alan **maskeleme** (`password`, `token`, `cvv` …)
- **Append-only** denetim tablosu
- Veri + kayıt **aynı transaction**'da
- Sunucu taraflı (server-side) DataTables
- Tek AJAX uç noktası, `action` tabanlı yönlendirme
- CSRF + hız sınırı (yazma ve dışa aktarım ayrı)
- Alan bazlı hata mesajları (HTTP 422)
- Ortam değişkeni desteği, ortama göre otomatik `APP_DEBUG`
- **Kodun her satırı açıklamalı**
|
---
### Güvenlik: Neyi, Nasıl Kapattık?
| Açık | Tipik hatalı kod | Bu projede |
|------|------------------|------------|
| **SQL Injection** | `"... WHERE id = '".$_POST['id']."'"` | Tüm sorgular prepared statement, `EMULATE_PREPARES = false`. Sıralama sütunu **beyaz liste**den geçer; varlık türü filtresi `AUDIT_ENTITIES` sabit listesiyle doğrulanır; tarih filtreleri `DateTime::createFromFormat` ile biçim kontrolünden geçer. |
| **XSS (denetim ekranında)** | `$('#cell').html(row.old_value)` | Eski/yeni değerler **doğrudan kullanıcı verisidir**. Sunucuda `e()`, istemcide `esc()` ile kaçışlanır. Denetim ekranını genellikle en yetkili kullanıcılar açar — burada bir açık en pahalı açıktır. |
| **CSRF** | *(genelde hiç yok)* | Oturuma bağlı 32 baytlık token, **her** AJAX isteğinde, `hash_equals()` ile sabit zamanlı doğrulama. Token'sız istek → **HTTP 403**. |
| **Denetim kaydının silinmesi** | `DELETE FROM logs WHERE id = ?` | `audit_log` için **hiçbir yazma uç noktası yok**. Tek giriş yolu `audit()`. |
| **İzi olmayan kayıt** | Önce `INSERT`, sonra ayrı bir `INSERT` | Veri ve denetim kaydı **tek transaction**. Kayıt yazılamazsa veri de geri alınır. |
| **Denetim kaydından sızıntı** | `old_values` içinde düz parola | `AUDIT_REDACT` listesindeki alanlar loga **yazılmadan önce** `***` ile değiştirilir. |
| **Bozuk kodlamanın kaydı yutması** | `json_encode()` → `false` → boş sütun | `JSON_INVALID_UTF8_SUBSTITUTE`: bozuk bayt `U+FFFD` olur, **kayıt kaybolmaz**. |
| **CSV formül enjeksiyonu** | Hücreyi olduğu gibi yazmak | `=`, `+`, `-`, `@` ile başlayan hücrelerin başına tek tırnak konur; Excel formül olarak çalıştıramaz. |
| **LIKE joker karakterleri** | `LIKE '%$search%'` | `%`, `_`, `\` kaçışlanır. |
| **Kaynak tüketimi** | `LIMIT $length` | Sayfa boyutu `PAGE_SIZE_MAX` (200), dışa aktarım `EXPORT_MAX_ROWS` (5000) ile sınırlı; yazma ve dışa aktarım ayrı **hız sınırı** kovalarında. |
| **Bilgi sızıntısı** | Ekrana basılan MySQL hataları | `APP_DEBUG` sunucu adından türetilir; canlıda otomatik `false`, detay `error_log()`'a gider. |
| **Kurulum dosyasının indirilmesi** | `/cy_audit.sql` → HTTP 200 | `.htaccess`: `.sql`, `.md`, `.json`, `.log` … kapalı (README dosyaları bilinçli istisnadır). |
---
### Kurulum
> Sadece görmek istiyorsanız kurulum gerekmez → [**Canlı Demoyu açın**](https://cilginyazilim.com/kutuphane/uygulama/audit-log/). Aşağıdaki adımlar projeyi kendi bilgisayarınızda çalıştırmak içindir (~2 dakika).
#### Gereksinimler
- PHP **8.0+** (`pdo_mysql` eklentisi)
- MySQL **5.7+** veya MariaDB **10.3+** *(JSON sütunu için)*
- Apache (XAMPP / WAMP / Laragon) — ya da PHP'nin yerleşik sunucusu
#### Adımlar
**1 — Projeyi indirin**
```bash
git clone https://github.com/CilginYazilim/audit-log.git
cd audit-log
```
**2 — Veritabanını oluşturun**
`cy_audit.sql` veritabanını da kendisi oluşturur; önceden `cy_audit` adında bir veritabanı açmanıza gerek yok.
```bash
mysql -u root -p < cy_audit.sql
```
> **İsteğe bağlı — kendi veritabanı bilgileriniz:**
> `cp .env.example .env` (Windows: `copy .env.example .env`) deyip `DB_*`
> satırlarını doldurun. Bu dosya olmadan da çalışır; varsayılanlar yerel bir
> XAMPP kurulumuna (`root`, boş parola) göredir. `.env` `.gitignore`
> içindedir — parolanız depoya gitmez.
phpMyAdmin ile: **İçe Aktar → Dosya seç → `cy_audit.sql` → Başlat**
**3 — Çalıştırın**
```bash
php -S 127.0.0.1:8000
```
XAMPP kullanıyorsanız projeyi `htdocs` altına koyup şu adresi açın:
`http://localhost/audit-log/`
**4 — Tarayıcıda açın** → `http://127.0.0.1:8000/`
Karşınıza **12 ürün** ve **8 örnek denetim kaydı** dolu, çalışır durumda bir ekran gelecek.
#### Ortam değişkenleri
Depo kökündeki **`.env`** dosyasına yazın; `system/config.php` dosyasına
hiç dokunmayın:
```bash
cp .env.example .env # Windows: copy .env.example .env
```
`.env` `.gitignore` içindedir: depoya gönderilmez ve dağıtım (deploy) onu
**silmez**. `system/config.php` ise depoda durur ve her dağıtımda depodaki
sürümle değiştirilir — parolayı oraya yazarsanız hem GitHub'a gider hem de
ilk deploy'da kaybolur.
Dosyayı hiç oluşturmasanız da uygulama çalışır; aşağıdaki varsayılanlar
yerel bir XAMPP kurulumuna göredir.
**Değer arama sırası:** `.env` → sunucunun gerçek ortam değişkeni
(Apache `SetEnv`, systemd…) → buradaki varsayılan.
| Değişken | Varsayılan | Ne işe yarar |
|---|---|---|
| `DB_HOST` | `127.0.0.1` | Veritabanı sunucusu |
| `DB_NAME` | `cy_audit` | Veritabanı adı |
| `DB_USER` | `root` | Kullanıcı |
| `DB_PASS` | *(boş)* | Şifre — **koda yazmayın** |
| `APP_TIMEZONE` | `Europe/Istanbul` | PHP'nin saat dilimi |
| `APP_DEBUG` | *ortamdan* | Hataların ekrana basılıp basılmayacağı |
**`APP_TIMEZONE` neden var?** XAMPP'ın `php.ini` dosyasındaki
`date.timezone`, MySQL'in kullandığı sistem diliminden farklı olabilir.
Test makinesinde PHP `Europe/Berlin`, MySQL `Europe/Istanbul`
kullanıyordu; aynı anı anlatan iki satır bir saat farklı görünüyordu.
Zaman **hesapları** SQL tarafında yapıldığı için doğruydu, ama ekrana
basılan saat kayıyordu. Artık dilim açıkça sabitleniyor — sunucunuz başka
bir bölgedeyse bu değişkeni tanımlamanız yeterli, koda dokunmayın.
---
### Yapılandırma
Tüm ayarlar [system/config.php](system/config.php) içinde, açıklamalarıyla birlikte:
| Sabit | Varsayılan | Açıklama |
|-------|-----------|----------|
| `DB_HOST` | `127.0.0.1` | Veritabanı sunucusu |
| `DB_NAME` | `cy_audit` | Veritabanı adı |
| `DB_USER` | `root` | Kullanıcı adı |
| `DB_PASS` | *(boş)* | Parola |
| `AUDIT_REDACT` | `password`, `token`, `cvv` … | Loga **yazılmadan önce** `***` ile maskelenecek alan adları |
| `AUDIT_MODE` | `diff` | `diff` → yalnızca değişen alanlar · `full` → her işlemde satırın tamamı |
| `AUDIT_ENTITIES` | `['product' => 'Ürün']` | Denetlenebilen varlık türleri; filtre listesi ve doğrulama buradan beslenir |
| `PAGE_SIZE_MAX` | `200` | DataTables sayfa boyutu tavanı |
| `EXPORT_MAX_ROWS` | `5000` | CSV dışa aktarımda tek seferde okunacak en fazla satır |
| `RATE_LIMIT_WRITE` | `[60, 60]` | Yazma işlemleri: 60 saniyede 60 istek |
| `RATE_LIMIT_EXPORT` | `[10, 60]` | Dışa aktarım: 60 saniyede 10 istek |
| `APP_DEBUG` | *ortama göre* | `localhost` / `*.test` / `*.local` → `true`, diğer her yerde `false` |
#### `AUDIT_MODE`: `diff` mi `full` mü?
| | `diff` | `full` |
|-|--------|--------|
| Yazılan veri | Yalnızca değişen alanlar | Satırın tamamı |
| Tablo boyutu | Küçük | Büyür |
| "O an kayıt neydi?" | Zincirin tamamını okumak gerekir | Tek satırda cevap |
| Uygun olduğu yer | Sık güncellenen tablolar | Yasal saklama, geri alma (rollback) senaryoları |
Bu örnek `diff` kullanır. `full`'e geçmek tek satırlık bir değişikliktir; kod yolu ikisini de destekler.
#### Şifreyi koda yazmayın
Tüm `DB_*` sabitleri ortam değişkeniyle geçersiz kılınabilir:
```bash
# Linux / macOS
export DB_HOST=localhost DB_USER=uygulama DB_PASS='••••••••'
# Windows (PowerShell)
$env:DB_USER = "uygulama"; $env:DB_PASS = "••••••••"
```
Apache için `.htaccess` ya da `httpd.conf` içinde: `SetEnv DB_PASS "guclu-sifre"`
---
### Kendi Projenize Eklemek
Denetim katmanını taşımak için **iki dosya** yeter: `audit_log` tablosu ve `audit()` fonksiyonu.
**1 — Tabloyu oluşturun** (`cy_audit.sql` içindeki `CREATE TABLE audit_log` bloğu)
**2 — `audit()` ve yardımcılarını kopyalayın** ([system/function.php](system/function.php) → BÖLÜM 5)
**3 — Her yazma işleminden sonra çağırın:**
```php
// EKLEME — old yok
$db->beginTransaction();
$stmt->execute([...]);
$newId = (int) $db->lastInsertId();
audit($db, 'create', 'siparis', $newId, null, $data);
$db->commit();
// GÜNCELLEME — ÖNCE eski satırı okuyun, diff için şart
$old = $db->prepare('SELECT ... WHERE id = ?') /* ... */ ->fetch();
$db->beginTransaction();
$stmt->execute([...]);
audit($db, 'update', 'siparis', $id, $old, $data);
$db->commit();
// SİLME — new yok; old, kaydın son kopyasıdır
audit($db, 'delete', 'siparis', $id, $old, null);
```
**4 — Yeni varlığı tanıtın** ([system/config.php](system/config.php)):
```php
define('AUDIT_ENTITIES', ['product' => 'Ürün', 'siparis' => 'Sipariş']);
```
**5 — Alan etiketlerini ekleyin** ([system/function.php](system/function.php) → `FIELD_LABELS`) — isteğe bağlıdır; eklemezseniz ham sütun adı gösterilir.
> **Aktör kim, nereden geliyor?**
> `audit()` aktörü `$_SESSION['user_id']` ve `$_SESSION['user_name']` üzerinden okur. Bu örnekte gerçek giriş olmadığı için `system/ajax.php` başında sahte bir aktör yazılır. Kendi projenizde o iki satırı silin; oturum zaten giriş sisteminizden gelecektir.
---
### Çılgın Yazılım Tasarım Kalıbı
[assets/css/cilginyazilim.css](assets/css/cilginyazilim.css) dosyası bu projeye değil **markaya** aittir. Diğer örnek projelerde de aynı görsel dili kullanabilmek için ayrı bir dosya olarak tutulur; bu örneğe özgü her şey (sayaç şeridi, işlem rozetleri, diff tablosu) [assets/css/style.css](assets/css/style.css) içindedir.
#### Hazır bileşenler
| Sınıf | Ne işe yarar |
|-------|--------------|
| `.cy-card` / `.cy-card__header` / `__body` / `__footer` | Gradyan başlıklı ana kart |
| `.cy-brand` / `.cy-brand__mark` / `__title` / `__subtitle` | Logo kutusu + başlık bloğu |
| `.cy-btn` + `--primary` \| `--onbrand` \| `--glass` | Marka butonları |
| `.cy-btn-icon` + `--view` \| `--edit` \| `--delete` | Tablo içi ikon butonları |
| `.cy-table` / `.cy-actions` / `.cy-id` / `.cy-name` | Marka görünümlü tablo bileşenleri |
| `.cy-badge` + `--glass` \| `--soft` | Rozetler |
| `.cy-modal` / `.cy-detail` | Gradyan başlıklı modal ve etiket/değer listesi |
| `.cy-toast` + `--success` \| `--danger` \| `--info` | Bildirim balonları |
**Bu örneğe özgü** (`style.css`): `.cy-stats` / `.cy-stat`, `.cy-op--create|update|delete`, `.cy-diff` / `.cy-diff__old` / `.cy-diff__new`, `.cy-filters`, `.cy-stock`, `.cy-sku`.
#### Renkleri değiştirmek
Tüm bileşenler CSS değişkenlerinden beslenir. **Tek yeri** değiştirmek yeter:
```css
:root {
--cy-brand-900: #061321; /* Logodaki en koyu lacivert */
--cy-brand-600: #0b5cb5; /* Ana marka mavisi */
--cy-accent: #0ea5e9; /* Vurgu rengi */
--cy-gradient: linear-gradient(135deg, #061321, #0b5cb5 45%, #0284c7);
}
```
#### Koyu tema
Kullanıcının işletim sistemi koyu temadaysa **otomatik** devreye girer. Zorlamak isterseniz:
```html
```
---
### Dosya Yapısı
```
.
├── index.php # Arayüz (sunum katmanı) — veritabanına dokunmaz
├── .env.example # Veritabanı bilgileri (isteğe bağlı) — .gitignore içinde
├── cy_audit.sql # Şema + 12 ürün + 8 örnek denetim kaydı
├── README.md / README.en.md # Belgelendirme
├── CHANGELOG.md # Sürüm notları
├── LICENSE # MIT
├── .htaccess # Güvenlik başlıkları, dosya erişim kuralları
├── .gitignore
│
├── docs/
│ └── screenshots/ # README'de kullanılan ekran görüntüleri
│
├── system/
│ ├── config.php # Ayarlar, oturum, PDO bağlantısı
│ ├── function.php #
audit() — tek yazma noktası + diff + maskeleme
│ ├── ajax.php # AJAX uç noktası / action yönlendiricisi
│ └── .htaccess # Bu klasöre doğrudan erişimi kısıtlar
│
└── assets/
├── css/
│ ├── bootstrap.min.css
│ ├── dataTables.bootstrap5.min.css
│ ├── cilginyazilim.css #
MARKA TASARIM KALIBI
│ └── style.css # Sadece bu sayfaya özel eklemeler
├── js/
│ ├── jquery-3.7.0.js
│ ├── bootstrap.bundle.js
│ ├── jquery.dataTables.min.js
│ ├── dataTables.bootstrap5.min.js
│ └── audit.js #
Arayüz mantığı
└── images/logo.png
```
**Yükleme sırası önemlidir:**
```
CSS: bootstrap → dataTables → cilginyazilim → style
JS: jQuery → bootstrap.bundle → dataTables → dataTables.bootstrap5 → audit
```
---
### Nasıl Çalışıyor?
```
┌─────────────────────────────────────────────────────────────────────┐
│ TARAYICI (index.php + assets/js/audit.js) │
│ │
│ Ürün tablosu ──┐ │
│ Form gönder ───┤ │
│ Filtreler ─────┼──► jQuery AJAX ──► POST { action, csrf_token, … } │
│ Geçmiş tablosu ┘ │ │
│ │ │
│ Yazma bitince refreshAll(): │ │
│ ürün tablosu + geçmiş tablosu + sayaçlar │ │
└──────────────────────────────────────────────┼───────────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ SUNUCU (system/ajax.php) │
│ │
│ 1. POST mu? → değilse 405 │
│ 2. require_csrf() → geçersizse 403 │
│ 3. rate_limit() → aşılırsa 429 │
│ 4. action'a göre dağıt │
│ 5. validate_product() → hatalıysa 422 + errors │
│ │
│ 6. ┌── BEGIN TRANSACTION ───────────────────────────────┐ │
│ │ INSERT / UPDATE / DELETE → products │ │
│ │ audit() → audit_log │ │
│ │ ├─ diff_values() : yalnızca değişen alanlar │ │
│ │ ├─ redact() : hassas alanlar → '***' │ │
│ │ └─ audit_json() : bozuk bayt → U+FFFD │ │
│ └── COMMIT (biri patlarsa ROLLBACK: ikisi de yok) ┘ │
│ │
│ 7. json_response() → tek noktadan JSON çıkışı │
└─────────────────────────────────────────────────────────────────────┘
```
#### Sorumluluk dağılımı
| Dosya | Görevi |
|-------|--------|
| **[index.php](index.php)** | Sadece sunum. CSRF token üretir, tabloları/modalları çizer. Veritabanına dokunmaz. |
| **[assets/js/audit.js](assets/js/audit.js)** | DataTables kurulumu, filtreler, modallar, diff çizimi, CSV formu. |
| **[system/ajax.php](system/ajax.php)** | Yönlendirici + tüm güvenlik kontrolleri + transaction sınırları. |
| **[system/function.php](system/function.php)** | `audit()`, `diff_values()`, `redact()`, CSRF, hız sınırı, CSV yardımcıları. |
| **[system/config.php](system/config.php)** | Oturum, sabitler, tek bir PDO örneği. |
---
### AJAX API Referansı
Tüm istekler `POST` ile [system/ajax.php](system/ajax.php) adresine yapılır ve geçerli bir `csrf_token` içermelidir.
## İşlem Geçmişi (Audit Log)
#### PHP PDO · MySQL · AJAX · DataTables · Bootstrap 5 · Çılgın Yazılım Tasarım Kalıbı
**Her değişikliğin izini bırakan, kendisi değiştirilemeyen kayıt.**
[](https://php.net)
[](https://mysql.com)
[](https://getbootstrap.com)
[](https://datatables.net)
[](LICENSE)
**🇹🇷 Türkçe** · [🇬🇧 English](README.en.md)
[**▶ Canlı Demo**](https://cilginyazilim.com/kutuphane/uygulama/audit-log/) · [Kaynak Kütüphanesi](https://cilginyazilim.com/kutuphane/php-audit-log) · [cilginyazilim.com](https://cilginyazilim.com)
---
### Canlı Demo
**Kurulum yok, kayıt yok, indirme yok — tarayıcınızdan 3 saniyede deneyin.**
▲ Görsele tıklayarak demoyu açabilirsiniz
**Üç modal:**
| Modal | Açılış | İçerik |
|-------|--------|--------|
| ✎ **Ekle / Düzenle** | Yeni Ürün veya kalem butonu | Form, alan bazlı hata mesajları, "bu işlem geçmişe düşecek" uyarısı |
| 🗑 **Silme onayı** | Çöp kutusu butonu | Neyin silineceği + **"denetime kaydedilir"** uyarısı |
| 👁 **İşlem detayı** | Geçmiş tablosundaki göz butonu | Meta bilgiler (zaman, aktör, IP, tarayıcı) + alan bazlı diff tablosu + paylaşılabilir `#islem-42` bağlantısı |
---
### Üç Kritik Karar
#### 1) Tek yazma noktası — `audit()`
Denetim kaydı, her işleyicinin kendi başına yazdığı bir şey olsaydı, yarın eklenen bir işleyici onu yazmayı **unuturdu** ve kimse fark etmezdi. Bu yüzden tek bir fonksiyon vardır:
```php
audit($db, 'update', 'product', $id, $old, $new);
// ^ ^ ^ ^ ^ ^
// | | | | | └─ işlemden SONRAKİ değerler
// | | | | └─────── işlemden ÖNCEKİ değerler
// | | | └───────────── kayıt id'si
// | | └──────────────────────── mantıksal varlık türü
// | └────────────────────────────────── create | update | delete
// └──────────────────────────────────────── PDO bağlantısı
```
Yeni bir varlık denetlemek istediğinizde yazacağınız kod tek satırdır. Diff üretimi, maskeleme ve `INSERT` bu fonksiyonun içindedir.
#### 2) Veri ve kaydı aynı transaction'da yazmak
`audit()` herhangi bir sebeple patlarsa (bozuk kodlama, disk dolu, kilit zaman aşımı) ürün satırı çoktan kaydedilmiş olurdu ve ortada **izi olmayan bir kayıt** kalırdı. Bir denetim sisteminde bu, sessizce oluşan en tehlikeli durumdur: tabloya bakan kişi hiçbir eksik görmez.
```php
$db->beginTransaction();
try {
$stmt->execute([...]); // veri
audit($db, 'create', 'product', $newId, null, $data); // kayıt
$db->commit(); // ya ikisi de…
} catch (PDOException $e) {
$db->rollBack(); // …ya hiçbiri
throw $e;
}
```
InnoDB kullanmamızın somut karşılığı budur.
#### 3) Append-only — kaydın kendisi de korunmalı
`system/ajax.php` içinde `audit_log` tablosuna `INSERT` dışında bir işlem yapan **tek bir uç nokta yoktur**. Denetim satırı yalnızca bir CRUD işleminin **yan etkisi** olarak doğar; arayüzden silinemez, düzenlenemez.
> Veritabanı seviyesinde de kilitlemek isterseniz, uygulama kullanıcısına o tabloda yalnızca `INSERT` ve `SELECT` yetkisi verin → [Canlı Ortama Alırken](#canlı-ortama-alırken)
---
### Neler Var?
**[cilginyazilim.com](https://cilginyazilim.com)** tarafından ❤ ile geliştirildi
Faydalı bulduysanız ⭐ vermeyi unutmayın.
## Sık Sorulan Sorular
### Denetim kaydı neden ayrı bir "logs" tablosuna cümle yazmakla olmuyor?
"Ahmet ürünü güncelledi" cümlesi üç soruyu da cevapsız bırakır: hangi alan değişti, neydi, ne oldu? Üstelik aranamaz, süzülemez ve raporlanamaz. Alan bazlı diff ise "geçen ay hangi fiyatlar yükseltildi?" sorusunu SQL ile cevaplanabilir hâle getirir. Bu örnek değişen her alanın eski ve yeni değerini JSON sütunlarda saklar.
### Denetim kaydının silinemez olduğundan nasıl emin oluyoruz?
Uygulama tarafında audit_log tablosuna INSERT dışında işlem yapan hiçbir uç nokta yoktur; denetim satırı yalnızca bir CRUD işleminin yan etkisi olarak doğar. Veritabanı tarafında da kilitlemek için uygulama kullanıcısından o tablodaki UPDATE ve DELETE yetkisini almanız yeterlidir. O zaman bir SQL enjeksiyonu açığı bile denetim kaydını değiştiremez.
### Veri kaydedildi ama denetim satırı yazılamazsa ne olur?
Hiçbir şey kaydedilmez. Veri ve denetim kaydı aynı transaction içinde yazılır: biri başarısız olursa ikisi de geri alınır. Bu ayrıntı önemlidir, çünkü aksi hâlde ortada izi olmayan bir kayıt kalırdı ve tabloya bakan kişi hiçbir eksik göremezdi. Bir denetim sisteminde en tehlikeli hata, sessiz olanıdır.
### Parola gibi hassas alanlar denetim kaydına yazılıyor mu?
Hayır. Yapılandırmadaki listede yer alan alanların (password, token, cvv gibi) değeri, loga yazılmadan önce yıldızla değiştirilir. Alanın kendisi kayıtta görünmeye devam eder; yani "bu alan değişti ama içeriğini saklamıyoruz" bilgisi korunur. Hiç yazmamak ise "bu alan hiç değişmedi" ile karışırdı.
### Denetim tablosu çok büyürse ne yapmalıyım?
Denetim tablosu, denetlediği tablodan kat kat hızlı büyür. İki yaygın yol vardır: tarih sütunu üzerinden aylık bölümleme (partitioning) ya da belirli bir yaştan eski satırları soğuk bir tabloya arşivleme. Silmek yerine arşivleyin; denetim kaydını silmek, onu tutma sebebini zayıflatır.
### Bu katmanı kendi projeme nasıl eklerim?
İki şey taşımanız yeterli: audit_log tablosu ve audit() fonksiyonu. Ardından her yazma işleminden sonra audit() çağrısını transaction içine koyarsınız. Güncellemede eski satırı işlemden ÖNCE okumanız gerekir; diff onun üzerinden üretilir. Yeni varlık türünü yapılandırmadaki listeye eklediğinizde filtreler ve doğrulama kendiliğinden çalışır.
---
Kaynak: [İşlem Geçmişi (Audit Log)](https://cilginyazilim.com/kutuphane/php-audit-log)