@appaflytech/zeyrek-ai-mcp 0.0.1

package/dist/resources/guides/expressions.md

@@ -0,0 +1,139 @@
+# İfade Sözlüğü (workflow/microservice ifadeleri + UI flow bağlamı)
+
+İfade yazılan HER yerde bu sözlük geçerlidir. İki ayrı dünya var — karıştırma:
+
+1. **Backend (Jint, sunucuda):** workflow/automation/middleware step ifadeleri
+   (`rule.expression`, `bodyExpression`, condition `items[].expression`), microservice
+   filtre/alan `value`'ları (`source:'expression'`). Kültür **tr-TR**, saat dilimi **UTC**.
+2. **UI flow (tarayıcıda):** sayfa olay akışlarının `code` adımı, `{{ … }}` inline prop
+   ifadeleri, `value.type:'code'` ref'leri.
+
+Uydurma fonksiyon adı runtime'da `X is not defined` 500'üdür — yalnız buradakileri kullan.
+
+## 1. Backend ifadeleri — kullanılabilir bağlam
+
+**Değişkenler:** step çıktıları (`<stepAdı>.data`), middleware değişkenleri (`user`,
+`settings`, `permissions`… — `workflow_middleware_variables` ile keşfet), HTTP bağlamı:
+`cookie`, `header`, `queryString`, `body`, `triggerSource`/`context` (tetikleyen ucun
+type/name/roles/impersonatedUserId'ı). Workflow'da istek girdisi `input.`, automation'da
+tetikleyen satır `row` / `previousRow` / `user`.
+
+**Fonksiyonlar (qm'de aktif kullanılanlar önce):**
+
+| Çağrı | Ne yapar | Gerçek örnek (qm) |
+|---|---|---|
+| `system.getPageUrl(path)` | Sayfanın environment'a göre doğru serve URL'ini üretir — e-posta/redirect linki için TEK doğru yol, sabit URL yazma | `system.getPageUrl(`/web/dif-kayit?id=${row.finding_record}`)` |
+| `system.generateToken({claims})` | Org secret'ıyla JWT üretir — sign-in ucunun kalbi | `{ access_token: system.generateToken({ userId: user.data.id, email: user.data.email }) }` |
+| `system.validateToken(token)` | Org secret'ıyla doğrular; dönüş `{ isValid, claims }` — **claim'ler bir seviye içeride** ve anahtarları `generateToken`'a verdiğin sözlüğün anahtarları (`r.claims.userId`); `r.id` YOK | `const r = system.validateToken(cookie.APP_Token)` → condition: `token.data.isValid && token.data.claims.userId` |
+| `file.readAsBase64(fileId)` | Drive dosyasını `data:<mime>;base64,…` döner | şablon okuma |
+| `file.excel(docBase64, schema)` · `file.word(...)` · `file.powerpoint(...)` | Office ŞABLONUNU veriyle doldurur, base64 döner | `file.excel(file.readAsBase64(tpl.data.template.id), buildPayload.data)` |
+| `file.readAllText(fileId)` | Dosya metnini okur (docx dahil) | |
+| `UtcNow()` | UTC şimdi (Date işlemleri çalışır) | `const d = UtcNow(); d.setDate(d.getDate() + 7); return d` |
+| `Now(tz)` | Verilen saat diliminde şimdi, **`"yyyy-MM-ddTHH:mm:ss"` METİN olarak**. **JS motoru UTC'ye sabitlidir** (`opt.TimeZone = Utc`), yani `new Date()` her zaman UTC'dir — yerel gün/saat mantığı için bunu kullanın, offset'i koda gömmeyin | `Now('Europe/Istanbul')` → `"2026-08-18T19:11:10"` |
+| `Today(tz)` | O saat diliminde bugün, `"yyyy-MM-dd"` metni — gün sınırı filtreleri için en kısa yol | `Today('Europe/Istanbul') + 'T00:00:00'` |
+| `ToTimeZone(v, tz)` | Bir değeri (Date, DateTimeOffset ya da ISO metin) o saat dilimine çevirir, aynı metin biçiminde | `ToTimeZone(Steps.randevu.data.baslangic, 'Europe/Istanbul')` |
+
+> **Bu üçü METİN döner, Date DÖNMEZ** — bilerek. `UtcNow()` bir JS `Date` döndürür ve üzerinde
+> `getTime()`/`getUTCFullYear()` çalışır; ama Jint'in `DateTimeOffset` → `Date` çevriminde **saat
+> dilimi bilgisi kaybolur** ve CLR üyeleri (`.Year`, `.AddDays`) erişilemez. Metin biçimi hem
+> sıralanabilir hem de datetime filtrelerine doğrudan verilebilir. Gün aritmetiği gerekiyorsa
+> `UtcNow()` üzerinde `getTime()` ile yapın.
+>
+> **Tuzak:** çözümlenemeyen bir datetime filtre değeri 400 vermez — platform o filtreyi
+> **sessizce düşürür** ve uç TÜM satırları döndürür. Bir tarih filtresi yazdıktan sonra
+> `microservice_debug` ile ifadenin neye çözüldüğüne bakın (`source:'filter'` satırları).
+| `GenerateGuid()` / `crypto.UUID.generate()` | v7 GUID string | |
+| `Authorized(userRoles)` | `triggerSource.roles` ile kesişim; **hedefte rol tanımlı değilse true** | middleware'de rol kontrolü: `Authorized(user.roles)` |
+| `crypto.JWT.encode(privateKey, payload)` / `crypto.JWT.validate(key, token)` | Harici anahtarla JWT | dış sistem entegrasyonu |
+| **`crypto.SHA256.encode(text)`** | **Adına rağmen SHA-256 DEĞİL:** `Hasher.Hash` = PBKDF2-HMAC-SHA512, 350.000 tur, 64 bayt, **salt = girdinin kendisi**, çıktı BÜYÜK HARF hex (128 karakter). Parola saklama/doğrulama için uygundur; genel amaçlı özet, imza ya da dış sistemle eşleşmesi gereken bir hash için KULLANMA | `hash === crypto.SHA256.encode(input.password)` |
+| `crypto.base64.encode/decode` · `crypto.qr.decode` | | |
+| `system.generatePKCE()` | `{codeChallange, codeVerifier}` — alan adı gerçekten `codeChallange` | OAuth akışı |
+| `convert.CSV(obj)` · `convert.PDF(html)` · `convert.TXT` · `convert.HTML` · `convert.FileToPDF` | dönüştürücüler | |
+| `request.url.{pathname, searchParams, href, …}` · `request.body/header/cookie` | İstek nesnesi — **`workflow_preview`'da YOKTUR** (yalnız gerçek istekte yüklenir) | `const slug = request.url.pathname.split("/p/")?.[1]` |
+| `log(msg)` | sunucu loguna yazar (teşhis) | |
+| `deepEqual(a, b)` / `a.deepEqual(b)` | derin karşılaştırma | automation condition'da `row` vs `previousRow` |
+
+**Tuzaklar:** tarih formatlamada `toLocaleDateString('tr-TR', { timeZone: 'UTC' })` kullan
+(motor tr-TR + UTC); automation zinciri istek başına workflow başına 10 koşumda
+`InfiniteLoopException` ile kesilir (sonsuz döngü koruması).
+
+**Tohum parola üretmek istiyorsan** hash'i platformun kendisine ürettir: parolayı düz metin alan
+bir workflow yazıp `crypto.SHA256.encode(input.password)` sonucunu döndür, ya da kullanıcı kaydını
+açan ucu kullan. Dışarıda kendi SHA-256'nı hesaplayıp yazarsan giriş akışı **hiçbir zaman**
+eşleşmez — algoritma yukarıdaki satırda yazan PBKDF2'dir.
+
+## 2. UI flow ifadeleri — kullanılabilir bağlam
+
+`code` adımı `(async () => { … })()` içinde koşar → **`await` serbest**; dönüş değeri akışa
+taşınmaz — etkiyi `Page`/`state`/komponent yazarak üretirsin. Akış `success` değil **`always`**
+dalından devam eder.
+
+| Global | İçerik |
+|---|---|
+| `Page` | `Page.user`, `Page.variables`, `Page.components`, `Page.properties`, `Page.queryParams`, `Page.authorized(roles)` |
+| **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` hem prop'u yazar hem UI'ı günceller (change event). Addaki `-` silinir: `tickets-table` → `ticketstable` |
+| `state.page` / `state.app` | Kalıcı state (oku/yaz): `state.page.selectedId = row.id`. **Tanımlı değişkenler de buradadır:** `variable_create` ile yazılan her `key` sayfa düzeyinde `state.page.<key>`, uygulama düzeyinde `state.app.<key>` olur; `value` nesneyse alanlarına inilir (`state.page.MyTest.isActive`) |
+| `Steps` | Adım çıktıları: `Steps.load_specialties` (stepId ile); `error` = son hata |
+| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak satırı günceller) |
+| `event` | `{name, data, source: {id, props}}` |
+| `cookie` | `cookie.get(name)` / `cookie.set(name, value, {expiresInHours, path})` / `cookie.remove(name)` — tarayıcı cookie'si |
+| `setComponentProperty(name, key, value)` / `getComponentProperty(name, key)` | fonksiyon alternatifi |
+| `LocalStorage` · `Widget` · `params` | yerel veri · widget bağlamı · olay parametreleri |
+| `log(...)` | console (proxy'leri temizler) |
+
+**Prop'a doğrudan ifade bağlama (`{{ }}`):** akış kurmadan bir prop'u ifadeye bağlamak için
+prop `type: 'code'` olur, **ifade `ref` alanına `{{ }}` içinde** yazılır, `data` tasarım zamanı
+değerini taşır:
+`"text": { "type": "code", "data": "Button text", "ref": "{{ state.page.MyTest.isActive ? 'Test' : 'FalseTest' }}" }`
+
+## 3. Adım argümanlarında `value.type` çözümlemesi
+
+`microservice`/`setter` adımlarının `parameters[]`/`iteratees[]` değerlerinde:
+
+| type | ref | Anlamı |
+|---|---|---|
+| `static` | değerin kendisi | sabit |
+| `storage` | **stepId** | o adımın çıktısı; `arrayPath` ile dizi öğelerinden alan toplanır (`|` ile birleşir) |
+| `property` | `{element, property}` | komponent prop'u |
+| `variable` | `{name}` | sayfa/uygulama değişkeni (`variable_list`) |
+| `state` | `'key'` ya da `'app:key'` | state scope'u (varsayılan `page`) |
+| `code` | JS kaynak string | §2 bağlamıyla eval |
+| `item` | — | repeater satırı |
+| `page` | property yolu | `Page.properties`'ten |
+
+### 2a. `Page.user` — iki tuzağı birden taşır
+
+`Page.user`, sayfaya bağlı middleware'in `set-user` çıktısıdır. **Sayfa `middlewareIds` ile o
+middleware'e bağlı değilse `Page.user` UNDEFINED'dır** (ucu bağlamak yetmez —
+`platform_guide('page')` Kural 8). Ayrıca **`roles` dizisi DTO'da genelde yoktur**: `dto_get`
+ile bak, çoğu kurulumda yalnız `role`, `role_name`, `roles_csv` var.
+
+İkisini birden karşılayan tek doğru başlangıç:
+
+```js
+var u  = Page.user || {};
+var rc = u.roles_csv || (u.role ? ',' + u.role + ',' : '');
+var has = function (r) { return rc.indexOf(',' + r + ',') >= 0; };
+```
+
+Aynı guard `condition` adımının `rules[].expression`'ında da şart — orada patlayan bir ifade
+hata vermek yerine kuralı **eşleşmemiş sayar** ve akış sessizce `else` dalına gider:
+
+```js
+(((Page.user && (Page.user.roles_csv || '')) || '').indexOf(',admin,') >= 0)
+```
+
+Karıştırma: `roles_csv` **UI/filtre** tarafının yoludur; backend middleware'inde rol kapısı
+`Authorized(user.roles)` ile kurulur ve orada dizi çalışır.
+
+## 4. Hangi dünyada hangi erişim VAR/YOK
+
+| | Backend | UI flow |
+|---|:-:|:-:|
+| `user` (middleware değişkeni) | ✓ | `Page.user` |
+| `input.` (istek girdisi) | ✓ (yalnız workflow step'leri) | — (`event.data` / `params`) |
+| `request.` | ✓ (preview hariç) | — (`Page.queryParams`) |
+| Komponentlere erişim | — | ✓ (adıyla) |
+| `system.` / `file.` / `crypto.` / `convert.` | ✓ | — |
+| `cookie` | okunur sözlük (`cookie.X`) | `get/set/remove` fonksiyonları |
+| `await` | — (senkron ifade) | ✓ (`code` adımı) |

package/dist/resources/guides/getting-started.md

@@ -0,0 +1,109 @@
+# Sıfırdan Proje Kurulumu (boş org dahil)
+
+## Kuruluş sırası
+
+Bağımlılıklar bu sırayı zorunlu kılar; atlama:
+
+```
+1. project_create        (application zorunlu: ilk application projeyle birlikte açılır;
+                          application slug'ı ORG GENELİNDE tekildir — 'web' büyük olasılıkla
+                          doludur, 409'da project_list ile mevcut slug'ları tara)
+2. project_get           (environment id'leri + application id burada)
+3. datasource_list       (her projede built-in datasource hazır gelir — çoğu iş için yeterli;
+                          dış DB gerekiyorsa datasource_test_connection → datasource_create)
+4. entity_list           (ÖNCE BAK: platform her projeye hazır entity'ler açar — users (kimlik:
+   (applicationId'siz)    email/password/first_name/last_name), roles, user_roles, permissions.
+                          applicationId VERİRSEN bunlar listede GÖRÜNMEZ. Ürünün "müşteri" /
+                          "öğrenci" / "üye" kavramı için sıfırdan bir kimlik tablosu açmadan önce
+                          users'ı gör — bkz. platform_guide('entity') §'Hazır entity'ler')
+5. entity_create         (applicationIds Studio'nun application bazlı entity listesi içindir —
+                          boşsa satır uçları ÇALIŞIR ama entity Studio listesinde görünmez;
+                          önce ilişkisiz gövdeler, sonra update/patch ile ilişki alanları —
+                          bkz. platform_guide('entity'))
+6. row_create            (test verisi; alan tanımlarını row_list ile doğrula)
+7. dto_list / dto_create (workflow/automation'ın parameterDtoId/returnDtoId sözleşmeleri;
+                          platform entity başına DTO üretir — önce dto_list ile ara)
+8. workflow_create       (type: 'middleware' — YALNIZ ihtiyaç varsa; bkz. aşağıdaki karar tablosu.
+                          Kuruyorsan guard + 'user' değişkeni; uçlara middlewareIds ile
+                          bağlanır — bkz. platform_guide('middleware'))
+9. microservice_create   (bkz. platform_guide('microservice'); kullanıcıya özel uçlarda
+                          middlewareIds + filtre 'user.id' expression'ı; önce preview,
+                          sonra execute+debug)
+10. workflow_create /    (bkz. platform_guide('workflow'); branch bağlantıları + returnDtoId —
+    automation_create     returnDtoId'siz workflow 'unready' kalır; automation/middleware muaf)
+11. layout_create        (header/sidebar + MUTLAKA bir 'slot' — slot'suz layout'a bağlı sayfa
+                          boş görünür; bkz. platform_guide('page') Kural 5)
+12. page_create + …      (İŞ BURADA BİTMEZ: her kaydın yönetim ekranı, kimlik varsa giriş
+    page_schema_patch     ekranı. Arketipler: platform_guide('page') Kural 7 —
+    + flow_create         liste / form(create+edit) / detay / giriş)
+13. application_update   (homepageId — ana sayfa sayfadan değil application'dan seçilir)
+```
+
+## İlk kullanıcıyı kim açar? (tavuk-yumurta kilidi)
+
+Kimlik kurulmuş yeni bir projede **giriş yapabilecek hiç kimse yoktur** ve zincir kendi kendini
+kilitler:
+
+1. `users.password` alanı **hash'lidir** (`Hasher.Hash` / `crypto.SHA256.encode`, PBKDF2).
+   `row_create` parolayı **hash'lemez** — düz metin yazar ve o kullanıcı asla giriş yapamaz
+   (ölçüldü). Yani kullanıcı ancak `crypto.SHA256.encode(...)` çağıran bir **workflow** üzerinden
+   açılabilir.
+2. O workflow'un ucu, kimlik kurulduğu için `middlewareIds` ile auth middleware'ine bağlıdır.
+3. Auth middleware'i token'ı **çerezten** okur; ortada henüz kullanıcı yoktur, dolayısıyla token
+   da yoktur.
+4. **Yeni projede `users` tablosu BOŞ gelir** — `organization_sync_users` Studio operatörünü
+   otomatik kopyalamaz.
+
+**Bootstrap deseni** (crm koşumunda uygulandı):
+
+```
+1. Kullanıcı yazan workflow'a bağlı, middlewareIds: [] olan GEÇİCİ bir uç aç
+   (ör. slug: 'bootstrap-user') — parolayı workflow içinde crypto.SHA256.encode ile hash'le.
+2. microservice_execute ile ilk yöneticiyi yaz (rol bağını da kur: user_roles satırı).
+3. Ucu HEMEN sil (microservice_delete). Kalırsa herkese açık kullanıcı yaratma ucu bırakmış olursun.
+4. Giriş ucundan token al, sonraki her şeyi normal korumalı yoldan yap.
+```
+
+Silmeyi unutmamak için ucu açtığın anda "sil" adımını görev listene yaz; `microservice_list` ile
+proje kapanışında `bootstrap` içeren slug kalmadığını doğrula.
+
+## Middleware gerekli mi? (karar tablosu)
+
+Middleware bir kontrol listesi maddesi değil; **ihtiyaca** kurulur:
+
+| Durum | Karar |
+|---|---|
+| Ürün kullanıcı barındırıyor (giriş, "benim kayıtlarım", role göre değişen ekran) | Auth middleware **kur** |
+| Ayarların satır olarak tutulduğu bir tablo var ve uçlar bunu okuyor | Ayar setter'ı **kur** |
+| İçerik herkese açık, oturum kavramı yok (katalog, vitrin, form toplama) | **Hiçbiri kurulmaz** — boşuna middleware ürün karmaşası |
+
+**Kimlik kurduysan yarım bırakma:** giriş sayfası + korunması gereken **her** uç ve **her** sayfa
+`middlewareIds` ile bağlı olmalı. Bir-iki uca bağlayıp gerisini açık bırakmak, hiç kurmamaktan
+kötüdür — sistem güvenli görünür, değildir.
+
+## Örnek arama davranışı
+
+Örnek gövde için **mevcut projeleri taramak yerine** önce şunlara bak:
+
+1. `ngapps://examples/index` — onaylanmış altın örnekler (m2m entity çifti, table-source
+   microservice, tam workflow). Boş org'da tek örnek kaynağı budur.
+2. `ngapps://schemas/index` — API gövdelerinin JSON şemaları (alan adları buradan doğrulanır).
+3. Org'da proje varsa `*_get` çıktısı hâlâ iyi bir şablondur — ama önce örnek kütüphanesi.
+
+## Rehber yetmezse: kaynağa bak, sonra söyle
+
+Bu rehberler platformun yazılı olmayan kurallarını taşır ama tamamı değildir. Bir gövdenin şekli,
+bir alanın davranışı ya da bir hatanın sebebi buradan çıkmıyorsa **kaynak koda bakmak serbesttir ve
+doğru olanı yapmaktır** — doğruluğun en güvenilir kaynağı koddur (backend: `src/NgApps.*`,
+Studio/komponentler: zeyrek-frontend). Rehberlerde geçen dosya:satır referansları bu yüzden var.
+
+Tek beklenti: **koda inmek zorunda kaldığın noktayı söyle.** Her iniş bilgi katmanında bir eksiği
+işaret eder ve o eksik rehbere/lint'e taşınacak bir görevdir. Tahminle ilerlemek yerine koda bakmak;
+koda baktığını gizlemek yerine raporlamak.
+
+## Her yazmadan sonra doğrula
+
+- create/update → ilgili `*_get` ile geri oku
+- microservice → `microservice_execute`, beklenmedik sonuçta `microservice_debug`
+- workflow → `workflow_preview`; automation → `automation_trigger` + `automation_histories`
+- "API 200 döndü" tek başına bitti saymaz; politika bulgularını (`policyFindings`) oku ve gereğini yap

package/dist/resources/guides/html.md

@@ -0,0 +1,106 @@
+# HTML Komponent Rehberi (kaçış kapısı)
+
+Hazır komponentler bir gereksinimi karşılamıyorsa cevap "yapılamaz" değil, `html`
+komponentidir: ham HTML + Mustache şablonu + scoped CSS + satır içi script + flow köprüsü.
+Genel komponent kuralları: `platform_guide('component')`; tam gövde örneği:
+`ngapps://examples/page-html-embed`.
+
+## Karar kuralları
+
+- Önce katalog: iş bir hazır komponentle oluyorsa onu kullan (daha az bakım, tema uyumu).
+- Hazır komponent yetmiyorsa (özel görselleştirme, üçüncü parti JS kütüphanesi, alışılmadık
+  etkileşim) `html` kullan — platformdan çıkmak GEREKMEZ.
+- `html` içinde platform verisi gösterme işi **Mustache + context**'le, platforma komut verme
+  işi **actions + fireEvent**'le kurulur. İkisini script içinde elle taklit etme.
+- **"Alan sayısı/tipleri veriden geliyor" `html` sebebi DEĞİLDİR.** Dinamik form (anket, kural
+  tabanlı başvuru formu, satır başına farklı girdi) `repeater` + `{{ item.<alan> }}` iki yönlü
+  bağıyla hazır komponentlerle kurulur — tarif `platform_guide('page')` **Kural 1g**. Ölçüldü
+  (2026-08-19): aynı anket ekranı `html` ile de, native komponentlerle de uçtan uca çalışıyor;
+  native sürümde tema/erişilebilirlik/klavye davranışı ve doğrulama duvarı bedavaya geliyor.
+  `html`'i gerçekten katalogda karşılığı olmayan iş için sakla (üçüncü parti JS, alışılmadık
+  etkileşim). **Grafik artık o listede DEĞİL:** katalogda `chart` komponenti var (ECharts;
+  bar·line·area·pie·donut + waterfall/histogram/pareto/bullet/tornado/radial, drill-down ve dışa
+  aktarma dahil) — önce onu dene, `html` yalnız onun kapsamadığı görselleştirme için.
+
+## Prop sözleşmesi
+
+| Prop | Sözleşme |
+|---|---|
+| `content` | Ham HTML. `{{` içeriyorsa Mustache şablonu olarak `context` ile render edilir; şablon hatası ham içeriğe düşer (sayfa ölmez). `type:'code'` + `{{ }}` ifadesiyle de beslenebilir |
+| `context` | Mustache değişken sözlüğü (nesne). **Flow'dan HTML'e veri dönüşü budur:** setter adımı `context`'e yazınca içerik otomatik yeniden render olur |
+| `style` | emotion `css()` bloğu: iç seçiciler (`.sinif { … }`, `&:hover`) çalışır, üretilen sınıf komponente scope'ludur — sayfa geneline sızmaz |
+| `actions` | `[{ key, text, flow }]` — `key` fireEvent adı, `flow` çalıştırılacak akış (`type:'flow', ref:<flowId>`) |
+| `isHidden` | Ortak katmandan gizler |
+
+Şema olayı yalnız `mount`'tur. **Aksiyonlar `set_event` ile bağlanMAZ** — her aksiyon satırı
+akışını kendi `flow` prop'unda taşır.
+
+## HTML → flow: fireEvent
+
+```html
+<button onclick="fireEvent('kaydet', { tutar: 42 })">Kaydet</button>
+<script>
+  document.querySelector('#ozel-grafik').addEventListener('dblclick', () => {
+    fireEvent('detay_ac', { kaynak: 'grafik' })   // script içinde komponent-bağlı, async güvenli
+  })
+</script>
+```
+
+- Akış tarafında `event.name = 'kaydet'`, `event.data = { tutar: 42 }` (`code` adımı ve
+  `value.type:'code'` ifadeleri).
+- Satır içi öznitelik (`onclick="fireEvent(…)"`) global köprüyü kullanır; script gövdesindeki
+  `fireEvent` komponente bağlıdır ve `setTimeout`/`fetch.then` içinden de çalışır. Global'i
+  komponent dışından çağırman gerekirse üçüncü argümanla hedefi ver:
+  `fireEvent('kaydet', {...}, '<elementId>')`.
+- Eşleşmeyen `key` ya da akışsız aksiyon console'a warn düşer — sessiz ölüm yok.
+
+## Flow → HTML: context + Mustache
+
+```jsonc
+// content
+"<ul>{{#satirlar}}<li>{{ad}} — {{adet}}</li>{{/satirlar}}</ul>"
+// akışta: microservice → setter
+{ "type": "change", "element": "ozet_html", "property": "context", "source": "component",
+  "mapping": { "source": "", "mappings": {} },
+  "value": { "type": "code", "ref": "({ satirlar: Array.isArray(Steps.yukle?.data) ? Steps.yukle.data : [] })" } }
+```
+
+`context` değişince içerik yeniden render olur ve **script'ler yeniden çalışır** — script'leri
+yeniden girilebilir yaz ya da `onCleanup` kullan.
+
+## Script kuralları
+
+- Satır içi `<script>` çalışır; içerik her değiştiğinde yeniden çalışır.
+- `<script src="…">` **yüklenmez** (öznitelik bilinçli kopyalanmıyor). Harici kütüphane:
+  `loadScript(url)` — Promise döner, url bazında tekilleştirir, tekrar koşumda yeniden indirmez.
+- `onCleanup(fn)`: interval/listener temizliği — bir sonraki script koşumundan önce ve
+  komponent yok edilirken çalışır.
+- Script'ler flow ifade bağlamına (`Page`, `Steps`, komponent adları, `state.*`) ERİŞEMEZ;
+  köprü yalnız `fireEvent` (dışarı) ve `context` (içeri). Platform verisi gerekiyorsa akışta
+  toplayıp `context`'e yaz.
+
+> Aşağıdaki örnek `loadScript`'in nasıl çalıştığını gösterir; **sıradan grafik ihtiyacı için
+> `chart` komponentini kullan** (2026-08-25: katalogda kayıtlı).
+
+```html
+<div id="grafik" style="height:300px"></div>
+<script>
+  loadScript('https://cdn.jsdelivr.net/npm/chart.js').then(() => {
+    const chart = new Chart(document.querySelector('#grafik'), { /* … */ })
+    onCleanup(() => chart.destroy())
+  })
+</script>
+```
+
+## Kötü / iyi
+
+- ✘ Script içinde `fetch('/m/uygulama/uc')` ile platform ucunu elle çağırmak — kimlik/tenancy
+  dışında kalır. ✔ Akışta `microservice` adımı + setter ile `context`'e yaz.
+- ✘ `content`'e sayfa değişkenini string birleştirmeyle gömmek. ✔ Mustache + `context`
+  (ya da `type:'code'` content).
+- ✘ `set_event` ile `kaydet` olayına bağ kurmaya çalışmak (PAGE-008 reddeder). ✔ `actions`
+  satırının `flow` prop'u.
+- ✘ `setInterval`'i temizliksiz kurmak (içerik değişince ikinci kopya başlar). ✔ `onCleanup`.
+
+Kaynak: `zeyrek-frontend/packages/ng-apps-ui/src/components/html/*` (Html.svelte, html.functions.ts,
+schema.ts) ve `zeyrek-frontend/docs/features/html-component.md`.