@appaflytech/zeyrek-ai-mcp 0.0.11 → 0.0.13

package/dist/knowledge/errorPath.js

@@ -1,5 +1,25 @@
 import { randomUUID } from 'node:crypto';
 const ERROR_STEP_NAME = 'gatewayOnError';
+const ERROR_STEP_NAME_PATTERN = /^gatewayOnError\d*$/;
+/**
+ * Global-error dalında `error` = `WorkflowError.ToObject()`: `{ code, message, detail, type,
+ * step: { id, name, type, data, input } }` (`ActivityContext.EnterGlobalErrorHandling`). Gövde
+ * `step`'i ALT KÜME olarak yazar, çünkü (1) `ResponseStep` global-error kipinde gövdedeki `step`
+ * `error.step` ile birebir aynıysa onu siler, (2) `step.input` adımın ifade değerlerini (parola
+ * dahil) taşır. Zincir önce `error.cause`'tan okunur: backend 2026-09-17'den beri her seviyeyi
+ * `{ code, message, detail, type, step: { name, type }, cause }` olarak orada verir — loop iterasyonu
+ * (`<loop>[<sıra>]`) ve istisnasız 2xx dışı dönen çocuk dahil (`WorkflowError.ToObject`). Eski backend'de
+ * `error.cause` yoktur; o zaman yalnız patlayan `workflow` adımının `step.data`'sı okunur: fırlatan
+ * çocukta `WorkflowError.ToResponseObject()`, 2xx dışı dönen çocukta çocuğun KENDİ yanıtı. İkincisi
+ * keyfî olabilir (elle yazılmış `({ err: error })` input taşır), bu yüzden `pick` her iki kaynağı seviye
+ * seviye beyaz listeye süzer: `code/message/detail/type/step{name,type}/cause`. Hiçbiri yoksa `cause`
+ * yazılmaz. Loop adımının `data`'sı tamamlanan öğelerdir — okunmaz. Canlı ölçüm 2026-09-16 (lokal `emrah/web`, üç seviyeli
+ * zincir + `/m/`). ES5: motor Jint 4 ama desteklenen yüzey belgesiz (RFQ W-4); null alan yazılmaz.
+ */
+export const GATEWAY_ERROR_BODY_EXPRESSION = "(function () { function pick(source, depth) { if (!source || typeof source !== 'object') return null; var picked = {}; if (source.code) picked.code = source.code; if (source.message) picked.message = source.message; if (source.detail) picked.detail = source.detail; if (source.type) picked.type = source.type; if (source.step && source.step.name) { picked.step = { name: source.step.name }; if (source.step.type) picked.step.type = source.step.type; } if (depth < 8 && source.cause) { var inner = pick(source.cause, depth + 1); if (inner) picked.cause = inner; } return picked.code || picked.message || picked.step || picked.cause ? picked : null; } var body = { code: error.code, message: error.message }; if (error.detail) body.detail = error.detail; if (error.type) body.type = error.type; if (error.step) body.step = { name: error.step.name, type: error.step.type }; var cause = pick(error.cause, 0) || (error.step && error.step.type === 'workflow' ? pick(error.step.data, 0) : null); if (cause) body.cause = cause; return body; })()";
+export const LEGACY_GATEWAY_ERROR_BODY_EXPRESSION = '({ code: error.code, message: error.message })';
+const ERROR_STEP_DESCRIPTION = "Gateway'in eklediği hata yolu: akışın herhangi bir adımı patlarsa buraya düşer ve 500 ile { code, message, detail, type, step: { name, type } } döner; patlayan adım bir alt akışsa çocuğun hata gövdesi cause içinde iç içe gelir. Kendi hata gövdeni istiyorsan bu adımın bodyExpression'ını değiştir.";
+const LEGACY_ERROR_STEP_DESCRIPTION = "Gateway'in eklediği hata yolu: akışın herhangi bir adımı patlarsa buraya düşer ve 500 ile { code, message } döner. Kendi hata gövdeni istiyorsan bu adımın bodyExpression'ını değiştir.";
 const INJECTED_KINDS = new Set(['workflow', 'middleware']);
 function asSteps(value) {
     return (Array.isArray(value) ? value : []).filter((step) => Boolean(step) && typeof step === 'object');
@@ -35,8 +55,9 @@ export function ensureWorkflowErrorPath(definition, kind) {
     if (steps.some(step => step !== startStep && (Array.isArray(step.branches) ? step.branches : []).some(branch => branch?.type === 'global-error')))
         return [];
     const branches = Array.isArray(startStep.branches) ? startStep.branches : [];
-    if (branches.some(branch => branch?.type === 'global-error' && branch.nextStepId))
-        return [];
+    const wired = branches.find(branch => branch?.type === 'global-error' && branch.nextStepId);
+    if (wired)
+        return upgradeLegacyErrorBody(steps, String(wired.nextStepId));
     const name = availableName(steps);
     const errorStepId = randomUUID();
     const unwired = branches.find(branch => branch?.type === 'global-error');
@@ -44,12 +65,12 @@ export function ensureWorkflowErrorPath(definition, kind) {
         id: errorStepId,
         name,
         type: 'response',
-        description: "Gateway'in eklediği hata yolu: akışın herhangi bir adımı patlarsa buraya düşer ve 500 ile { code, message } döner. Kendi hata gövdeni istiyorsan bu adımın bodyExpression'ını değiştir.",
+        description: ERROR_STEP_DESCRIPTION,
         caution: "Bu adımı gateway ekledi; silersen akışın hata yolu kaybolur ve patlayan adım istemciye ham hata döndürür.",
         rule: {
             stepType: 'response',
             httpStatusCode: 500,
-            bodyExpression: '({ code: error.code, message: error.message })'
+            bodyExpression: GATEWAY_ERROR_BODY_EXPRESSION
         },
         branches: []
     });
@@ -60,5 +81,27 @@ export function ensureWorkflowErrorPath(definition, kind) {
         branches.push({ id: randomUUID(), name: 'global-error', type: 'global-error', nextStepId: errorStepId });
     }
     startStep.branches = branches;
-    return [`hata yolu eklendi: start adımına 'global-error' dalı + '${name}' response adımı (500, { code, message }). Hata yolu olmayan akış patladığında platform WorkflowStepFailedException fırlatır (HTTP 500 { code, message, detail, type }; zamanlanmış işte failed + "Step 'x' failed: …"); bu adım çıktıyı { code, message } ile denetim altına alır, zamanlanmış işte sonuç yine failed düşer. Kendi hata gövdenizi istiyorsanız bu adımın bodyExpression'ını değiştirin.`];
+    return [`hata yolu eklendi: start adımına 'global-error' dalı + '${name}' response adımı (500, { code, message, detail, type, step: { name, type }, cause }). Hata yolu olmayan akış patladığında platform WorkflowStepFailedException fırlatır (HTTP 500 { code, message, detail, type }, 2026-09-17 backend'inde step ve cause da; zamanlanmış işte failed + "Step 'x' failed: …"); bu adım aynı şekli ele alınmış 500 olarak döner — patlayan adımın adı ve tipi, alt akış ya da loop iterasyonu zinciri cause içinde — ve zamanlanmış işte sonuç yine failed düşer. Kendi hata gövdenizi istiyorsanız bu adımın bodyExpression'ını değiştirin.`];
+}
+/**
+ * Bu dosyanın 2026-09-16 öncesi sürümü hata adımına `{ code, message }` yazıyordu; o kayıtlar
+ * `detail`, `type` ve patlayan adımı dışarı vermez. Yalnız gateway'in KENDİ yazdığı ve kimsenin
+ * dokunmadığı adım yükseltilir: global-error dalının hedefi, adı `gatewayOnError[n]`, tipi
+ * `response`, ifadesi eski varsayılanla birebir aynı VE açıklaması eski gateway metni (ya da boş).
+ * Açıklama şartı, yükseltilmiş bir adımı aynı çağrıda bilerek eski gövdeye döndüren kullanıcıyı
+ * korur: yükseltme açıklamayı da yenilediği için geri dönüş bir daha ezilmez.
+ */
+function upgradeLegacyErrorBody(steps, errorStepId) {
+    const target = steps.find(step => String(step.id ?? '') === errorStepId);
+    const rule = target?.rule;
+    if (!target || target.type !== 'response' || !ERROR_STEP_NAME_PATTERN.test(String(target.name ?? '')) || !rule)
+        return [];
+    if (typeof rule.bodyExpression !== 'string' || rule.bodyExpression.trim() !== LEGACY_GATEWAY_ERROR_BODY_EXPRESSION)
+        return [];
+    const untouchedDescription = target.description === undefined || target.description === null || String(target.description).trim() === '' || target.description === LEGACY_ERROR_STEP_DESCRIPTION;
+    if (!untouchedDescription)
+        return [];
+    rule.bodyExpression = GATEWAY_ERROR_BODY_EXPRESSION;
+    target.description = ERROR_STEP_DESCRIPTION;
+    return [`hata gövdesi genişletildi: '${String(target.name)}' adımının bodyExpression'ı gateway'in eski varsayılanıydı ({ code, message }); yeni varsayılan detail, type, patlayan adımın { name, type } bilgisini ve adım bir alt akışsa çocuğun hata gövdesini cause olarak da döner. Çocuk gövdesi yalnız code/message/detail/type/step{name,type}/cause alanlarına süzülür. Yanıta alan EKLENİR, mevcut code/message değişmez. Açıklaması ya da ifadesi elle değiştirilmiş hata adımına dokunulmaz; eski gövdede kalmak için bu adımın açıklamasını değiştirin.`];
 }

package/dist/knowledge/normalize.js

@@ -140,6 +140,49 @@ export function normalizeMicroserviceDefinition(definition) {
         return [];
     return normalizeTableParameters(definition.sourceParameters, definition.entityId);
 }
+/**
+ * S-2: `microservice_patch`in yamaladığı belge YAZMA komutu değil OKUMA şeklidir
+ * (`MicroserviceDto`) — rol listesi orada `roles: [{ id, name }]`tır ve `UpdateMicroserviceCommand.FromDto`
+ * onu `RoleIds`'e eşler. Yazma gövdesinin adı (`roleIds`) patch belgesinde YOKTUR: `replace` yolu
+ * `OPERATION_PATH_UNRESOLVABLE` ile düşer, `add` ise platformda sessizce yutulur
+ * (`StJsonOptions.Read` bilinmeyen üyeyi atar, 200 döner, rol değişmez). Ajan yazma adını öğrenmiş
+ * olarak geldiği için yolu reddetmek yerine ÇEVİRİYORUZ ve çeviriyi `gatewayNormalized` ile
+ * söylüyoruz — istek geçer, doğru ad öğrenilir.
+ */
+export function normalizeMicroservicePatchOps(operations, definition) {
+    const notes = [];
+    const rolesIsArray = Array.isArray(definition.roles);
+    for (const operation of operations) {
+        const path = typeof operation.path === 'string' ? operation.path : '';
+        if (path !== '/roleIds' && !path.startsWith('/roleIds/') && path !== '/roles' && !path.startsWith('/roles/'))
+            continue;
+        if (path === '/roleIds' || path.startsWith('/roleIds/')) {
+            operation.path = `/roles${path.slice('/roleIds'.length)}`;
+            notes.push(`patch yolu '${path}' → '${operation.path}': yamalanan belge microservice_get'in OKUMA şeklidir (MicroserviceDto) ve rol listesi orada 'roles' [{ id, name }] alanıdır; 'roleIds' yalnız create/update GÖVDESİNDE vardır. Çevrilmeseydi replace çözülemez, add ise platformda sessizce yutulurdu.`);
+        }
+        const targetPath = operation.path;
+        if (targetPath === '/roles' && Array.isArray(operation.value)) {
+            const bare = operation.value.filter(entry => typeof entry === 'string');
+            if (bare.length > 0) {
+                operation.value = operation.value.map(entry => typeof entry === 'string' ? { id: entry } : entry);
+                notes.push(`'${targetPath}' değerindeki ${bare.length} çıplak guid { id } nesnesine sarıldı — rol listesi id/ad çiftleri taşır, 'name' isteğe bağlıdır (platform yalnız id okur).`);
+            }
+        }
+        if (targetPath.endsWith('/-') && typeof operation.value === 'string') {
+            operation.value = { id: operation.value };
+            notes.push(`'${targetPath}' değeri { id } nesnesine sarıldı — listeye eklenen öğe rol kaydıdır, çıplak guid değil.`);
+        }
+        // `roles` null gelirse (platform boş listeyi null serileştirebiliyor) diziye ekleme yolu
+        // çözülemez: tek öğelik tam dizi yazmaya katlanır, yoksa istek gitmeden düşerdi.
+        if (!rolesIsArray && targetPath === '/roles/-') {
+            operation.op = 'add';
+            operation.path = '/roles';
+            operation.value = [operation.value];
+            notes.push("okunan kayıtta 'roles' dizi değil (null) — '/roles/-' eklemesi tek öğelik tam dizi yazmaya ('add /roles') katlandı.");
+        }
+    }
+    return notes;
+}
 export function withNormalization(payload, fixes) {
     if (fixes.length > 0) {
         logStep('düzeltme', `gateway ${fixes.length} otomatik düzeltme uyguladı — gövdeye istek gönderilmeden ÖNCE işlendi, yanıta gatewayNormalized olarak eklenir`, fixes);

package/dist/knowledge/outlines.js

@@ -44,6 +44,9 @@ export function microserviceOutline(definition) {
         url: definition.url,
         workflowId: definition.workflowId ?? null,
         queryId: definition.queryId ?? null,
+        // S-2: rol listesi okuma şeklinde `roles`, yazma gövdesinde `roleIds` — outline yazma adını
+        // basar ki patch'ten sonra "rol tuttu mu" sorusu ikinci bir microservice_get istemesin.
+        roleIds: asArray(definition.roles).map(role => role.id),
         sourceParameters: {
             operation: sourceParameters.operation,
             entityId: sourceParameters.entityId,
@@ -55,9 +58,10 @@ export function microserviceOutline(definition) {
             filterCount: asArray(sourceParameters.filters).length
         },
         view: 'outline',
-        hint: "Parça için view:'part', part:'sourceParameters.joins' gibi; değişiklik için microservice_patch."
+        hint: "Parça için view:'part', part:'sourceParameters.joins' gibi; değişiklik için microservice_patch. Rol listesi patch belgesinde '/roles' [{ id, name }] yolundadır."
     };
 }
+const enumOutlineValueLimit = 30;
 export function entityOutline(definition) {
     return {
         id: definition.id,
@@ -75,7 +79,16 @@ export function entityOutline(definition) {
             nullable: field.nullable,
             relationType: field.relationType ?? 'none',
             relationId: field.relationId ?? null,
-            isLocalized: Boolean(field.isLocalized)
+            isLocalized: Boolean(field.isLocalized),
+            // S-1: enum'a tek op'la yazılan değerin kanıtı outline'da dursun — aksi hâlde `entity_patch`
+            // yanıtı "liste gitti mi" sorusuna cevap vermiyor ve ajan tam gövdeye dönüyor. Bütçe K3:
+            // ilk 30 değer; `icon`/`labels` outline'a girmez, sayı toplamı söyler.
+            ...(asArray(field.valueOptions).length > 0
+                ? {
+                    values: asArray(field.valueOptions).slice(0, enumOutlineValueLimit).map(option => option.value),
+                    valueOptionCount: asArray(field.valueOptions).length
+                }
+                : {})
         })),
         indexCount: asArray(definition.indexes).length,
         // Index'ler alanlardan çok daha az sayıdadır; tam projeksiyon outline'ı şişirmez ve yazılan
@@ -91,7 +104,7 @@ export function entityOutline(definition) {
             }
             : {}),
         view: 'outline',
-        hint: "Bir alanın tam gövdesi için view:'part', part:'fields[slug=<slug>]'; değişiklik için entity_patch. isLocalized alanlar için platform_guide('entity') §'Çoklu dilli alan'."
+        hint: "Bir alanın tam gövdesi için view:'part', part:'fields[slug=<slug>]'; değişiklik için entity_patch. Enum'a tek değer: entity_patch add '/fields[slug=<slug>]/valueOptions/-'. isLocalized alanlar için platform_guide('entity') §'Çoklu dilli alan'."
     };
 }
 const identityKeys = ['id', 'slug', 'name', 'elementId', 'stepId'];

package/dist/knowledge/rules.js

@@ -47,6 +47,47 @@ function hasText(value) {
 function stepLabel(step) {
     return step.name || step.type || step.id || '?';
 }
+const GUID_PATTERN = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
+/**
+ * `workflow` adımının (ve `loop` içindeki `stepType: 'workflow'` çocuğunun) alt akışı çağıran
+ * kuralı. `WorkflowStep.cs` yalnız `rule.WorkflowId` + `rule.Expression` okur; girdiyi başka
+ * bir alanla göndermeye çalışan gövde ya kaydedilip okunmaz (şema üyeleri) ya da hiç
+ * kaydedilmez (şema dışı adlar, `unmappedMembers`) — iki durumda da alt akış SESSİZCE girdisiz
+ * koşar (RFQ koşusu W-7, 2026-09-14). Platform her adım kuralını `fields: []`,
+ * `customParameters: null` gibi boş varsayılanlarla geri okuttuğu için yalnız DOLU değer sayılır;
+ * aksi hâlde `workflow_get` gövdesiyle yapılan her `workflow_patch`/`update`/`preview` kendi
+ * kendine bloklanırdı.
+ */
+const WORKFLOW_STEP_SAVED_BUT_UNREAD_KEYS = ['payloadExpression', 'customParameters', 'queryParameters', 'bodyExpression', 'fields'];
+const WORKFLOW_STEP_UNMAPPED_INPUT_KEYS = ['parameters', 'parameter', 'input', 'payload', 'arguments', 'args', 'variables'];
+function carriesValue(value) {
+    if (value === undefined || value === null)
+        return false;
+    if (Array.isArray(value))
+        return value.length > 0;
+    if (typeof value === 'string')
+        return value.trim() !== '';
+    return true;
+}
+function workflowCallSites(body) {
+    return workflowSteps(body).flatMap((step) => {
+        const rule = (step.rule ?? {});
+        if (step.type === 'workflow')
+            return [{ step, rule, label: stepLabel(step) }];
+        if (step.type === 'loop' && rule.stepType === 'workflow' && rule.stepRule && typeof rule.stepRule === 'object') {
+            return [{ step, rule: rule.stepRule, label: `${stepLabel(step)} (loop çocuğu)` }];
+        }
+        return [];
+    });
+}
+function literalShapeOf(expression) {
+    const head = expression.trim().replace(/^[(\s]+/, '');
+    if (head.startsWith('{'))
+        return 'object';
+    if (head.startsWith('['))
+        return 'array';
+    return undefined;
+}
 /**
  * Start'tan başlayıp `global-error` dalları HARİÇ tüm dalları izleyerek erişilen adımlar.
  * Gateway her `workflow`/`middleware` tanımına global-error dalının ucunda bir `response` adımı
@@ -698,6 +739,45 @@ export const policyRules = [
             });
         }
     },
+    {
+        id: 'WF-032',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "WorkflowStep.cs EvaluateAsync: kural yalnız rule.WorkflowId ve rule.Expression okur; girdi workflow.HasParameter iken Expression'ın DataTransferObjectExpression.Eval'iyle bağlanır, başka hiçbir alan okunmaz. Studio WorkflowTrigger.svelte de yalnız bu iki alanı yazar ve expression'ı çağrılan akışın parameterScheme'inden nesne literali olarak doldurur. RFQ koşusu W-7 (2026-09-14): payloadExpression/customParameters kaydedildi, alt akış girdisiz koştu",
+        check: (definition, context) => workflowCallSites(workflowBody(definition, context.workflowKind)).flatMap(({ label, rule }) => {
+            const workflowId = rule.workflowId;
+            if (!hasText(workflowId)) {
+                return [{
+                        ruleId: 'WF-032',
+                        severity: 'block',
+                        message: `'${label}' workflow adımında rule.workflowId yok — adım hangi akışı çağıracağını bilmez. workflow_list(applicationId, type: 'workflow') ile id seçin; girdi rule.expression'a nesne literali olarak yazılır (çağrılan akışın parametre DTO'suna göre).`,
+                        guide: 'ngapps://guides/workflow'
+                    }];
+            }
+            if (!GUID_PATTERN.test(String(workflowId))) {
+                return [{
+                        ruleId: 'WF-032',
+                        severity: 'block',
+                        message: `'${label}' adımının rule.workflowId'si GUID değil: '${String(workflowId)}'. Platform alanı Guid'e çeviremediği için 400 döner; slug değil id verin (workflow_list).`,
+                        guide: 'ngapps://guides/workflow'
+                    }];
+            }
+            const savedButUnread = WORKFLOW_STEP_SAVED_BUT_UNREAD_KEYS.filter(key => carriesValue(rule[key]));
+            const unmapped = WORKFLOW_STEP_UNMAPPED_INPUT_KEYS.filter(key => carriesValue(rule[key]));
+            if (savedButUnread.length === 0 && unmapped.length === 0)
+                return [];
+            const fate = [
+                savedButUnread.length > 0 ? `${savedButUnread.map(key => `rule.${key}`).join(', ')} kaydedilir ama WorkflowStep okumaz` : '',
+                unmapped.length > 0 ? `${unmapped.map(key => `rule.${key}`).join(', ')} StepRuleDto'da yok, platform hiç kaydetmez (unmappedMembers)` : ''
+            ].filter(part => part !== '').join('; ');
+            return [{
+                    ruleId: 'WF-032',
+                    severity: 'block',
+                    message: `'${label}' adımı alt akışa girdiyi yanlış alandan gönderiyor — ${fate}. WorkflowStep yalnız rule.workflowId ve rule.expression okur: iki durumda da alt akış boş girdiyle koşar ve 200 döner (RFQ koşusu W-7). Eşlemeyi rule.expression'a nesne literali olarak yazın — her anahtar çağrılan akışın parametre DTO'sundaki bir alan, her değer bir JS ifadesi: "({ title: input.title, source: 'telemetry' })". Aynı adlı alan code adımında GÖVDE, workflow/microfunction adımında GİRDİDİR. Alan listesini workflow_step_schema (parameterScheme) ya da workflow_get(<workflowId>).parameterDtoId → dto_get verir.`,
+                    guide: 'ngapps://guides/workflow'
+                }];
+        })
+    },
     {
         id: 'WF-006',
         module: 'workflow',
@@ -2092,7 +2172,7 @@ export const policyRules = [
         id: 'WF-018',
         module: 'workflow',
         appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "LoopStep.cs:41 çocuk kuralı rule.Children.FirstOrDefault() ile okur ama API sözleşmesinde alan TEKİLdir (StepRuleDto.StepRule, WorkflowDto.cs:498). 'children' gönderilirse Children boş kalır, çocuk adım null rule ile koşar ve loop NullReferenceException verir — hata arrayExpression'ı işaret ettiği için yanlış yere baktırır. Ölçüm: anket-admin/anket-kaydet, 2026-08-19",
+        sourceRef: "LoopStep.cs:41 çocuk kuralı rule.Children.FirstOrDefault() ile okur ama API sözleşmesinde alan TEKİLdir (StepRuleDto.StepRule, WorkflowDto.cs:498). 'children' gönderilirse Children boş kalır, çocuk adım null rule ile koşar ve loop NullReferenceException verir — hata arrayExpression'ı işaret ettiği için yanlış yere baktırır. Ölçüm: anket-admin/anket-kaydet, 2026-08-19. loopItem kapsamı 2026-09-16'da ölçüldü: table çocuğunun filtre ifadesinde çalışıyor, code çocuğunda tanımsız (LoopStep.cs:38 loop'un kendi motoruna yazıyor, code adımı ayrı motor kuruyor)",
         check: (definition, context) => {
             const body = workflowBody(definition, context.workflowKind);
             return workflowSteps(body)
@@ -2105,7 +2185,7 @@ export const policyRules = [
                     findings.push({
                         ruleId: 'WF-018',
                         severity: 'block',
-                        message: `'${stepLabel(step)}' loop step'inde rule.stepRule yok${hasChildren ? " — ama rule.children dolu: çocuk kural alanının adı 'children' DEĞİL 'stepRule'dur (tekil)" : ''}. Çocuksuz loop çalışma anında NullReferenceException verir ve hata mesajı arrayExpression'ı suçlar. Çocuğun kendi rule gövdesini rule.stepRule'a koyun; geçerli öğeye çocuk ifadelerinde 'loopItem' ile erişilir, loop'un çıktısı [{ item, result }] dizisidir.`,
+                        message: `'${stepLabel(step)}' loop step'inde rule.stepRule yok${hasChildren ? " — ama rule.children dolu: çocuk kural alanının adı 'children' DEĞİL 'stepRule'dur (tekil)" : ''}. Çocuksuz loop çalışma anında NullReferenceException verir ve hata mesajı arrayExpression'ı suçlar. Çocuğun kendi rule gövdesini rule.stepRule'a koyun; loop'un çıktısı [{ item, result }] dizisidir. Geçerli öğeye 'loopItem' ile erişilir AMA yalnız loop'un kendi değerlendirdiği ifadelerde (table çocuğunun fields[].value / filters[].value gibi) — 'code' çocuğunda loopItem TANIMSIZDIR ve adım "loopItem is not defined" ile düşer (ölçüldü 2026-09-16); her öğe için hesabı arrayExpression'da önden yapın.`,
                         guide: 'ngapps://guides/workflow'
                     });
                 }
@@ -2765,6 +2845,74 @@ export const policyRules = [
             guide: 'ngapps://guides/entity'
         }))
     },
+    /**
+     * WF-033 — `http` adımının sözleşmesi. Gövde ayrı bir alan değildir: `payloadExpression` tek
+     * ifadeyle `{ header, body, queryString }` ÜÇÜNÜ birden üretmek zorundadır, çünkü yürütücü
+     * üçüne de `dynamic` üye erişimiyle bakar (HttpStep.cs:32,42,59) ve eksik anahtar adımı
+     * `RuntimeBinderException` ile düşürür — ölçüldü 2026-09-16, mesaj birebir
+     * "'System.Dynamic.ExpandoObject' does not contain a definition for 'queryString'".
+     *
+     * Anahtar denetimi YALNIZ nesne literalinde yapılır (`(`/`{` ile başlayan ifade): bir fonksiyon
+     * çağrısı ya da değişken döndüren ifadenin içini statik olarak göremeyiz ve orada susmak
+     * yanlış pozitif üretmemekten iyidir (AGENTS §10).
+     */
+    {
+        id: 'WF-033',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "HttpStep.cs:26-32,42,59,63-85 — url rule.UrlExpression'dan (JS ifadesi → string), method rule.HttpMethod'dan (HttpMethod.Parse), gövde rule.PayloadExpression'ın body/header/queryString anahtarlarından okunur; eksik anahtar RuntimeBinderException. contentType boşsa gövde body.ToString() ile gider. Ölçüm 2026-09-16, test/development: üç anahtarlı çağrı 200, queryString'siz çağrı RuntimeBinderException",
+        check: definition => {
+            const httpMethods = new Set(['get', 'post', 'put', 'patch', 'delete', 'head', 'options']);
+            const bodyCarryingMethods = new Set(['post', 'put', 'patch']);
+            return workflowSteps(workflowBody(definition))
+                .filter(step => step.type === 'http')
+                .flatMap((step) => {
+                const rule = (step.rule ?? {});
+                const findings = [];
+                const payload = String(rule.payloadExpression ?? '').trim();
+                if (!hasText(rule.urlExpression)) {
+                    findings.push({
+                        ruleId: 'WF-033',
+                        severity: 'block',
+                        message: `'${stepLabel(step)}' http adımında rule.urlExpression yok. Adres bir JS İFADESİDİR, düz metin değil: sabit adresi tırnak içinde yazın ("'https://api.example.com/v1/rates'"), dinamik adresi ifadeyle kurun ("'https://api.example.com/orders/' + input.orderId"). Tırnaksız yazarsanız JS onu değişken sanır ve adım "x is not defined" ile düşer.`,
+                        guide: 'ngapps://guides/workflow'
+                    });
+                }
+                if (!httpMethods.has(String(rule.httpMethod ?? '').trim().toLowerCase())) {
+                    findings.push({
+                        ruleId: 'WF-033',
+                        severity: 'block',
+                        message: `'${stepLabel(step)}' http adımında rule.httpMethod ${hasText(rule.httpMethod) ? `'${String(rule.httpMethod)}' — tanınmıyor` : 'yok'}. Platform değeri HttpMethod.Parse ile çözer; geçerli değerler: ${[...httpMethods].map(method => method.toUpperCase()).join(' · ')}.`,
+                        guide: 'ngapps://guides/workflow'
+                    });
+                }
+                if (payload.startsWith('(') || payload.startsWith('{')) {
+                    const missing = ['body', 'header', 'queryString']
+                        .filter(key => !new RegExp(`['"]?${key}['"]?\\s*:`).test(payload));
+                    if (missing.length > 0) {
+                        findings.push({
+                            ruleId: 'WF-033',
+                            severity: 'block',
+                            message: `'${stepLabel(step)}' http adımının payloadExpression'ında ${missing.join(', ')} anahtarı yok. Gövde AYRI BİR ALAN DEĞİLDİR: bu tek ifade body, header ve queryString ÜÇÜNÜ BİRDEN taşımak zorundadır — boş olanı da yazın: "({ body: {}, header: {}, queryString: {} })". Eksik anahtar çalışma anında RuntimeBinderException verir ("'System.Dynamic.ExpandoObject' does not contain a definition for '${missing[0]}'") ve adım fail dalına düşer. Örnek: ngapps://examples/workflow-http-step`,
+                            guide: 'ngapps://guides/workflow'
+                        });
+                    }
+                }
+                // Gövde taşıyan metotlarda contentType'ın boş olması sessiz bir bozulmadır. Gövdenin
+                // DOLU olup olmadığını ifade metninden ayrıştırmaya çalışmıyoruz (K7): metot yeterli
+                // ve kesin bir sinyal, gövde ayrıştırması yanlış pozitif üretir.
+                if (!hasText(rule.contentType) && bodyCarryingMethods.has(String(rule.httpMethod ?? '').trim().toLowerCase())) {
+                    findings.push({
+                        ruleId: 'WF-033',
+                        severity: 'warn',
+                        message: `'${stepLabel(step)}' http adımı ${String(rule.httpMethod).toUpperCase()} ile gövde gönderiyor ama rule.contentType boş: platform gövdeyi body.ToString() ile yollar ve nesne gövdesi tip adının kendisine dönüşür (HttpStep.cs:63-85). JSON gönderiyorsanız contentType: 'application/json' yazın.`,
+                        guide: 'ngapps://guides/workflow'
+                    });
+                }
+                return findings;
+            });
+        }
+    },
     {
         id: 'MW-003',
         module: 'workflow',
@@ -2873,6 +3021,89 @@ export async function microfunctionStepFindings(platform, project, environment,
     }
     return applyPolicyMode(platform.config, findings, policyOverride);
 }
+/**
+ * WF-032'nin ikinci yarısı. `rule.expression`'ın işe yarayıp yaramayacağı gövdeden görülemez:
+ * `WorkflowStep` ifadeyi YALNIZ çağrılan akışın parametre DTO'su varken değerlendirir
+ * (`workflow.HasParameter`); DTO'suz alt akışa yazılan ifade hiç koşmaz ve girdi boş gider.
+ * Karar çağrılan akışın kaydında yaşar — gateway `workflow_get` ucunu okur ve bulguyu aynı
+ * `policyFindings` kanalına koyar; `policyOverride` / `POLICY=warn` kaçışları aynen geçerlidir.
+ *
+ * Okuma başarısız olursa kural SUSAR (WF-MF-001 ile aynı gerekçe). Uygulama kimliği ne
+ * parametrede ne gövdede varsa (automation yolu `entityId` ile çalışır) da susar: statik yarı
+ * yine koşar, canlı yarı bir kolaylıktır.
+ */
+export async function workflowStepFindings(platform, project, environment, applicationId, definition, kind, policyOverride = false) {
+    if (platform.config.policyMode === 'off')
+        return [];
+    const application = hasText(applicationId)
+        ? String(applicationId)
+        : hasText(definition.applicationId) ? String(definition.applicationId) : undefined;
+    if (application === undefined)
+        return [];
+    const sites = workflowCallSites(workflowBody(definition, kind))
+        .filter(site => GUID_PATTERN.test(String(site.rule.workflowId ?? '')));
+    if (sites.length === 0)
+        return [];
+    const guide = 'ngapps://guides/workflow';
+    const records = new Map();
+    const findings = [];
+    for (const { label, rule } of sites) {
+        const workflowId = String(rule.workflowId);
+        if (!records.has(workflowId)) {
+            try {
+                const payload = await platform.tenant('GET', project, `/workflows/${application}/${workflowId}`, { environment });
+                records.set(workflowId, (payload?.data ?? payload));
+            }
+            catch (error) {
+                records.set(workflowId, error instanceof PlatformApiError && error.status === 404 ? 'missing' : 'unreadable');
+            }
+        }
+        const record = records.get(workflowId);
+        if (record === undefined || record === 'unreadable')
+            continue;
+        if (record === 'missing') {
+            findings.push({
+                ruleId: 'WF-032',
+                severity: 'block',
+                message: `'${label}' adımının workflowId'si (${workflowId}) bu ortamda YOK (platform kaydı yalnız id ile arar, uygulama kimliğine bakmaz). Adım kuralı step_rules.workflow_id ile kayda FK'lıdır: gövde gitseydi platform 400 dönerdi. workflow_list(applicationId: '${application}', type: 'workflow') ile bu ortamdaki akışları görün — alt akış başka bir dalda ya da ortamda kalmış, ya da henüz yaratılmamış olabilir.`,
+                guide
+            });
+            continue;
+        }
+        const calleeName = String(record.name ?? record.slug ?? workflowId);
+        const parameterDtoId = hasText(record.parameterDtoId) ? String(record.parameterDtoId) : undefined;
+        const expression = hasText(rule.expression) ? String(rule.expression) : '';
+        if (expression !== '' && parameterDtoId === undefined) {
+            findings.push({
+                ruleId: 'WF-032',
+                severity: 'block',
+                message: `'${label}' adımı '${calleeName}' akışına rule.expression ile girdi geçiriyor ama o akışın parametre DTO'su YOK (parameterDtoId boş). WorkflowStep ifadeyi yalnız workflow.HasParameter iken değerlendirir: bu hâliyle ifade HİÇ çalışmaz, alt akış boş girdiyle koşar ve 200 döner. Önce alt akışa girdi sözleşmesi verin — dto_create ile alan listesini tanımlayın, sonra workflow_patch(id: '${workflowId}', ops: [{ op: 'add', path: '/parameterDtoId', value: '<dtoId>' }, { op: 'add', path: '/parameterBehavior', value: 'object' }]); alt akışın adımları girdiyi input.<alan> ile okur.`,
+                guide
+            });
+            continue;
+        }
+        if (expression === '' && parameterDtoId !== undefined) {
+            findings.push({
+                ruleId: 'WF-032',
+                severity: 'warn',
+                message: `'${label}' adımında rule.expression boş ama '${calleeName}' akışının parametre DTO'su var (parameterDtoId: ${parameterDtoId}). Alt akış input olarak boş nesne alır, kendi input.<alan> okumaları undefined döner. Girdiyi nesne literaliyle geçirin — alan listesini workflow_step_schema çıktısındaki parameterScheme ya da dto_get('${parameterDtoId}') verir.`,
+                guide
+            });
+            continue;
+        }
+        const behavior = String(record.parameterBehavior ?? '').toLowerCase();
+        const literal = literalShapeOf(expression);
+        if (literal !== undefined && ((behavior === 'array' && literal === 'object') || (behavior === 'object' && literal === 'array'))) {
+            findings.push({
+                ruleId: 'WF-032',
+                severity: 'warn',
+                message: `'${label}' adımının ifadesi ${literal === 'object' ? 'nesne' : 'dizi'} literaliyle başlıyor ama '${calleeName}' akışının parameterBehavior'ı '${behavior}': alt akış input olarak ${behavior === 'array' ? 'DİZİ bekler; nesne alınca öğe okumaları' : 'NESNE bekler; dizi alınca input.<alan> okumaları'} undefined döner. İfadeyi davranışa uydurun ya da alt akışın parameterBehavior'ını değiştirin.`,
+                guide
+            });
+        }
+    }
+    return applyPolicyMode(platform.config, findings, policyOverride);
+}
 const partialWriteOperations = new Set(['create', 'update', 'upsert']);
 const inputReferencePattern = /\binput\.([A-Za-z_$][\w$]*)/g;
 function inputReferencesOf(rule) {

package/dist/platform/errors.js

@@ -177,6 +177,79 @@ function diagnoseKnownFailure(status, message, code, context) {
     }
     return '';
 }
+const MaxErrorCauseWalk = 32;
+const MaxErrorPathShown = 6;
+const MaxErrorTextLength = 400;
+function nonEmptyText(value) {
+    if (typeof value !== 'string' || value.trim() === '')
+        return undefined;
+    return value.length > MaxErrorTextLength ? `${value.slice(0, MaxErrorTextLength)}…` : value;
+}
+function asRecord(value) {
+    return value && typeof value === 'object' && !Array.isArray(value) ? value : undefined;
+}
+function errorLevels(body) {
+    const levels = [];
+    let current = asRecord(body);
+    while (current) {
+        if (levels.length === MaxErrorCauseWalk)
+            return { levels, truncated: true };
+        const step = asRecord(current.step);
+        const name = nonEmptyText(step?.name);
+        const stepType = nonEmptyText(step?.type);
+        levels.push({
+            step: name ? `'${name}'${stepType ? ` (${stepType})` : ''}` : undefined,
+            code: nonEmptyText(current.code),
+            message: nonEmptyText(current.message),
+            detail: nonEmptyText(current.detail),
+            type: nonEmptyText(current.type)
+        });
+        current = asRecord(current.cause);
+    }
+    return { levels, truncated: false };
+}
+function seenKey(...parts) {
+    return JSON.stringify(parts);
+}
+/**
+ * Workflow 5xx gövdesinden, başlıkta zaten yazılmış `code`/`message` dışında kalan bilgiyi çıkarır.
+ * İki gövde şekli okunur: platformun `WorkflowStepErrorResponse`'u `{ code, message, detail, type }`
+ * (hata yolu olmayan akış, `ExceptionHandler.cs`) ve gateway hata adımının gövdesi
+ * `{ …, step: { name, type }, cause }` (`errorPath.ts`). `cause` zinciri alt akış seviyelerini
+ * taşır; aynı kod+mesaj her seviyede tekrarlandığı için mesaj EN DERİNDEN başlanarak bir kez, hatanın
+ * doğduğu adıma atfedilerek yazılır. Kodla aynı `type` ve mesajla aynı `detail` gürültüdür. Uzun
+ * zincirde yolun başı ve SONU gösterilir (hatanın doğduğu adım kaybolmasın); metinler kırpılır.
+ */
+export function describeErrorBody(body, shown) {
+    const { levels, truncated } = errorLevels(body);
+    const fragments = [];
+    const path = levels.map(level => level.step).filter((step) => step !== undefined);
+    const shownPath = path.length > MaxErrorPathShown ? [...path.slice(0, 2), '…', ...path.slice(-3)] : path;
+    if (shownPath.length > 0)
+        fragments.push(`hata yolu: ${shownPath.join(' → ')}${truncated ? ' → …' : ''}`);
+    const seen = new Set();
+    if (shown) {
+        seen.add(seenKey('head', shown.code, shown.message));
+        if (levels[0])
+            seen.add(seenKey('head', levels[0].code, levels[0].message));
+    }
+    for (const level of [...levels].reverse()) {
+        const key = seenKey('head', level.code, level.message);
+        if ((level.code || level.message) && !seen.has(key)) {
+            seen.add(key);
+            fragments.push(`${level.step ? `${level.step} ` : ''}${[level.code, level.message].filter(Boolean).join(': ')}`);
+        }
+        if (level.detail && level.detail !== level.message && !seen.has(seenKey('detail', level.detail))) {
+            seen.add(seenKey('detail', level.detail));
+            fragments.push(`detail: ${level.detail}`);
+        }
+        if (level.type && level.type !== level.code && !seen.has(seenKey('type', level.type))) {
+            seen.add(seenKey('type', level.type));
+            fragments.push(`type: ${level.type}`);
+        }
+    }
+    return fragments;
+}
 export function mapPlatformError(status, payload, context) {
     const body = payload && typeof payload === 'object' ? payload : {};
     const code = typeof body.code === 'string' ? body.code : undefined;
@@ -222,7 +295,9 @@ export function mapPlatformError(status, payload, context) {
     }
     const fallbackValidationMessages = collectValidationMessages(body);
     const fallbackDetail = fallbackValidationMessages.length > 0 ? ` → ${fallbackValidationMessages.join(' ; ')}` : '';
-    return new PlatformApiError(`Platform hatası ${status} (${location}): ${apiMessage ?? 'beklenmeyen hata'}${code ? ` [${code}]` : ''}${fallbackDetail}${diagnoseKnownFailure(status, apiMessage ?? '', code, context)}`, status, code);
+    const errorBody = status >= 500 ? describeErrorBody(body, { code, message: apiMessage }) : [];
+    const errorBodyDetail = errorBody.length > 0 ? ` — ${errorBody.join(' · ')}` : '';
+    return new PlatformApiError(`Platform hatası ${status} (${location}): ${apiMessage ?? 'beklenmeyen hata'}${code ? ` [${code}]` : ''}${errorBodyDetail}${fallbackDetail}${diagnoseKnownFailure(status, apiMessage ?? '', code, context)}`, status, code);
 }
 export function mapNetworkError(error, context) {
     const cause = error instanceof Error ? error : new Error(String(error));

package/dist/platform/responses.js

@@ -1,5 +1,5 @@
 import { logError, logStep } from '../observability/trace.js';
-import { PlatformApiError } from './errors.js';
+import { PlatformApiError, describeErrorBody } from './errors.js';
 import { PolicyBlockError } from '../knowledge/policy.js';
 import { maskSecrets } from './secrets.js';
 export function prune(value) {
@@ -76,6 +76,17 @@ export function runtimeErrorSummary(payload) {
     const errors = [];
     if (typeof record.httpStatus === 'number' && record.httpStatus >= 400) {
         errors.push(`httpStatus: ${record.httpStatus} — çağrı ${record.httpStatus} ile bitti; gövde başarı çıktısı değil hata gövdesidir. Adım adım bakmak için microservice_debug kullanın.`);
+        // Yalnız 5xx: 4xx gövdeleri (422 doğrulama, 401) bilinçli iş yanıtıdır ve zaten gövdede okunur.
+        // `/debug/` ucu gövdeyi her zaman, `/m/` ve servis önizlemesi ise uiActions kurulmuşsa
+        // `{ data, uiActions[, executionItems] }` ile sarar (MicroservicesController.Debug / HandleResult).
+        const raw = record.body && typeof record.body === 'object' && !Array.isArray(record.body) ? record.body : undefined;
+        const wrapped = raw !== undefined && ('executionItems' in raw || 'uiActions' in raw) && raw.data && typeof raw.data === 'object' && !Array.isArray(raw.data);
+        const errorBody = wrapped ? raw.data : raw;
+        const describable = record.httpStatus >= 500 && errorBody !== undefined &&
+            (typeof errorBody.code === 'string' || Boolean(errorBody.step && typeof errorBody.step === 'object') || Boolean(errorBody.cause && typeof errorBody.cause === 'object'));
+        const fragments = describable ? describeErrorBody(errorBody) : [];
+        if (fragments.length > 0)
+            errors.push(`hata gövdesi — ${fragments.join(' · ')}`);
     }
     const stepErrors = [];
     collectStepErrors(body.steps, stepErrors);

package/dist/resources/examples/function-total.json

@@ -10,7 +10,8 @@
     "scope": "Yalnız source:'studio'. application: her sayfada (tarayıcı). page: yalnız o sayfanın tarayıcı bağlamında, pageId zorunlu. Ad uygulama içinde kapsamlar arası benzersizdir (K3); workflow adı tenant içinde benzersizdir. Aynı ad iki kaynakta yan yana olabilir.",
     "isAsync": "Yalnız studio'da anlamlı; false bırakın: true olsaydı {{ }} bağlaması '[object Promise]' çizerdi. await gerekmeyen gövdede isAsync:true FN-004 uyarısı alır. workflow kaynağında true FN-004 block (motor senkron).",
     "naming": "Ad JS tanımlayıcısı; ayrılmış sözcük olamaz. studio'da 'Functions' yasak (FN-001, block); workflow'da motor global adları (system, input, Now, crypto…) yasak (FN-001, block). Uygulama fonksiyonunda sayfaya özgü ad (komponent adı, state.page), workflow fonksiyonunda adım adı kullanmayın — çağrıldığı yerde yoksa 'X is not defined'.",
-    "source": "workflow: SUNUCU, tenant geneli, applicationId/scope/pageId VERİLMEZ, isAsync olamaz, çıplak adla çağrılır. studio: TARAYICI, applicationId + scope zorunlu (application: her sayfada; page: yalnız o sayfa, pageId zorunlu), Functions.<ad>() ile çağrılır. Kaynak sonradan değişmez; sunucu ifadesinde Functions.<ad>( → WF-030 block."
+    "source": "workflow: SUNUCU, tenant geneli, applicationId/scope/pageId VERİLMEZ, isAsync olamaz, çıplak adla çağrılır. studio: TARAYICI, applicationId + scope zorunlu (application: her sayfada; page: yalnız o sayfa, pageId zorunlu), Functions.<ad>() ile çağrılır. Kaynak sonradan değişmez; sunucu ifadesinde Functions.<ad>( → WF-030 block.",
+    "update": "function_update TAM gövde PUT'lar ama gateway mevcut kaydı okuyup vermediğin alanları oradan doldurur: gövdeyi değiştirmek için { functionId, body } yeter — ayrı bir patch aracı YOKTUR, fonksiyonun tek büyük alanı gövdedir. source/applicationId/scope/pageId DEĞİŞMEZ. Yanıt dependents (kullanan flow/workflow adları) ve signatureChange (ad ya da parametre ad/sırası) taşır; ikisi de doluysa warnings çağıranların etkileneceğini söyler ve güncelleme YİNE yapılır (K12). Adı değiştirirsen platform çağıranları aynı işlemde yeni ada taşır ve renamedReferences kaç kaydın yazıldığını söyler."
   },
   "functionCreateArgs": {
     "source": "studio",
@@ -55,6 +56,10 @@
     ],
     "body": "return fiyat * adet;"
   },
+  "functionUpdateArgs": {
+    "functionId": "<function_list id>",
+    "body": "return fiyat * adet * 1.2;"
+  },
   "usage": {
     "propBinding": {
       "op": "set_binding",