@appaflytech/zeyrek-ai-mcp 0.0.22 → 0.0.24

package/dist/platform/tokenVault.js

@@ -1,5 +1,8 @@
 import { PlatformApiError } from './errors.js';
 import { randomBytes } from 'node:crypto';
+import { mkdirSync, readFileSync, renameSync, writeFileSync } from 'node:fs';
+import { dirname, join } from 'node:path';
+import { logStep } from '../observability/trace.js';
 /**
  * `page_screenshot`/`page_runtime_get` açıklaması "jetonu uygulamanın kendi giriş ucundan alın
  * (`microservice_execute`)" diyor, ama gizli alan maskesi `access_token`'ı `***` yapıyor ve o yol
@@ -9,10 +12,19 @@ import { randomBytes } from 'node:crypto';
  * Kasa bu çelişkiyi jetonu bağlama HİÇ sokmadan çözer: maskelenen JWT gateway sürecinde tutulur,
  * yanıta yalnız kısa ömürlü bir referans (`tok_…`) döner ve kimlik isteyen tool'lar referansı
  * çözer. Jeton ne yanıtta ne günlükte açık görünür.
+ *
+ * g-09 (`plans/mobil-plantcare-acigi`, K9): kasa süreç sınırını aşar. `.env` `MCP_STATE_DIR`
+ * verilmişse kayıtlar `token-vault.json`'a (0600) yazılır ve süreç açılışta onu okur; süre
+ * `MCP_TOKEN_TTL_MINUTES`'tan gelir (verilmezse eski 15 dk). Dosya YALNIZ lokal hedefte yazılır —
+ * uzak bir org'un jetonu diske inmez. Test kullanıcısının (`asUser: 'test:<ad>'`) jetonu da burada,
+ * etiketiyle tutulur; aynı kullanıcı TTL boyunca yeniden giriş yapmaz.
  */
-const ttlMs = 15 * 60 * 1000;
+const legacyTtlMinutes = 15;
 const maxEntries = 64;
 const vault = new Map();
+let ttlMs = legacyTtlMinutes * 60 * 1000;
+let vaultFile;
+let warnedRemote = false;
 export const tokenRefPattern = /^tok_[0-9a-f]{16}$/;
 /** Üç base64url parçalı JWT — parola ya da API anahtarı bu şekle uymaz. */
 export function looksLikeJwt(value) {
@@ -30,29 +42,132 @@ function sweep(now) {
         vault.delete(oldest.value);
     }
 }
-export function rememberToken(token) {
+function isLocalTarget(baseUrl) {
+    try {
+        const host = new URL(baseUrl).hostname;
+        return host === 'localhost' || host === '127.0.0.1' || host === '[::1]' || host.endsWith('.localhost');
+    }
+    catch {
+        return false;
+    }
+}
+/**
+ * Aynı dosyayı birden çok gateway süreci paylaşır (her Claude Code oturumu kendi stdio sürecini açar).
+ * Yazma "son yazan kazanır" olursa bir sürecin kaydı ötekinin yazmasıyla silinirdi: yazmadan önce ve
+ * bellekte olmayan referans istenince dosya okunur, süresi dolmamış yabancı kayıtlar belleğe katılır.
+ */
+function mergeFromFile() {
+    if (!vaultFile)
+        return;
+    try {
+        const stored = JSON.parse(readFileSync(vaultFile, 'utf8'));
+        const now = Date.now();
+        for (const [ref, entry] of Object.entries(stored.entries ?? {})) {
+            if (!vault.has(ref) && tokenRefPattern.test(ref) && typeof entry.token === 'string' && typeof entry.expires === 'number' && entry.expires > now) {
+                vault.set(ref, { token: entry.token, expires: entry.expires, ...(typeof entry.label === 'string' ? { label: entry.label } : {}) });
+            }
+        }
+    }
+    catch {
+        // dosya yok ya da okunamadı: bellekteki kasa geçerli
+    }
+}
+function persist() {
+    if (!vaultFile)
+        return;
+    mergeFromFile();
+    sweep(Date.now());
+    try {
+        const temporary = `${vaultFile}.${process.pid}.tmp`;
+        mkdirSync(dirname(vaultFile), { recursive: true, mode: 0o700 });
+        writeFileSync(temporary, JSON.stringify({ entries: Object.fromEntries(vault) }), { mode: 0o600 });
+        renameSync(temporary, vaultFile);
+    }
+    catch (error) {
+        logStep('jeton kasası ✕', `kasa dosyası yazılamadı (${vaultFile}) — jetonlar bu süreçte bellekte kalır`, [error instanceof Error ? error.message : String(error)]);
+    }
+}
+/**
+ * Süreç açılışında bir kez çağrılır (`index.ts`); testler yeniden başlamayı `clearTokenVault` +
+ * bu çağrıyla benzetir. Dosyadaki süresi dolmuş kayıtlar yüklenmez ve dosya onlarsız yeniden yazılır.
+ */
+export function configureTokenVault(config) {
+    ttlMs = (config.tokenTtlMinutes ?? legacyTtlMinutes) * 60 * 1000;
+    vaultFile = undefined;
+    if (!config.stateDirectory)
+        return;
+    if (!isLocalTarget(config.orgApiBaseUrl)) {
+        if (!warnedRemote) {
+            warnedRemote = true;
+            logStep('jeton kasası', `ORG_API_BASE_URL lokal değil — kasa dosyaya YAZILMAZ, jetonlar yalnız süreç belleğinde tutulur (MCP_STATE_DIR yok sayıldı)`);
+        }
+        return;
+    }
+    vaultFile = join(config.stateDirectory, 'token-vault.json');
+    persist();
+}
+/** Kasanın geçerli ömrü (dakika) — yanıt notları sabit bir süre yazmasın. */
+export const tokenTtlMinutes = () => Math.round(ttlMs / 60000);
+export function rememberToken(token, label) {
     const now = Date.now();
     sweep(now);
     for (const [ref, entry] of vault) {
         if (entry.token === token) {
             entry.expires = now + ttlMs;
+            if (label !== undefined)
+                entry.label = label;
+            persist();
             return ref;
         }
     }
     const ref = `tok_${randomBytes(8).toString('hex')}`;
-    vault.set(ref, { token, expires: now + ttlMs });
+    vault.set(ref, { token, expires: now + ttlMs, ...(label !== undefined ? { label } : {}) });
+    persist();
     return ref;
 }
 export function resolveToken(reference) {
+    if (!vault.has(reference))
+        mergeFromFile();
     const entry = vault.get(reference);
     if (!entry)
         return undefined;
     if (entry.expires <= Date.now()) {
         vault.delete(reference);
+        persist();
         return undefined;
     }
     return entry.token;
 }
+/**
+ * Jetonun kendi süresi (`exp`) kasanın TTL'inden kısa olabilir: uygulamanın jetonu 15 dk yaşarken kasa
+ * 60 dk tutuyordu ve süresi dolmuş jetonla çekilen kare sessizce çıkış yapmış sayfayı gösterirdi.
+ * 30 sn pay bırakılır; `exp` okunamayan jeton geçerli sayılır (karar uygulamanındır).
+ */
+const jwtExpired = (token) => {
+    try {
+        const payload = JSON.parse(Buffer.from(token.split('.')[1] ?? '', 'base64url').toString('utf8'));
+        return typeof payload.exp === 'number' && payload.exp * 1000 <= Date.now() + 30_000;
+    }
+    catch {
+        return false;
+    }
+};
+function labeledToken(label) {
+    const find = () => {
+        const now = Date.now();
+        for (const entry of vault.values()) {
+            if (entry.label === label && entry.expires > now && !jwtExpired(entry.token))
+                return entry.token;
+        }
+        return undefined;
+    };
+    const found = find();
+    if (found || !vaultFile)
+        return found;
+    mergeFromFile();
+    return find();
+}
+/** Bellekteki kasayı boşaltır (süreç yeniden başlamasının benzetimi); dosyaya dokunmaz. */
 export function clearTokenVault() {
     vault.clear();
 }
@@ -66,8 +181,76 @@ export function resolveIdentityToken(value) {
         return value;
     const token = resolveToken(value);
     if (token === undefined) {
-        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (15 dk). Uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
+        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (${Math.round(ttlMs / 60000)} dk). Tercih edilen yol asUser: 'test:<ad>' — gateway kök .env'deki test kullanıcısıyla kendisi giriş yapar. Yoksa uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
+    }
+    return token;
+}
+/**
+ * Giriş yanıtındaki erişim jetonu: yanıt birden çok JWT taşıyabilir (erişim + yenileme). Anahtarı
+ * `access` içeren önce, sonra `refresh` içermeyen, en son ilk bulunan — yenileme jetonuyla istek atmak
+ * her uçta 401 demekti.
+ */
+function accessJwt(value) {
+    const found = [];
+    const collect = (node, key, depth) => {
+        if (depth > 12)
+            return;
+        if (looksLikeJwt(node)) {
+            found.push({ key, token: node });
+            return;
+        }
+        if (Array.isArray(node))
+            node.forEach(entry => collect(entry, key, depth + 1));
+        else if (node && typeof node === 'object')
+            Object.entries(node).forEach(([name, entry]) => collect(entry, name, depth + 1));
+    };
+    collect(value, '', 0);
+    return (found.find(entry => /access/i.test(entry.key)) ?? found.find(entry => !/refresh/i.test(entry.key)) ?? found[0])?.token;
+}
+/**
+ * g-09: `asUser` üç şekil alır — ham JWT, `tok_…` referansı ve `test:<ad>`. Üçüncüsünde gateway kök
+ * `.env`'deki `MCP_TEST_USER_<AD>` satırının tarif ettiği giriş ucunu (uygulamanın kendi uç'u)
+ * anonim çağırır, yanıttaki ilk JWT'yi kasaya etiketiyle koyar ve TTL boyunca yeniden kullanır.
+ * Parola ne yanıta, ne günlüğe (`hideRequestBody`), ne hata metnine girer; satırın değeri hiçbir
+ * mesajda gösterilmez. AI `.env`'i düzenlemez: tanımsız kullanıcı, insanın ekleyeceği değişkenin
+ * adıyla reddedilir.
+ */
+export async function resolveIdentity(value, platform, project, environment) {
+    if (value === undefined || !value.startsWith('test:'))
+        return resolveIdentityToken(value);
+    const name = value.slice('test:'.length).trim().toLowerCase();
+    const variable = `MCP_TEST_USER_${name.toUpperCase()}`;
+    const label = `test:${name}@${platform.resolveProject(project)}/${environment ?? platform.config.defaultEnvironment}`;
+    const cached = labeledToken(label);
+    if (cached)
+        return cached;
+    const raw = platform.config.testUsers[name];
+    if (!raw) {
+        const defined = Object.keys(platform.config.testUsers);
+        throw new PlatformApiError(`Test kullanıcısı '${name}' tanımlı değil. Kök .env'e insan ekler: ${variable}={"application":"<uygulama slug>","microservice":"<giriş ucu slug>","body":{…giriş gövdesi…}} (biçim: docs/ortam.md §Test kullanıcıları); gateway yeniden başlatılır. AI .env'i düzenlemez. Tanımlı olanlar: ${defined.length > 0 ? defined.join(', ') : '(yok)'}.`, 400);
+    }
+    let login;
+    try {
+        login = JSON.parse(raw);
+    }
+    catch {
+        throw new PlatformApiError(`${variable} JSON olarak okunamadı (değer gösterilmez). Biçim: {"application":"…","microservice":"…","body":{…}} — docs/ortam.md §Test kullanıcıları.`, 400);
+    }
+    if (typeof login.application !== 'string' || typeof login.microservice !== 'string') {
+        throw new PlatformApiError(`${variable} 'application' ve 'microservice' alanlarını taşımalı (değer gösterilmez) — docs/ortam.md §Test kullanıcıları.`, 400);
+    }
+    const endpoint = `${login.application}/${login.microservice}`;
+    const response = await platform.tenantRaw(typeof login.method === 'string' ? login.method : 'POST', project, `/m/${endpoint}`, {
+        environment,
+        body: login.body,
+        anonymous: true,
+        hideRequestBody: true
+    });
+    const token = accessJwt(response.body);
+    if (!token) {
+        throw new PlatformApiError(`Test kullanıcısı '${name}' girişi jeton döndürmedi: ${endpoint} HTTP ${response.httpStatus}. Kök .env'deki ${variable} satırını (uç ve gövde) ve kullanıcının uygulamada var olduğunu kontrol edin; gövde ve kimlik bilgisi gösterilmez.`, 400);
     }
+    rememberToken(token, label);
     return token;
 }
 /**

package/dist/resources/guides/expressions.md

@@ -99,7 +99,7 @@ dalından devam eder.
 | **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` hem prop'u yazar hem UI'ı günceller (change event). Addaki `-` silinir: `tickets-table` → `ticketstable` |
 | `state.page` / `state.app` | Kalıcı state (oku/yaz): `state.page.selectedId = row.id`. **Tanımlı değişkenler de buradadır:** `variable_create` ile yazılan her `key` sayfa düzeyinde `state.page.<key>`, uygulama düzeyinde `state.app.<key>` olur; `value` nesneyse alanlarına inilir (`state.page.MyTest.isActive`) |
 | `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası — ama YALNIZ HTTP durum metnidir (401 için `'Unauthorized'`), ucun mesajı değil. `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ama **YAPIŞKANDIR**: storage sayfa başına tek `FlowMachine`'de yaşar ve `'error'` anahtarı hiç temizlenmez, yani ilk hatadan sonra o sayfadaki her akışta dolu kalır — normal akışta `Steps.error` okuyan bir ifade bayat hatayı görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse aynı alan ucun hata gövdesini taşır; aşağıdaki kutuya bakın |
-| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak satırı günceller) |
+| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak YALNIZ o satırı günceller). Satır AKIŞINDA (satırdaki düğümün olayı) ARC-121 düzeltmesini (2026-09-27) taşıyan runtime gerekir, eskisinde boştu — sürümden bağımsız yol `<liste>.selectedItem` / `.selectedIndex`. Tekrarlayıcının KENDİ `change`/`select` akışında satır bağlamı yoktur. `item.x = …` yazımı tekrarlayıcının `change` olayı olarak iletilir: `change`'e bağlı akış her yazımda koşar, o akış da `item`'a yazarsa döngü olur |
 | `event` | `{name, data, source: {id, props}}` |
 | `cookie` | `cookie.get(name)` / `cookie.set(name, value, {expiresInHours, path})` / `cookie.remove(name)` — tarayıcı cookie'si |
 | `setComponentProperty(name, key, value)` / `getComponentProperty(name, key)` | fonksiyon alternatifi |

package/dist/resources/guides/microservice.md

@@ -242,9 +242,16 @@ DTO'dan süzülmez (WF-026 — `platform_guide('workflow')` §Hata yolu). Sözle
 - **Operatör sözlüğü kapalıdır:** `eq · neq · lt · lte · gt · gte · contains · icontains ·
   in · notin · startswith · endswith · istartswith · iendswith · isnull · isnotnull`.
   **`like` YOKTUR** — metin
-  araması `contains`/`icontains` iledir. Kritik tuzak: platform bilinmeyen operatörü 400 ile
+  araması `contains`/`icontains` iledir. Kritik tuzak: eski backend bilinmeyen operatörü 400 ile
   reddetmez, **sessizce `eq`'e düşürür** (enum çözümlemesi unknown'da default'a düşer) — uç
-  testten geçer ama arama hiçbir şey döndürmez. Gateway MS-012/WF-015 bunu istek gitmeden keser.
+  testten geçer ama yanlış sonuç döner (koşuda `ne` böyle geçti). 2026-09-27'den sonraki backend
+  uç çağrısının `filters` parametresinde (JSON dizisi) 400 verir; workflow tablo adımının filtresi
+  hâlâ sessizce `eq`'e düşer. Ad büyük/küçük harfe duyarlıdır: `NEQ` geçersizdir. Gateway her iki
+  sürümde istek gitmeden keser: uç tanımında ve
+  workflow tablo adımında MS-012/WF-015 (blok), çalışma anında `row_list` / `row_export` filtresinde ve
+  `microservice_execute` / `microservice_debug`'ın `filters` parametresinde hata — sık yanlışlara öneriyle
+  (`ne`/`!=` → `neq`, `like` → `contains`, `=` → `eq`). Studio'nun filtre ARAYÜZÜNDEKİ adlar
+  (`notContains`, `between`…) ayrı bir sözlüktür; arayüz onları bu işleçlere çevirir.
 - **Write operasyonunda (`create`/`update`) yanıt yalnız primary key'dir** — platform sonucu
   PK'ya indirger ve `selectFields`'ı kaydederken sessizce boşaltır. Yanıtın başka alan da
   dönmesi gerekiyorsa **`returnFields`** kullanılır (öğeler `selectFields` ile aynı şekildedir:

package/dist/resources/guides/middleware.md

@@ -57,7 +57,11 @@ cevabı adımın ifadesinde gizlidir. Ayrıntı ve yazım ölçütü: `platform_
    Gateway `set-user` adımı olmadan `user` okuyan middleware'i **MW-003** ile uyarır.
 4. **`input` YOKTUR.** Middleware girdisini HTTP bağlamından okur: `cookie`, `header`,
    `queryString`, `body`, `triggerSource` (hangi microservice/sayfa tetikledi: type, name,
-   slug, roles, impersonatedUserId). Hazır fonksiyonlar: `system.validateToken(...)`,
+   slug, roles, impersonatedUserId). `impersonatedUserId` ve start adımının `impersonation`
+   dalı yalnız Studio önizlemesindeki doğrulanmış platform kullanıcısı için dolar; anonim ya da
+   yetkisiz istekte başlık platformda silinir. `impersonation` dalı bağlı değilse start
+   `success`'e düşer — uygulamanın kendi auth yolu koşar (ZM-22, 2026-09-26). Hazır
+   fonksiyonlar: `system.validateToken(...)`,
    `system.generateToken(...)`, `crypto.JWT.encode/validate`, `Authorized(user.roles)`,
    `request.url.searchParams`, `GenerateGuid()`, `UtcNow()`, `system.getPageUrl(slug)` —
    **tam sözlük ve gerçek örnekler: `platform_guide('expressions')`**.

package/dist/resources/guides/mobile.md

@@ -37,7 +37,7 @@ Mobil uygulamanın bileşen kataloğu ayrıdır (backend satırları `(slug, typ
 mobil farkları: düşen prop, değişen etkileşim, mobile özgü prop notları) ve `mobileNotes` (bütün
 mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`app-bar`, `safe-area`,
 `scroll-view`, `choice-chips`, `tooltip`, `markdown`, `calendar`, `stack`, `list-item`, `fab`, `timer`,
-`audio`, `lottie`, `webview`) bilgi yalnız `mobileKnowledge`'tadır. Olay yükleri
+`audio`, `lottie`, `webview`, `map`, `grouped-list`, `floating-container`) bilgi yalnız `mobileKnowledge`'tadır. Olay yükleri
 (`events[].payload`) önce mobile özgü sözleşmeden okunur (`app-bar.clickAction`, `repeater.swipe`,
 `choice-chips.change`…), yoksa web'inkinden.
 
@@ -46,7 +46,7 @@ mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`ap
   olup mobilde henüz olmayan için ne zaman geleceğini söyler (Dalga 2, Faz 3).
 - **Katalog A** (FlutterFlow paritesi, 2026-09-24) on bileşen ekledi: `badge`, `avatar`, `progress`,
   `radio`, `checkboxgroup`, `choice-chips`, `collapsible-container`, `slider`, `tabs`, `tooltip`;
-  `button` mobilde `secondary`/`ghost`/`link` varyantlarını ve `icon` boyunu alır. Tam liste
+  `button` mobilde `secondary`/`ghost`/`link`/`tonal` varyantlarını ve `icon` boyunu alır. Tam liste
   `component_list`'tir.
 - **Katalog B** (FlutterFlow paritesi) önce dört prop'la başladı; hepsi YALNIZ mobil şemadadır:
   `scroll-view.stickyHeader` (ilk çocuk dikey kaydırmada üstte kalır), `numberinput.variant: stepper`
@@ -74,11 +74,42 @@ mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`ap
   İkisinde çalma `isPlaying` prop'udur: akış `true`/`false` yazar, bileşen `play`/`pause`/`ended` ya da
   `finish` olayında `{ isPlaying }` yayar ve prop'u gerçeğe döndürür.
   İkinci adım: `signature` web ikizidir (her vuruşta `change { value }` PNG data URL; vuruş sürerken sayfa
-  kaymaz; iOS'ta itilmiş sayfada sağa vuruş sayfayı kapatır, ARC-116) ve `webview` mobile özgüdür (web
+  kaymaz; iOS 26'da itilmiş sayfada sağa vuruş sayfayı kapatır — platformun geri jesti) ve `webview` mobile özgüdür (web
   `iframe`inin karşılığı): `src` ya da `html`; yüklemeden sonra başka belgeye giden gezinme varsayılan olarak
   engellenir ve `navigate { url }` yayar, adres yalnız kullanıcının dokunduğu bağlantıda sistem tarayıcısında
   açılır (`allowNavigation` görünümde açar); sayfa akışa `window.ReactNativeWebView.postMessage(metin)` →
   `message { data }` ile yazar, yüklenemeyen sayfa `error` yayar.
+  Üçüncü adım: `chart` web ikizidir — seçenek ve olay eşlemesi web'in modülünden gelir, iki platform aynı
+  ECharts seçeneğini çizer (cihazda SVG); dışa aktarma, tip değiştirici, yenile ve kırıntı araç çubuğu
+  düşer. `map` mobile özgüdür (cihazda Apple/Google Haritalar, kanvas ve önizlemede Leaflet +
+  OpenStreetMap): görünüm `latitude`/`longitude`/`zoom` sayılarıdır ve akış yazınca harita oraya gider;
+  kullanıcı haritayı hareket ettirince `regionChange { latitude, longitude, zoom }` düğüme geri yazılır,
+  işaretçiye dokunmak `markerClick { markerId }` yayar.
+  Dördüncü adım: `datepicker`, `timepicker` ve `datetimepicker` web ikizleridir — kutuya dokununca cihazda
+  işletim sisteminin seçicisi (iOS alttan açılan sayfa, seçim Tamam'la yazılır; Android iletişim kutusu),
+  önizlemede tarayıcının seçicisi açılır; değer ve `change` yükü web ile aynıdır. Sistem seçicisi tek tek
+  saati kapatamadığı için `minTime`/`maxTime`/`disabledTimes` dışındaki seçim izinli en yakın saate yaslanır;
+  `datetimepicker` tek kutudur (`timePlaceholder` yok). `page_screenshot` `set` kökte değil
+  `<elementId>__input`ta, HTML biçimiyle çalışır (`2026-08-01`, `09:30`, `2026-08-01T09:30`). Tasarım takvim
+  istiyorsa (Pazartesi başlangıcı, "Bugün / Dün" çipleri, `24.09.2026`): `datepicker` `presentation: calendar` +
+  `quickPicks` + `displayFormat`; aralık için `daterangepicker` (web ikizi, `valueFrom`/`valueTo`, hep takvim
+  sayfası). `fileInput` ve `filebutton` de web ikizidir:
+  değer web gibi base64 veri URL'sidir — bileşen kendisi yüklemez, kayda Table microservice'in FILE
+  parametresiyle yazılır (§Dosya ve fotoğraf); tür/boyut/adet kapısı ve uyarılar web kuralı.
+  Seçiciyi mobile özgü `source` seçer — `files` (belge seçici), `library` (fotoğraf arşivi), `camera`,
+  `ask` (her seferinde sorar; `filebutton`'ın varsayılanı); fotoğraflar `maxImageDimension` (varsayılan
+  1600 px uzun kenar) ile küçültülüp `quality` ile sıkıştırılır ve iOS'ta HEIC JPEG'e çevrilir.
+  Önizlemede tarayıcının dosya penceresi açılır (kanvasta alan kilitli); kırpma yoktur.
+- **Liste ve sabit konum** (2026-09-26): `grouped-list` (başlıklı gruplu liste — §Güne göre görev
+  listesi) ve `floating-container` (ekranın 9 noktasından birine sabit kap — §Ekrana sabit içerik)
+  mobile özgüdür. `scroll-view`'de ilk çocuk dışındaki doğrudan çocuklar `states.isSticky: true` ile
+  kaydırırken üstte kalır (Studio panelinde alanı yok; şemaya MCP yazar).
+- **Faz 10** (FlutterFlow D listesi): `datatable` web ikizidir — kolon biçimi, sıralama ve sayfa hesabı web'in
+  modülünden, akış sözleşmesi aynı (sıralama/sayfa değişince `sortField`/`sortType`/`offset` düğüme yazılır ve
+  `mount` yeniden koşar; satır eylemi `selectedRow`u yazıp eylemin akışını koşturur). Mobile özgü `variant`:
+  `table` (varsayılan, yatay kaydırılan tablo; başlığa dokunuş `__sort-<kolon>`) ya da `cards` (satır başına
+  kart). Eylemler `__action-<satır>-<sıra>`, `dropdown` kipinde `__more-<satır>` → alttan eylem sayfası;
+  sayfa çubuğu `__page-prev`/`__page-next`. Filtre düzenleyicisi, özet satırı ve sabit eylem sütunu yok.
 - Web'e özgü bileşenlerin mobil karşılığı:
 
 | Web | Mobilde |
@@ -89,9 +120,124 @@ mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`ap
 | `breadcrumb` | yığın gezinmesi (app-bar geri düğmesi) |
 | `iframe` | `webview` (`src` ya da `html`) |
 | `theme-toggle` | cihaz teması |
+| `fileUpload` | `fileInput` (alan) ya da `filebutton` (düğme) — sürükle-bırak yok |
 
 **Harici bileşen mobilde yoktur** (`MOB-006`): protokol v1 tarayıcı `.mjs` paketidir;
-`external_component_*` araçları mobil uygulamada platforma gitmez.
+`external_component_*` araçları mobil uygulamada platforma gitmez. **Geçici yol `html`** (2026-09-28):
+katalogda karşılığı olmayan küçük görünüm (özel rozet, SVG, biçimli metin) `html` ile konur — içerik
+kendi korumalı belgesinde çizilir (uygulamanın çerezine/jetonuna ulaşamaz), tema `:root` değişkeni
+olarak gelir (`hsl(var(--primary))`, `var(--ng-…)`), boy içeriğe göre ayarlanır, bağlantı sistem
+tarayıcısında açılır. Akışla iki yön: belgede `fireEvent(key, data)` → `actions` satırının akışı,
+`window.ngApps.emit(name, data)` → `message` olayı (`event.name`/`event.data`); akışın `message`
+prop'una yazdığı değer belgede `window.ngApps.on(name, fn)` ile alınır. Aynı köprü `webview`de de var.
+- **Etkileşim yüzeyleri** (2026-09-27): bileşik kart `container` + `click` ile kurulur (mobile-only olay;
+  bağlıysa kap runtime'da basılır, içteki düğme kabın `click`ini tetiklemez) — `card` çocuk almaz.
+  `button` ikonu (`icon` + `iconPosition: left|right|top`) ve rozeti (`badgeValue`, `'•'` nokta) çizer;
+  `iconPosition: top` + `heightType: fixed` + `variant: tonal` dikey hızlı eylem karosudur. `size: icon`
+  yalnız glif çizer: `ariaLabel` verin (MOB-013). `icon` `click`/`href` ile basılır, `isDisabled` soldurur.
+  `modal`/`drawer` `actions` düğme satırı çizer (`action` olayı, `currentItem`; `type: submit` formu
+  gönderir). Dış bağlantı (`href`) sistem tarayıcısında açılır; uygulama içi yol akışın `redirect`'idir.
+
+## Dosya ve fotoğraf
+
+"Fotoğraf çek → kaydet → listede göster" üç parçadır; yükleme ucu yoktur, dosya kaydın yazıldığı
+istekle gider.
+
+1. **Tablo.** Entity'ye `dbType: 'FILE'` + `commonType: 'file'` alanı (ör. `foto`; tekil dosya,
+   `relationId` verilmez — `platform_guide('entity')`).
+2. **Yazma ucu.** Table microservice `operation: 'create'` (ya da `upsert`); `fields`'ta alanı
+   `{ fieldSlug: 'foto' }` ile listeleyin. Uç gövdede alanın slug'ıyla `type: 'file'` bir parametre
+   bekler ve değeri `{ type, value, fileName }` biçiminde okur (`TableFileParameter`): `type: 'file'`
+   base64'ü depoya yazar ve kayda dosya kimliğini koyar, `type: 'ref'` var olan dosyayı (`value` =
+   dosya id'si) bağlar, `value: null` alanı boşaltır. Dosya alanının DEĞERİ bu biçimdedir — dönüştürmeyin.
+3. **Form sayfası.** `fileInput` (`source: 'camera' | 'library' | 'ask'`) ya da `filebutton` + kaydet
+   düğmesi. Düğmenin akışında `microservice` adımı, parametre alanın değerini olduğu gibi taşır:
+
+   ```json
+   { "name": "foto", "type": "file", "source": "body",
+     "value": { "type": "property", "ref": { "element": "foto_in", "property": "value" } } }
+   ```
+
+   Base64 gövdeyle gider: fotoğraflar istemcide `maxImageDimension` (1600 px) ile küçültülür,
+   `maxFileSizeMb` mobilde varsayılan 10'dur — ikisini de sıfırlamayın. Kamera izni reddedilirse alan
+   Ayarlar'a yönlendiren bir uyarı gösterir.
+4. **Liste.** `get` ucu FILE alanını `{ id, type: 'ref', value: <dosya id>, absolute_path: <url>,
+   fileName }` olarak döndürür. `image.src`, `avatar.src`, `card.image`, `list-item.leadingImage`'a
+   **nesnenin kendisini** verin: `{ "type": "code", "ref": "{{ item.foto }}" }` (`.absolute_path` da
+   çalışır). `{{ item.foto.value }}` dosya **kimliğidir** (GUID), görsel çizilmez — `MOB-011` uyarır.
+   Gateway alan tipini şemadan bilemediği için uyarı metinseldir: `.value` ile biten en az üç parçalı
+   yol (`urlInput.value` gibi bileşen değeri ve `fileInput1.value.value` uyarı almaz).
+
+Workflow'un dosya yükleme adımı yalnız `{ id }` döndürür (URL yok); görsel adresi kaydı okuyan uçtan
+gelir. `page_screenshot` ile listede görseli doğrulayın.
+
+## Güne göre görev listesi
+
+Başlıklar altında gruplanmış liste (güne, odaya, kategoriye göre) **tek `grouped-list`** ile kurulur.
+İç içe repeater `PAGE-013` ile reddedilir; `textarea` hilesi de gerekmez — liste düz satır dizisidir,
+bölümleri bileşen render anında çıkarır.
+
+1. **Veri.** Düz satırlar (ör. `q_tasks` sorgusu: `title`, `dueDate`, `done`). Sıralama sorguda
+   değil bileşende: `sectionOrder` `asc` (varsayılan) · `desc` · `asis`.
+2. **Düğüm.** `rows: { type: 'code', ref: '{{ q_tasks.data }}' }`, `groupBy: 'dueDate'` (noktalı yol
+   olabilir: `plant.room`). Tarih/saat değeri cihazın yerel gününe (`2026-09-26`) indirgenir; alanı
+   boş satırlar en sonda `otherSectionTitle` (varsayılan `Other`) bölümündedir.
+3. **Çocuklar konumsaldır:** çocuk 0 bölüm başlığı, çocuk 1 öğe şablonu; fazlası çizilmez.
+
+   ```json
+   { "elementId": "tasks", "name": "tasks", "type": "grouped-list",
+     "props": { "rows": { "type": "code", "ref": "{{ q_tasks.data }}" },
+                "groupBy": { "type": "static", "data": "dueDate" },
+                "itemPressable": { "type": "static", "data": true } },
+     "children": [
+       { "elementId": "day_title", "name": "day_title", "type": "text",
+         "props": { "content": { "type": "code", "ref": "{{ Section.title }} · {{ Section.count }}" } } },
+       { "elementId": "task_row", "name": "task_row", "type": "container", "props": {},
+         "children": [ { "elementId": "task_title", "name": "task_title", "type": "text",
+           "props": { "content": { "type": "code", "ref": "{{ item.title }}" } } } ] } ] }
+   ```
+
+   Başlık `Section` okur (`{ key, title, count, items }`), satır kapsamı taşımaz; bölüm dışında
+   `Section` boş nesnedir (`Row` gibi). Öğe repeater satırıyla aynıdır: `Row`, `RowIndex`,
+   `{{ item.<alan> }}`; akışta tıklanan satır `tasks.selectedItem`. Şablon çocukları setter hedefi
+   değildir — satır dışına (sayfadaki bir metne, modala) yazın.
+4. **Olaylar.** `itemPress { index, row }` (yalnız `itemPressable`; öğe şablonu `list-item`/`button`
+   ise dokunuş onun `click`'ine gider), `swipe { key, index, row }` (`swipeActions`),
+   `change { selectedIndex }`, `sectionPress` (yük `Section`). `index` `rows` içindeki DÜZ indekstir.
+5. **Yapışkan gün başlığı.** `stickySectionHeaders: true` + `appearance.heightType: 'fixed'` +
+   `heightString`. Sayfanın kendisi kaydırıcıdır; `auto` ya da `fill` liste içerik kadar uzar ve başlık
+   yapışmaz. Başlık kabına kendi zeminini verin.
+
+## Ekrana sabit içerik — FAB, alt eylem çubuğu, üst şerit
+
+Mobil şemada `style.position`/`zIndex` yoktur (`MOB-002`); sayfa kayarken yerinde duran içerik iki
+bileşenle kurulur. İkisi de sayfanın neresine konursa konsun runtime'da ekran katmanına taşınır —
+düğümü sayfa kök kabının SONUNA koyun (akıştaki yeri boş kalır).
+
+- **Sağ alt tek düğme:** `fab` (`position: bottom-right | bottom-center | bottom-left`, `icon`,
+  `click`). Sekme çubuğu varsa onun üstünde, kenardan 16 dp.
+- **Alt eylem çubuğu / birden çok düğme / üst ya da orta çapa:** `floating-container`.
+  `anchor` 9 nokta (`top-left` … `bottom-right`, varsayılan `bottom-right`), `offsetX`/`offsetY` (dp,
+  varsayılan 16, çapalı kenardan içeri), `fullWidth` (alt/üst orta satırı kaplar; `offsetX` yok
+  sayılır), `respectSafeArea` (varsayılan açık). Alt eylem çubuğu:
+
+  ```json
+  { "elementId": "action_bar", "name": "action_bar", "type": "floating-container",
+    "props": { "anchor": { "type": "static", "data": "bottom-center" },
+               "fullWidth": { "type": "static", "data": true } },
+    "children": [ { "elementId": "bar", "name": "bar", "type": "container",
+      "props": { "direction": { "type": "static", "data": "row" } }, "children": [] } ] }
+  ```
+
+  Kabın kendi yüzeyi yoktur: zemin, köşe, gölge ve iç boşluk içerideki kaba (`surfaceStyle`) verilir.
+  Dip sekme çubuğunun tepesidir — `aboveTabBar` diye bir prop YOKTUR. App-bar sayfayla kayar; üst
+  çapalı kap app-bar'ın üstüne biner, sabit app-bar'ın altına `offsetY` ile inilir (ör. 72).
+- **Kaydırırken üstte kalan başlık:** `scroll-view` içinde ilk çocuk `stickyHeader: true`, diğer
+  doğrudan çocuklar düğüm durumu `states: { isSticky: true }` ile (yalnız dikey; kaydırıcıya `fixed`
+  boy verin). Sayfayı örten katman için `modal` / `drawer` widget'ı.
+
+`page_screenshot` (viewport karesi, `layoutReport: true`) sabit içeriğin çapalı noktada, sekme çubuğunun
+üstünde durduğunu gösterir; uzun sayfada içerik kabın altından akar.
 
 ## Yerleşim — yalnız flex
 
@@ -109,6 +255,9 @@ Mobil çizer 12 sütunlu ızgarayı **okumaz**: sıra dizi indeksidir, yerleşim
   alır (`container`, `form`, `safe-area`, `scroll-view`) ve akışları oranlı boyu doldurur; öteki
   bırakılabilir tipler, widget örneği, sayfa kökü ve `modal`/`drawer` almaz; `image` oranı kendi
   çizimine yazar.
+- `image` boyu: `heightType: 'fixed'` + `heightString` (`px`/`%`) ya da `'fill'` → görsel kabuğu doldurur
+  (`%` ve `fill`de 96 dp taban boyun altına inmez: atası içerik boyundaki kapta yüzde çözülmez); yoksa `aspectRatio` + `heightType: 'auto'` + belli genişlik → boy orandan; ikisi de yoksa 96 dp taban boy
+  ve MOB-012 bilgi satırı. Küçük resim için `widthType: 'fixed'` + `widthString` + oran `1` kullanın.
 - Hiza (`verticalAlign` `top | middle | bottom`, `horizontalAlign` `left | center | right`) web ile
   aynıdır. Dikey hizanın boşluğu kabın boyundan gelir: `heightType` `fill`, `fixed` ya da oranlı kapta
   akış kabın boyunu doldurur; boyu içerikten gelen sütun kapta dikey hiza etkisizdir (satır kapta farklı
@@ -121,7 +270,11 @@ Mobil çizer 12 sütunlu ızgarayı **okumaz**: sıra dizi indeksidir, yerleşim
 React Native'de CSS yoktur; tipli stil grupları **derlenir** (web'in `composeTypedStyle` ikizi,
 aynı katman sırası: tema taban → gruplar → serbest `style`).
 
-- `surfaceStyle` → zemin, köşe, kenarlık, gölge (tek katman), opaklık, taşma.
+- `surfaceStyle` → zemin, köşe, kenarlık, gölge (tek katman), opaklık, taşma; döndürme `rotate`
+  (derece), ölçek `scale` (yüzde, 100 aynı boy), kaydırma `translateX`/`translateY` (px). Sıra web
+  ile aynı (kaydır → döndür → ölçekle, köken merkez), düğüm çocuklarıyla döner. Değer birimsiz sayıdır
+  (`'15deg'` yazılmaz); aralık dışı (`rotate` ±360, `scale` 10–500, kaydırma ±1000) yazılmaz ve
+  `nativeStyle.warnings`'e düşer. Katman ve kabukta (`modal`, `drawer`, `app-bar`) bu dört alan yoktur.
 - `typographyStyle` → renk, aile (tek ad), punto, kalınlık, hizalama, satır yüksekliği.
 - Tema token'ları (`var(--ng-*)`) sayılara çözülür; proje teması değişince mobil de değişir.
 
@@ -130,10 +283,11 @@ aynı katman sırası: tema taban → gruplar → serbest `style`).
 | Alan | Yerine |
 |---|---|
 | `className` | `surfaceStyle` / `typographyStyle` |
-| serbest `style` nesnesi (alt seçici `&:hover`, `&__body`) | tipli gruplar; düz anahtarlar (ör. `padding`) çevrilir, alt seçici düşer |
+| serbest `style` nesnesi (alt seçici `&:hover`, `&__body`) | tipli gruplar; düz anahtarlar (ör. `padding`) çevrilir, alt seçici düşer. İstisna `html`: metin (ya da koda bağlı) `style` kendi belgesinin CSS'idir ve çizilir; statik nesne `style` orada da düşer |
 | `hoverStyle` | yok — dokunmatikte üzerine gelme durumu yoktur |
 | `tooltip`, `tooltipPosition` | düğümü `tooltip` bileşenine sarın (dokunuşla açılır, yanı `side`) ya da açıklamayı metin olarak koyun |
-| `zIndex` | katman için `modal` ya da `drawer` widget'ı |
+| `zIndex`, `style.position` | görsel üstüne bindirme (rozet, hap, tarih etiketi, açıklama bandı, arka plan görseli): `stack` — ilk çocuk taban, ötekiler üst katman; her köşe için `fill`×`fill` bir `container` katmanı kendi hizasıyla; görselin altına binen kart: kartın üst boşluğu negatif (`marginValues.top: -28`); ekrana sabit: `floating-container` / `fab`; yapışkan başlık: `scroll-view` çocuğunda `states.isSticky`; örten katman: `modal` / `drawer` (§Ekrana sabit içerik) |
+| `surfaceStyle`'ın tanımadığı alt anahtar (ör. CSS `transform` metni, `padding`) | grubun tipli alanları; döndürme/ölçek/kaydırma `rotate`, `scale`, `translateX`/`translateY` |
 
 Düğümün gerçek stilini görmek: `page_runtime_get({ applicationSlug, pageSlug, resolveStyles: true })`
 → her düğümde `nativeStyle: { shell, text, warnings }` (`shell` kutunun, `text` içine akan metnin
@@ -199,8 +353,8 @@ Mobil uygulama web ile **aynı sözlüğü ve aynı motoru** kullanır (plans/mo
 → `translation_update`. Kurulum ve fallback zinciri `platform_guide('translation')`.
 
 - **Dil değiştirici:** `language-selector` mobil katalogdadır (`component_get` → `mobileKnowledge`):
-  `dropdown`un tam ekran `Modal` listesi, tetikleyici `role="combobox"`, seçenekler dilin yerel adıyla
-  (`tr` → Türkçe). Seçim `machine.setLanguage` ile bütün prop'ları yerinde çözer ve cihazda uygulama
+  `dropdown`un listesi (az dilde alanın altında, çok dilde alt sayfada), tetikleyici `role="combobox"`,
+  seçenekler `displayMode`'a göre dilin yerel adıyla (`tr` → Türkçe), koduyla (`TR`) ya da ikisiyle. Seçim `machine.setLanguage` ile bütün prop'ları yerinde çözer ve cihazda uygulama
   çapında yayılır: öteki sekmelerin ekranları ve sekme etiketleri de değişir, makine yeniden kurulmaz.
 - **Cihazda boot sırası:** uygulama içi seçim → cihazda kayıtlı seçim (`zeyrek:<app>:lang`) → cihaz dili
   → projenin varsayılanı. `?lang` CİHAZDA YOKTUR; `/preview`'da vardır, bu yüzden `page_screenshot(language:)`
@@ -225,11 +379,12 @@ Motorun kendi adımları (`setter`, `condition`, `microservice`, `code`, `functi
 |---|---|
 | `redirect` | yığına iter (göreli yol) ya da dışarıda açar (tam adres) |
 | `navigate` | eski mobil şemaların adı — `redirect`'in takma adıdır; gateway `redirect`'e çevirir |
-| `alert` | tipli uyarı (`success`/`error`/`info`/`warning`) toast'tur ve beklemez; düz uyarı onay bekler |
+| `alert` | tipli uyarı (`success`/`error`/`info`/`warning`) toast'tur ve beklemez; düz uyarı onay bekler. Eylem düğmeli bildirim ("Silindi · Geri al") `alert`le kurulmaz: sayfaya bir `toast` bileşeni koyun (`actions: [{ text, flow }]`, gerekirse `keepOpen`), akış setter'la `isOpen: true` yazar; basış eylemin kendi akışını koşar (`actionClick { text, index }`) |
 | `confirm` | `yes` / `no` dalları |
 | `download` | adres cihazın açma sayfasında açılır, gövde paylaşım sayfasına gider (`MOB-005`, bilgi) |
 | `storage` | cihaz deposu |
 | `setcookie` | cihaz deposuna yazar (`MOB-005`, bilgi); paletten yalnız web'de sunulur |
+| `share` | RN paylaşım sayfası (metin + bağlantı; Android'de bağlantı metne eklenir, `title` iOS'ta e-posta konusu, Android'de seçici başlığı); akış `always` ile sürer — iOS'ta sayfa kapanınca, Android'de seçici açılır açılmaz (RN kapanışı bildirmez). Argümanlar `platform_guide('page')` §`share` adımı |
 
 Sayfa ve layout `mount` akışları ilk çizimden sonra, `destroy` akışları sayfa kalkarken koşar.
 `Functions.<ad>()` uygulama ve sayfa fonksiyonlarını görür (`platform_guide('functions')`).