@appaflytech/zeyrek-ai-mcp 0.0.23 → 0.0.24

package/dist/platform/capture/console-log.js

@@ -0,0 +1,80 @@
+import { maskSecretText } from '../secrets.js';
+const bufferLimit = 20;
+const reportLimit = 5;
+const textLimit = 300;
+const stackLines = 5;
+const clip = (text) => (text.length > textLimit ? `${text.slice(0, textLimit - 1)}…` : text);
+/**
+ * Çekim boyunca tarayıcı konsolunun hata/uyarı satırları ve yakalanmamış istisnalar. Koşuda sayfa
+ * çizilmediğinde `page_screenshot` yalnız "runtime hiç render olmadı" diyordu; nedeni bulmak için
+ * ajan kendi Playwright betiğini yazıp Studio paketinin sıkıştırılmış kaynağını okudu
+ * (plans/mobil-plantcare-acigi g-06). Aynı metin tekrarlanırsa sayaç artar, satır eklenmez; metin
+ * kırpılır ve kimlik parçaları maskelenir.
+ */
+export function createPageConsoleLog() {
+    const consoleRecords = [];
+    const pageErrorRecords = [];
+    return {
+        onConsole(message) {
+            const type = message.type();
+            const level = type === 'error' ? 'error' : type === 'warning' ? 'warning' : undefined;
+            if (!level)
+                return;
+            const text = clip(maskSecretText(message.text()));
+            const existing = consoleRecords.find(record => record.level === level && record.text === text);
+            if (existing)
+                existing.count += 1;
+            else if (consoleRecords.length < bufferLimit)
+                consoleRecords.push({ level, text, count: 1 });
+        },
+        onPageError(error) {
+            if (pageErrorRecords.length >= bufferLimit)
+                return;
+            const message = clip(maskSecretText(error instanceof Error ? `${error.name}: ${error.message}` : String(error)));
+            const stack = error instanceof Error && error.stack
+                ? maskSecretText(error.stack.split('\n').slice(1, stackLines + 1).map(line => line.trim()).join('\n'))
+                : undefined;
+            if (!pageErrorRecords.some(record => record.message === message))
+                pageErrorRecords.push({ message, ...(stack ? { stack } : {}) });
+        },
+        /** Önce hatalar, sonra uyarılar; en çok beş kayıt. */
+        consoleErrors() {
+            return [...consoleRecords.filter(record => record.level === 'error'), ...consoleRecords.filter(record => record.level === 'warning')].slice(0, reportLimit);
+        },
+        pageErrors() {
+            return pageErrorRecords.slice(0, reportLimit);
+        }
+    };
+}
+const failureLimit = 3;
+/**
+ * Çizilemeyen sayfanın hata metnine eklenen nedenler: çöken düğümler, yakalanmamış istisnalar, konsol
+ * hataları — bu sırayla, her birinden en çok üç; uyarılar eklenmez. Hiçbiri yoksa boş. Yalnız ilk neden
+ * yazılırken sayfa istisnası React'in bileşeni adlandıran konsol satırını gizliyordu.
+ */
+export function describePageFailure(log, renderErrors) {
+    const crashed = renderErrors.slice(0, failureLimit).map(record => `${record.elementId ?? '?'} — ${record.message}`);
+    const thrown = log.pageErrors().slice(0, failureLimit).map(record => `${record.message}${record.stack ? ` (${record.stack.split('\n')[0]})` : ''}`);
+    const logged = log.consoleErrors().filter(record => record.level === 'error').slice(0, failureLimit).map(record => record.text);
+    return [
+        crashed.length ? ` Çöken düğüm: ${crashed.join('; ')}.` : '',
+        thrown.length ? ` Sayfa istisnası: ${thrown.join('; ')}.` : '',
+        logged.length ? ` Konsol hatası: ${logged.join('; ')}.` : ''
+    ].join('');
+}
+/**
+ * Mobil çizicinin hata sınırlarının bıraktığı işaretler (`data-ng-render-error`). Düğümün dış sınırı
+ * (kancaları çöken düğüm) yer tutucuyu kendi kabuğunun dışında çizer ve kimliği işaretin üstünde taşır
+ * (`data-ng-render-error-id`); taşımıyorsa en yakın kabuk düğümdür.
+ */
+export const renderErrorsScript = "Array.from(document.querySelectorAll('[data-ng-render-error]')).slice(0, 20).map(function (el) { var own = el.getAttribute('data-ng-render-error-id'); var owner = own ? null : el.closest('[data-element-id]'); return { elementId: own || (owner ? owner.getAttribute('data-element-id') : undefined), message: el.getAttribute('data-ng-render-error') || '' }; })";
+export function parseRenderErrors(value) {
+    if (!Array.isArray(value))
+        return [];
+    return value
+        .filter((entry) => entry !== null && typeof entry === 'object')
+        .map(entry => ({
+        ...(typeof entry.elementId === 'string' ? { elementId: entry.elementId } : {}),
+        message: clip(maskSecretText(typeof entry.message === 'string' ? entry.message : ''))
+    }));
+}

package/dist/platform/capture/index.js

@@ -8,3 +8,4 @@ export * from './actions.js';
 export * from './summary.js';
 export * from './readiness.js';
 export * from './capture.js';
+export * from './console-log.js';

package/dist/platform/diagnostics.js

@@ -5,8 +5,9 @@ const MAX_NOTES = 8;
 const MAX_NOTE_CHARS = 240;
 const MAX_DROPS = 5;
 export const diagnosticsParam = z.enum(['compact', 'full']).optional().describe("Yanıttaki gatewayNormalized / silentlyDropped listelerinin boyu. compact (varsayılan): aynı not tekilleşir, uzun not kısalır (en fazla 8); aynı yolun düşmeleri tek satırda sayıyla toplanır (en fazla 5 grup); droppedCount her zaman tam sayıdır. full: listelerin tamamı.");
-export function runWithDiagnostics(mode, run) {
-    return activeMode.run(mode, run);
+/** `adjustable`: tool `diagnostics` parametresini alıyor mu — kısaltma notu yalnız alan tool'a onu önerir (g-08). */
+export function runWithDiagnostics(mode, run, adjustable = true) {
+    return activeMode.run({ mode, adjustable }, run);
 }
 /**
  * Tanılama listeleri her yazma çağrısında yanıta girer ve aynı gerekçe cümlesi çağrı başına tekrar
@@ -18,7 +19,7 @@ export function runWithDiagnostics(mode, run) {
  * listeyi görür; kısaltma yalnız `diagnostics` parametresini taşıyan yazma tool'larında devreye girer.
  */
 export function compactDiagnostics(payload) {
-    if (activeMode.getStore() !== 'compact')
+    if (activeMode.getStore()?.mode !== 'compact')
         return payload;
     if (!payload || typeof payload !== 'object' || Array.isArray(payload))
         return payload;
@@ -58,7 +59,12 @@ export function compactDiagnostics(payload) {
     }
     if (hidden.length === 0)
         return result;
-    return { ...result, diagnosticsNote: "Kısaltıldı; yazmayı tekrarlamayın. Tam liste: sonraki çağrıda diagnostics:'full'." };
+    return {
+        ...result,
+        diagnosticsNote: activeMode.getStore()?.adjustable === false
+            ? 'Kısaltıldı; tam liste gateway günlüğünde (bu tool diagnostics parametresi almaz).'
+            : "Kısaltıldı; yazmayı tekrarlamayın. Tam liste: sonraki çağrıda diagnostics:'full'."
+    };
 }
 /**
  * Aynı yolun farklı öğelerindeki düşmeler (`selectFields[fieldId=a].path`, `selectFields[fieldId=b].path`, …)

package/dist/platform/http.js

@@ -6,6 +6,20 @@ import { randomUUID } from 'node:crypto';
 import { request } from 'undici';
 export const requestAuthStorage = new AsyncLocalStorage();
 const hiddenResponseHeaders = new Set(['set-cookie', 'authorization', 'proxy-authorization']);
+/**
+ * g-08: yürütme yanıtının varsayılan başlıkları — işin okuduğu olanlar. `total-count` sayfalı tablo
+ * akışlarının sözleşmesidir (İK koşusu M-8), `location` yönlendirmenin, `x-request-id`/`traceparent`
+ * platform günlüğünde aynı isteği bulmanın anahtarıdır. Cloudflare ve sunucu başlıkları (`cf-ray`,
+ * `server`, `alt-svc`, `date` …) ajan bağlamında yer kaplıyordu ve hiçbir karar onlara bakmıyordu.
+ */
+const essentialResponseHeaders = new Set(['content-type', 'content-length', 'content-disposition', 'location', 'total-count', 'x-request-id', 'traceparent']);
+export function headersForMode(headers, mode) {
+    if (mode === 'none')
+        return undefined;
+    if (mode === 'all')
+        return headers;
+    return Object.fromEntries(Object.entries(headers).filter(([name]) => essentialResponseHeaders.has(name)));
+}
 /**
  * Sayfalı tablo akışları `Total-Count` header'ına bağlı ama execute ailesi yalnız gövdeyi
  * döndürüyordu; sözleşme hiçbir tool'dan doğrulanamıyordu (İK koşusu M-8). Gizli header'lar
@@ -153,13 +167,15 @@ export class Platform {
             body = JSON.stringify(options.body);
         }
         const startedAt = Date.now();
-        logStep('istek →', `${method} ${url.href} · ${api} api${options.environment ? ` · env=${options.environment}` : ''}${options.anonymous ? ' · ANONİM (Authorization header YOK)' : ''}${isRetry ? ' · 401 sonrası tekrar' : ''}`, logsDetail() && (options.multipart || options.form || options.body !== undefined)
-            ? [`gövde: ${renderJson(options.multipart
-                    ? describeMultipart(options.multipart)
-                    : options.form
-                        ? Object.fromEntries(options.form)
-                        : options.body)}`]
-            : []);
+        logStep('istek →', `${method} ${url.href} · ${api} api${options.environment ? ` · env=${options.environment}` : ''}${options.anonymous ? ' · ANONİM (Authorization header YOK)' : ''}${isRetry ? ' · 401 sonrası tekrar' : ''}`, options.hideRequestBody === true
+            ? ['gövde: (gizli — kimlik bilgisi taşıyor, günlüğe yazılmaz)']
+            : logsDetail() && (options.multipart || options.form || options.body !== undefined)
+                ? [`gövde: ${renderJson(options.multipart
+                        ? describeMultipart(options.multipart)
+                        : options.form
+                            ? Object.fromEntries(options.form)
+                            : options.body)}`]
+                : []);
         let statusCode;
         let payload;
         let responseBytes = 0;

package/dist/platform/responses.js

@@ -1,4 +1,6 @@
 import { compactDiagnostics } from './diagnostics.js';
+import { argumentNotes } from './argumentAliases.js';
+import { tokenTtlMinutes } from './tokenVault.js';
 import { logError, logStep } from '../observability/trace.js';
 import { PlatformApiError, describeErrorBody } from './errors.js';
 import { PolicyBlockError } from '../knowledge/policy.js';
@@ -162,8 +164,10 @@ export function toolResult(payload, config, expectFailure) {
         ...(runtimeErrors.length > 0 ? { runtimeErrors } : {}),
         ...(runtimeErrors.length > 0 && expectFailure === true ? { expectedFailure: true } : {}),
         ...(masked.length > 0 ? { gatewayMasked: masked } : {}),
-        ...(Object.keys(tokenRefs).length > 0 ? { tokenRefs, tokenRefNote: "Maskelenen JWT'ler gateway içinde tutuldu; bu referansları page_screenshot / page_runtime_get 'asUser' alanına verebilirsiniz (15 dk geçerli). Jetonun kendisi yanıta ve günlüğe hiç girmez." } : {}),
-        ...(truncated ? { truncated: true, truncationNote: 'Liste, yanıt boyutu sınırı nedeniyle kırpıldı; sayfalama ya da daha dar filtre kullanın.' } : {})
+        ...(Object.keys(tokenRefs).length > 0 ? { tokenRefs, tokenRefNote: `Maskelenen JWT'ler gateway içinde tutuldu; bu referansları page_screenshot / page_runtime_get 'asUser' alanına verebilirsiniz (${tokenTtlMinutes()} dk geçerli). Jetonun kendisi yanıta ve günlüğe hiç girmez.` } : {}),
+        ...(truncated ? { truncated: true, truncationNote: 'Liste, yanıt boyutu sınırı nedeniyle kırpıldı; sayfalama ya da daha dar filtre kullanın.' } : {}),
+        ...(argumentNotes().aliasesApplied.length > 0 ? { aliasesApplied: argumentNotes().aliasesApplied } : {}),
+        ...(argumentNotes().bodyFile ? { bodyFile: argumentNotes().bodyFile } : {})
     };
     return {
         content: [{ type: 'text', text: JSON.stringify(enriched) }],

package/dist/platform/schemaReadMemory.js

@@ -0,0 +1,60 @@
+/**
+ * Sayfa okumalarının belleği. İki soru cevaplar:
+ *
+ * - "Bu sayfa sürümü kırpık okundu mu" (ZM-28, PAGE-038): `page_schema_get(mode:'full',
+ *   allowTruncated:true)` sığmayan şemayı kırparak döndüğünde anahtar işaretlenir; aynı sürümü
+ *   `baseVersion` olarak veren `page_schema_patch` uyarı taşır — plan, düşen düğümleri görmeden
+ *   yapılmış olabilir.
+ * - "Bu gateway sayfanın hangi sürümünü en son gördü" (PAGE-039, `plans/mobil-plantcare-acigi`
+ *   g-05): `page_get`, `page_schema_get`, `page_schema_patch`'in `newVersion`'ı ve `page_update`'in
+ *   kendi yazdığı sürüm hatırlanır; `page_update` `baseVersion` verilmediğinde onu gönderir. Hiç
+ *   okunmamış sayfaya sürümsüz tam gövde yazılmaz.
+ *
+ * SÜREÇ İÇİNDEDİR ve yalnız anahtar/sürüm tutar (gövde yok); `CaptureMemory` ile aynı halka:
+ * yeniden yazılan anahtar sona gider, en eskisi düşer.
+ */
+export function schemaReadKey(project, environment, pageId, version) {
+    return `${project}/${environment}/${pageId}@${version}`;
+}
+export function pageReadKey(project, environment, pageId) {
+    return `${project}/${environment}/${pageId}`;
+}
+export class SchemaReadMemory {
+    limit;
+    truncated = new Set();
+    versions = new Map();
+    constructor(limit = 200) {
+        this.limit = limit;
+    }
+    rememberVersion(key, version) {
+        this.versions.delete(key);
+        this.versions.set(key, version);
+        while (this.versions.size > this.limit) {
+            const oldest = this.versions.keys().next().value;
+            if (oldest === undefined)
+                break;
+            this.versions.delete(oldest);
+        }
+    }
+    lastVersion(key) {
+        return this.versions.get(key);
+    }
+    markTruncated(key) {
+        this.truncated.delete(key);
+        this.truncated.add(key);
+        while (this.truncated.size > this.limit) {
+            const oldest = this.truncated.values().next().value;
+            if (oldest === undefined)
+                break;
+            this.truncated.delete(oldest);
+        }
+    }
+    wasTruncated(key) {
+        return this.truncated.has(key);
+    }
+}
+/**
+ * SÜREÇ düzeyinde tek bellek: HTTP taşıması her POST için yeni bir gateway sunucusu kurduğundan
+ * (`sharedCaptureMemory` notu) okuma ile yazma ayrı `registerPageTools` çağrılarında koşar.
+ */
+export const sharedSchemaReadMemory = new SchemaReadMemory();

package/dist/platform/secrets.js

@@ -38,3 +38,12 @@ export function maskSecrets(payload) {
     const tokenRefs = {};
     return { payload: walk(payload, '', masked, tokenRefs, 0), masked, tokenRefs };
 }
+/**
+ * Serbest METİNDEKİ kimlik parçaları (konsol satırı, hata yığını): JWT biçimli dize ve `Bearer …`.
+ * `maskSecrets` anahtar adına bakar; tarayıcı konsolu anahtarsız düz metin taşır (g-06).
+ */
+export function maskSecretText(text) {
+    return text
+        .replace(/Bearer\s+[A-Za-z0-9._~+/=-]+/gi, `Bearer ${maskedValue}`)
+        .replace(/\b[A-Za-z0-9_-]{8,}\.[A-Za-z0-9_-]{8,}\.[A-Za-z0-9_-]{8,}\b/g, maskedValue);
+}

package/dist/platform/strictArguments.js

@@ -1,5 +1,11 @@
 import { z } from 'zod';
 import { diagnosticsParam, runWithDiagnostics } from './diagnostics.js';
+import { applyArgumentAliases, closestArgument, runWithArgumentNotes } from './argumentAliases.js';
+import { BODY_FILE_ARGUMENTS, bodyFileParam, loadBodyFile } from './bodyFile.js';
+import { PlatformApiError } from './errors.js';
+import { logError } from '../observability/trace.js';
+/** Doğrulanmış argümanlara takılan çeviri notları (`ArgumentNotes`); JSON'a ve platform isteğine girmez. */
+const ARGUMENT_NOTES = Symbol('argumentNotes');
 /**
  * `writes`/`updates` açıklamalı ama KAYIT yazmayan tool'lar: çalıştırma, önizleme, dışa aktarma, indirme,
  * bağlantı testi. Yanıtlarında yazma tanılaması (silentlyDropped) yoktur; parametre yalnız tool listesini
@@ -25,25 +31,75 @@ function isRawShape(value) {
  * olmayan bir sorgu kusuruna yönlendirdi. Tek tek tool'lara alan eklemek sınıfı kapatmaz; sessizlik
  * burada, SDK'ya şema verilmeden önce kaldırılır.
  */
-export function rejectUnknownArguments(server) {
+export function rejectUnknownArguments(server, platform) {
     const registerTool = server.registerTool.bind(server);
+    // Zorunlu gövde argümanı `bodyFile` açıkken şemada isteğe bağlı yayınlanır (yoksa şemaya uyan istemci
+    // gövdeyi satır içinde yollamak zorunda kalır ve `bodyFile` "birlikte verilemez" ile reddedilirdi);
+    // zorunluluk dosya okunduktan sonra burada denetlenir.
+    const requiredBodies = new Map();
+    // g-07/g-08: `bodyFile` ve takma ad tablosu SDK'nın strict doğrulamasından ÖNCE koşmalı — sonra
+    // koşsa yanlış ad zaten reddedilmiş, dosyadan gelen gövde doğrulanmamış olur. SDK doğrulamayı
+    // `validateToolInput` içinde yapar; çeviri orada uygulanır ve notlar doğrulanmış argümanlara
+    // sembol anahtarla takılır.
+    if (platform) {
+        const validator = server;
+        const validate = validator.validateToolInput.bind(server);
+        validator.validateToolInput = async (tool, args, name) => {
+            try {
+                const loaded = await loadBodyFile(name, args, platform.config);
+                const requiredBody = requiredBodies.get(name);
+                if (requiredBody && loaded.args?.[requiredBody] === undefined) {
+                    throw new PlatformApiError(`${name}: '${requiredBody}' zorunlu — satır içinde ya da bodyFile ile (.json dosyası) verin. İstek gönderilmedi.`, 400);
+                }
+                const { args: aliased, applied } = await applyArgumentAliases(name, loaded.args, { platform, shape: tool.inputSchema?.shape ?? {} });
+                const parsed = await validate(tool, aliased, name);
+                const notes = { aliasesApplied: applied, ...(loaded.note ? { bodyFile: loaded.note } : {}) };
+                return (applied.length > 0 || loaded.note) && parsed && typeof parsed === 'object' ? Object.assign(parsed, { [ARGUMENT_NOTES]: notes }) : parsed;
+            }
+            catch (error) {
+                // Doğrulamadan önceki çeviri (dosya, takma ad) `handle`'ın dışında koşar: hata burada günlüğe yazılır.
+                if (error instanceof PlatformApiError)
+                    logError(error);
+                throw error;
+            }
+        };
+    }
     server.registerTool = ((name, config, callback) => {
         if (!isRawShape(config.inputSchema))
             return registerTool(name, config, callback);
-        // Yazma tool'ları tanılama kipini alır; parametre handler'a ULAŞMAZ (gövdeyi `...rest` ile
-        // platforma geçiren tool'larda sızardı), yalnız toolResult'ın okuduğu bağlama konur.
-        const writesDiagnostics = config.annotations?.readOnlyHint === false && config.annotations.destructiveHint !== true && !NON_WRITING_TOOLS.has(name);
-        const shape = writesDiagnostics ? { ...config.inputSchema, diagnostics: diagnosticsParam } : config.inputSchema;
-        const run = writesDiagnostics
-            ? ((args, extra) => {
-                const { diagnostics, ...rest } = args ?? {};
-                return runWithDiagnostics(diagnostics === 'full' ? 'full' : 'compact', () => callback(rest, extra));
-            })
-            : callback;
+        // Tanılama notları her tool'da compact döner (g-08: okuma ve çalıştırma yanıtında da 8 not +
+        // "N not daha"). `diagnostics` parametresi yalnız kayıt yazan tool'lara, microservice_execute'a ve
+        // *_preview'a açılır — ötekilerde tool listesini büyütmesin diye varsayılan kullanılır. Parametre
+        // handler'a ULAŞMAZ (gövdeyi `...rest` ile platforma geçiren tool'larda sızardı), yalnız
+        // toolResult'ın okuduğu bağlama konur.
+        const writesRecords = config.annotations?.readOnlyHint === false && config.annotations.destructiveHint !== true && !NON_WRITING_TOOLS.has(name);
+        const exposesDiagnostics = writesRecords || name === 'microservice_execute' || name.endsWith('_preview');
+        const bodyArgument = BODY_FILE_ARGUMENTS[name];
+        const bodySchema = bodyArgument ? config.inputSchema[bodyArgument] : undefined;
+        if (bodyArgument && bodySchema && !bodySchema.isOptional())
+            requiredBodies.set(name, bodyArgument);
+        const shape = {
+            ...config.inputSchema,
+            ...(bodyArgument && bodySchema ? { [bodyArgument]: bodySchema.optional(), bodyFile: bodyFileParam(bodyArgument) } : {}),
+            ...(exposesDiagnostics ? { diagnostics: diagnosticsParam } : {})
+        };
+        const invoke = (args, extra) => {
+            const { diagnostics, ...rest } = exposesDiagnostics ? args ?? {} : { ...args, diagnostics: undefined };
+            return runWithDiagnostics(diagnostics === 'full' ? 'full' : 'compact', () => callback(exposesDiagnostics ? rest : args, extra), exposesDiagnostics);
+        };
+        const run = (args, extra) => {
+            const { [ARGUMENT_NOTES]: notes, ...rest } = args ?? {};
+            return runWithArgumentNotes(notes ?? { aliasesApplied: [] }, () => invoke(rest, extra));
+        };
         const accepted = Object.keys(shape).join(', ');
+        const suggestions = (keys) => keys
+            .map(key => ({ key, near: closestArgument(key, Object.keys(shape)) }))
+            .filter(entry => entry.near !== undefined)
+            .map(entry => ` '${entry.key}' → '${entry.near}' mi demek istediniz?`)
+            .join('');
         const inputSchema = z.object(shape, {
             errorMap: (issue, context) => issue.code === 'unrecognized_keys'
-                ? { message: `${name} şu üst düzey argümanları tanımıyor: ${issue.keys.map(key => `'${key}'`).join(', ')}. Tanınmayan alan sessizce yok sayılmaz — çağrı hiç gönderilmedi. Bu tool'un okuduğu alanlar: ${accepted}.` }
+                ? { message: `${name} şu üst düzey argümanları tanımıyor: ${issue.keys.map(key => `'${key}'`).join(', ')}. Tanınmayan alan sessizce yok sayılmaz — çağrı hiç gönderilmedi. Bu tool'un okuduğu alanlar: ${accepted}.${suggestions(issue.keys)}` }
                 : { message: context.defaultError }
         }).strict();
         return registerTool(name, { ...config, inputSchema }, run);

package/dist/platform/tokenVault.js

@@ -1,5 +1,8 @@
 import { PlatformApiError } from './errors.js';
 import { randomBytes } from 'node:crypto';
+import { mkdirSync, readFileSync, renameSync, writeFileSync } from 'node:fs';
+import { dirname, join } from 'node:path';
+import { logStep } from '../observability/trace.js';
 /**
  * `page_screenshot`/`page_runtime_get` açıklaması "jetonu uygulamanın kendi giriş ucundan alın
  * (`microservice_execute`)" diyor, ama gizli alan maskesi `access_token`'ı `***` yapıyor ve o yol
@@ -9,10 +12,19 @@ import { randomBytes } from 'node:crypto';
  * Kasa bu çelişkiyi jetonu bağlama HİÇ sokmadan çözer: maskelenen JWT gateway sürecinde tutulur,
  * yanıta yalnız kısa ömürlü bir referans (`tok_…`) döner ve kimlik isteyen tool'lar referansı
  * çözer. Jeton ne yanıtta ne günlükte açık görünür.
+ *
+ * g-09 (`plans/mobil-plantcare-acigi`, K9): kasa süreç sınırını aşar. `.env` `MCP_STATE_DIR`
+ * verilmişse kayıtlar `token-vault.json`'a (0600) yazılır ve süreç açılışta onu okur; süre
+ * `MCP_TOKEN_TTL_MINUTES`'tan gelir (verilmezse eski 15 dk). Dosya YALNIZ lokal hedefte yazılır —
+ * uzak bir org'un jetonu diske inmez. Test kullanıcısının (`asUser: 'test:<ad>'`) jetonu da burada,
+ * etiketiyle tutulur; aynı kullanıcı TTL boyunca yeniden giriş yapmaz.
  */
-const ttlMs = 15 * 60 * 1000;
+const legacyTtlMinutes = 15;
 const maxEntries = 64;
 const vault = new Map();
+let ttlMs = legacyTtlMinutes * 60 * 1000;
+let vaultFile;
+let warnedRemote = false;
 export const tokenRefPattern = /^tok_[0-9a-f]{16}$/;
 /** Üç base64url parçalı JWT — parola ya da API anahtarı bu şekle uymaz. */
 export function looksLikeJwt(value) {
@@ -30,29 +42,132 @@ function sweep(now) {
         vault.delete(oldest.value);
     }
 }
-export function rememberToken(token) {
+function isLocalTarget(baseUrl) {
+    try {
+        const host = new URL(baseUrl).hostname;
+        return host === 'localhost' || host === '127.0.0.1' || host === '[::1]' || host.endsWith('.localhost');
+    }
+    catch {
+        return false;
+    }
+}
+/**
+ * Aynı dosyayı birden çok gateway süreci paylaşır (her Claude Code oturumu kendi stdio sürecini açar).
+ * Yazma "son yazan kazanır" olursa bir sürecin kaydı ötekinin yazmasıyla silinirdi: yazmadan önce ve
+ * bellekte olmayan referans istenince dosya okunur, süresi dolmamış yabancı kayıtlar belleğe katılır.
+ */
+function mergeFromFile() {
+    if (!vaultFile)
+        return;
+    try {
+        const stored = JSON.parse(readFileSync(vaultFile, 'utf8'));
+        const now = Date.now();
+        for (const [ref, entry] of Object.entries(stored.entries ?? {})) {
+            if (!vault.has(ref) && tokenRefPattern.test(ref) && typeof entry.token === 'string' && typeof entry.expires === 'number' && entry.expires > now) {
+                vault.set(ref, { token: entry.token, expires: entry.expires, ...(typeof entry.label === 'string' ? { label: entry.label } : {}) });
+            }
+        }
+    }
+    catch {
+        // dosya yok ya da okunamadı: bellekteki kasa geçerli
+    }
+}
+function persist() {
+    if (!vaultFile)
+        return;
+    mergeFromFile();
+    sweep(Date.now());
+    try {
+        const temporary = `${vaultFile}.${process.pid}.tmp`;
+        mkdirSync(dirname(vaultFile), { recursive: true, mode: 0o700 });
+        writeFileSync(temporary, JSON.stringify({ entries: Object.fromEntries(vault) }), { mode: 0o600 });
+        renameSync(temporary, vaultFile);
+    }
+    catch (error) {
+        logStep('jeton kasası ✕', `kasa dosyası yazılamadı (${vaultFile}) — jetonlar bu süreçte bellekte kalır`, [error instanceof Error ? error.message : String(error)]);
+    }
+}
+/**
+ * Süreç açılışında bir kez çağrılır (`index.ts`); testler yeniden başlamayı `clearTokenVault` +
+ * bu çağrıyla benzetir. Dosyadaki süresi dolmuş kayıtlar yüklenmez ve dosya onlarsız yeniden yazılır.
+ */
+export function configureTokenVault(config) {
+    ttlMs = (config.tokenTtlMinutes ?? legacyTtlMinutes) * 60 * 1000;
+    vaultFile = undefined;
+    if (!config.stateDirectory)
+        return;
+    if (!isLocalTarget(config.orgApiBaseUrl)) {
+        if (!warnedRemote) {
+            warnedRemote = true;
+            logStep('jeton kasası', `ORG_API_BASE_URL lokal değil — kasa dosyaya YAZILMAZ, jetonlar yalnız süreç belleğinde tutulur (MCP_STATE_DIR yok sayıldı)`);
+        }
+        return;
+    }
+    vaultFile = join(config.stateDirectory, 'token-vault.json');
+    persist();
+}
+/** Kasanın geçerli ömrü (dakika) — yanıt notları sabit bir süre yazmasın. */
+export const tokenTtlMinutes = () => Math.round(ttlMs / 60000);
+export function rememberToken(token, label) {
     const now = Date.now();
     sweep(now);
     for (const [ref, entry] of vault) {
         if (entry.token === token) {
             entry.expires = now + ttlMs;
+            if (label !== undefined)
+                entry.label = label;
+            persist();
             return ref;
         }
     }
     const ref = `tok_${randomBytes(8).toString('hex')}`;
-    vault.set(ref, { token, expires: now + ttlMs });
+    vault.set(ref, { token, expires: now + ttlMs, ...(label !== undefined ? { label } : {}) });
+    persist();
     return ref;
 }
 export function resolveToken(reference) {
+    if (!vault.has(reference))
+        mergeFromFile();
     const entry = vault.get(reference);
     if (!entry)
         return undefined;
     if (entry.expires <= Date.now()) {
         vault.delete(reference);
+        persist();
         return undefined;
     }
     return entry.token;
 }
+/**
+ * Jetonun kendi süresi (`exp`) kasanın TTL'inden kısa olabilir: uygulamanın jetonu 15 dk yaşarken kasa
+ * 60 dk tutuyordu ve süresi dolmuş jetonla çekilen kare sessizce çıkış yapmış sayfayı gösterirdi.
+ * 30 sn pay bırakılır; `exp` okunamayan jeton geçerli sayılır (karar uygulamanındır).
+ */
+const jwtExpired = (token) => {
+    try {
+        const payload = JSON.parse(Buffer.from(token.split('.')[1] ?? '', 'base64url').toString('utf8'));
+        return typeof payload.exp === 'number' && payload.exp * 1000 <= Date.now() + 30_000;
+    }
+    catch {
+        return false;
+    }
+};
+function labeledToken(label) {
+    const find = () => {
+        const now = Date.now();
+        for (const entry of vault.values()) {
+            if (entry.label === label && entry.expires > now && !jwtExpired(entry.token))
+                return entry.token;
+        }
+        return undefined;
+    };
+    const found = find();
+    if (found || !vaultFile)
+        return found;
+    mergeFromFile();
+    return find();
+}
+/** Bellekteki kasayı boşaltır (süreç yeniden başlamasının benzetimi); dosyaya dokunmaz. */
 export function clearTokenVault() {
     vault.clear();
 }
@@ -66,8 +181,76 @@ export function resolveIdentityToken(value) {
         return value;
     const token = resolveToken(value);
     if (token === undefined) {
-        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (15 dk). Uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
+        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (${Math.round(ttlMs / 60000)} dk). Tercih edilen yol asUser: 'test:<ad>' — gateway kök .env'deki test kullanıcısıyla kendisi giriş yapar. Yoksa uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
+    }
+    return token;
+}
+/**
+ * Giriş yanıtındaki erişim jetonu: yanıt birden çok JWT taşıyabilir (erişim + yenileme). Anahtarı
+ * `access` içeren önce, sonra `refresh` içermeyen, en son ilk bulunan — yenileme jetonuyla istek atmak
+ * her uçta 401 demekti.
+ */
+function accessJwt(value) {
+    const found = [];
+    const collect = (node, key, depth) => {
+        if (depth > 12)
+            return;
+        if (looksLikeJwt(node)) {
+            found.push({ key, token: node });
+            return;
+        }
+        if (Array.isArray(node))
+            node.forEach(entry => collect(entry, key, depth + 1));
+        else if (node && typeof node === 'object')
+            Object.entries(node).forEach(([name, entry]) => collect(entry, name, depth + 1));
+    };
+    collect(value, '', 0);
+    return (found.find(entry => /access/i.test(entry.key)) ?? found.find(entry => !/refresh/i.test(entry.key)) ?? found[0])?.token;
+}
+/**
+ * g-09: `asUser` üç şekil alır — ham JWT, `tok_…` referansı ve `test:<ad>`. Üçüncüsünde gateway kök
+ * `.env`'deki `MCP_TEST_USER_<AD>` satırının tarif ettiği giriş ucunu (uygulamanın kendi uç'u)
+ * anonim çağırır, yanıttaki ilk JWT'yi kasaya etiketiyle koyar ve TTL boyunca yeniden kullanır.
+ * Parola ne yanıta, ne günlüğe (`hideRequestBody`), ne hata metnine girer; satırın değeri hiçbir
+ * mesajda gösterilmez. AI `.env`'i düzenlemez: tanımsız kullanıcı, insanın ekleyeceği değişkenin
+ * adıyla reddedilir.
+ */
+export async function resolveIdentity(value, platform, project, environment) {
+    if (value === undefined || !value.startsWith('test:'))
+        return resolveIdentityToken(value);
+    const name = value.slice('test:'.length).trim().toLowerCase();
+    const variable = `MCP_TEST_USER_${name.toUpperCase()}`;
+    const label = `test:${name}@${platform.resolveProject(project)}/${environment ?? platform.config.defaultEnvironment}`;
+    const cached = labeledToken(label);
+    if (cached)
+        return cached;
+    const raw = platform.config.testUsers[name];
+    if (!raw) {
+        const defined = Object.keys(platform.config.testUsers);
+        throw new PlatformApiError(`Test kullanıcısı '${name}' tanımlı değil. Kök .env'e insan ekler: ${variable}={"application":"<uygulama slug>","microservice":"<giriş ucu slug>","body":{…giriş gövdesi…}} (biçim: docs/ortam.md §Test kullanıcıları); gateway yeniden başlatılır. AI .env'i düzenlemez. Tanımlı olanlar: ${defined.length > 0 ? defined.join(', ') : '(yok)'}.`, 400);
+    }
+    let login;
+    try {
+        login = JSON.parse(raw);
+    }
+    catch {
+        throw new PlatformApiError(`${variable} JSON olarak okunamadı (değer gösterilmez). Biçim: {"application":"…","microservice":"…","body":{…}} — docs/ortam.md §Test kullanıcıları.`, 400);
+    }
+    if (typeof login.application !== 'string' || typeof login.microservice !== 'string') {
+        throw new PlatformApiError(`${variable} 'application' ve 'microservice' alanlarını taşımalı (değer gösterilmez) — docs/ortam.md §Test kullanıcıları.`, 400);
+    }
+    const endpoint = `${login.application}/${login.microservice}`;
+    const response = await platform.tenantRaw(typeof login.method === 'string' ? login.method : 'POST', project, `/m/${endpoint}`, {
+        environment,
+        body: login.body,
+        anonymous: true,
+        hideRequestBody: true
+    });
+    const token = accessJwt(response.body);
+    if (!token) {
+        throw new PlatformApiError(`Test kullanıcısı '${name}' girişi jeton döndürmedi: ${endpoint} HTTP ${response.httpStatus}. Kök .env'deki ${variable} satırını (uç ve gövde) ve kullanıcının uygulamada var olduğunu kontrol edin; gövde ve kimlik bilgisi gösterilmez.`, 400);
     }
+    rememberToken(token, label);
     return token;
 }
 /**

package/dist/resources/guides/expressions.md

@@ -99,7 +99,7 @@ dalından devam eder.
 | **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` hem prop'u yazar hem UI'ı günceller (change event). Addaki `-` silinir: `tickets-table` → `ticketstable` |
 | `state.page` / `state.app` | Kalıcı state (oku/yaz): `state.page.selectedId = row.id`. **Tanımlı değişkenler de buradadır:** `variable_create` ile yazılan her `key` sayfa düzeyinde `state.page.<key>`, uygulama düzeyinde `state.app.<key>` olur; `value` nesneyse alanlarına inilir (`state.page.MyTest.isActive`) |
 | `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası — ama YALNIZ HTTP durum metnidir (401 için `'Unauthorized'`), ucun mesajı değil. `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ama **YAPIŞKANDIR**: storage sayfa başına tek `FlowMachine`'de yaşar ve `'error'` anahtarı hiç temizlenmez, yani ilk hatadan sonra o sayfadaki her akışta dolu kalır — normal akışta `Steps.error` okuyan bir ifade bayat hatayı görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse aynı alan ucun hata gövdesini taşır; aşağıdaki kutuya bakın |
-| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak satırı günceller) |
+| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak YALNIZ o satırı günceller). Satır AKIŞINDA (satırdaki düğümün olayı) ARC-121 düzeltmesini (2026-09-27) taşıyan runtime gerekir, eskisinde boştu — sürümden bağımsız yol `<liste>.selectedItem` / `.selectedIndex`. Tekrarlayıcının KENDİ `change`/`select` akışında satır bağlamı yoktur. `item.x = …` yazımı tekrarlayıcının `change` olayı olarak iletilir: `change`'e bağlı akış her yazımda koşar, o akış da `item`'a yazarsa döngü olur |
 | `event` | `{name, data, source: {id, props}}` |
 | `cookie` | `cookie.get(name)` / `cookie.set(name, value, {expiresInHours, path})` / `cookie.remove(name)` — tarayıcı cookie'si |
 | `setComponentProperty(name, key, value)` / `getComponentProperty(name, key)` | fonksiyon alternatifi |

package/dist/resources/guides/microservice.md

@@ -242,9 +242,16 @@ DTO'dan süzülmez (WF-026 — `platform_guide('workflow')` §Hata yolu). Sözle
 - **Operatör sözlüğü kapalıdır:** `eq · neq · lt · lte · gt · gte · contains · icontains ·
   in · notin · startswith · endswith · istartswith · iendswith · isnull · isnotnull`.
   **`like` YOKTUR** — metin
-  araması `contains`/`icontains` iledir. Kritik tuzak: platform bilinmeyen operatörü 400 ile
+  araması `contains`/`icontains` iledir. Kritik tuzak: eski backend bilinmeyen operatörü 400 ile
   reddetmez, **sessizce `eq`'e düşürür** (enum çözümlemesi unknown'da default'a düşer) — uç
-  testten geçer ama arama hiçbir şey döndürmez. Gateway MS-012/WF-015 bunu istek gitmeden keser.
+  testten geçer ama yanlış sonuç döner (koşuda `ne` böyle geçti). 2026-09-27'den sonraki backend
+  uç çağrısının `filters` parametresinde (JSON dizisi) 400 verir; workflow tablo adımının filtresi
+  hâlâ sessizce `eq`'e düşer. Ad büyük/küçük harfe duyarlıdır: `NEQ` geçersizdir. Gateway her iki
+  sürümde istek gitmeden keser: uç tanımında ve
+  workflow tablo adımında MS-012/WF-015 (blok), çalışma anında `row_list` / `row_export` filtresinde ve
+  `microservice_execute` / `microservice_debug`'ın `filters` parametresinde hata — sık yanlışlara öneriyle
+  (`ne`/`!=` → `neq`, `like` → `contains`, `=` → `eq`). Studio'nun filtre ARAYÜZÜNDEKİ adlar
+  (`notContains`, `between`…) ayrı bir sözlüktür; arayüz onları bu işleçlere çevirir.
 - **Write operasyonunda (`create`/`update`) yanıt yalnız primary key'dir** — platform sonucu
   PK'ya indirger ve `selectFields`'ı kaydederken sessizce boşaltır. Yanıtın başka alan da
   dönmesi gerekiyorsa **`returnFields`** kullanılır (öğeler `selectFields` ile aynı şekildedir: