@appaflytech/zeyrek-ai-mcp 0.0.23 → 0.0.24

package/dist/server.js

@@ -84,7 +84,7 @@ const moduleRegistrations = {
     mobile: registerMobileTools,
 };
 export function createGatewayServer(platform) {
-    const server = rejectUnknownArguments(instrumentServer(new McpServer({ name: "ngapps", version: "0.1.0" }), platform.config));
+    const server = rejectUnknownArguments(instrumentServer(new McpServer({ name: "ngapps", version: "0.1.0" }), platform.config), platform);
     for (const moduleName of platform.config.modules) {
         moduleRegistrations[moduleName](server, platform);
     }

package/dist/tools/datasources.js

@@ -118,7 +118,7 @@ export function registerDatasourceTools(server, platform) {
     }, handle(config, ({ project, environment }) => platform.tenant('GET', project, '/datasources/resources', { environment })));
     server.registerTool('datasource_configuration_options', {
         title: 'Yapılandırma seçenekleri',
-        description: "Datasource'un alan tipi kataloğunu döner: commonType başına dbType listesi, varsayılan tip, tipin kabul ettiği seçenek anahtarları (length/precision/collation/...) ve dönüştürülebilir tipler; ayrıca ilişki kuralları (onUpdate/onDelete) ve identity generation tipleri. VARSAYILAN YANIT ÖZETTİR (~5 KB): collation DEĞER listesi (816 kayıt, tam yanıtın %79'u) dışarıdadır — tipin collation kabul edip etmediği zaten options'ta yazar. Collation değerleri gerçekten gerekiyorsa includeCollations: true ile tam yanıtı isteyin (~45 KB).",
+        description: "Datasource'un alan tipi kataloğunu döner: commonType başına dbType listesi, varsayılan tip, tipin kabul ettiği seçenek anahtarları (length/precision/collation/...) ve dönüştürülebilir tipler; ayrıca ilişki kuralları (onUpdate/onDelete) ve identity generation tipleri. İlişki alanına yazarken kuralı SAYI olarak verin (`None` 0 · `Cascade` 1 · `SetNull` 2 · `SetDefault` 3 — `Rule` sırası): her backend sürümünde çalışır. Katalog adı listeler; `onDelete` adı (`Cascade`) 2026-09-27'den sonraki backend'de de kabul edilir, `onUpdate` adı hâlâ reddedilir (500). VARSAYILAN YANIT ÖZETTİR (~5 KB): collation DEĞER listesi (816 kayıt, tam yanıtın %79'u) dışarıdadır — tipin collation kabul edip etmediği zaten options'ta yazar. Collation değerleri gerçekten gerekiyorsa includeCollations: true ile tam yanıtı isteyin (~45 KB).",
         inputSchema: {
             project: projectParam,
             environment: environmentParam,

package/dist/tools/designSchemaPatch.js

@@ -87,7 +87,8 @@ export function registerDesignSchemaPatchTool(server, platform, host) {
         if (deletedFlows.length > 0 && allowFlowDeletion !== true)
             throw new PlatformApiError(orphanedFlowMessage(deletedFlows), 400);
         const added = opRecords.filter(entry => entry.op === 'add_component').map(entry => entry.component);
-        assertScreenWriteGuards(spec.kind, { schema: added });
+        const resolved = await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards(spec.kind, { schema: added }, resolved.profile.platform);
         const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, added);
         const flowWarnings = opRecords.some(entry => entry.op === 'remove_component')
             ? [...orphanedFlowWarnings(nodes, events, opRecords), ...staleSetterWarnings(Array.isArray(record.flows) ? record.flows : [], opRecords, nodes)]
@@ -102,12 +103,12 @@ export function registerDesignSchemaPatchTool(server, platform, host) {
             || (entry.op === 'replace_prop' && FLEX_LAYOUT_PROP_NAMES.has(String(entry.prop ?? ''))));
         const nested = simulatable ? nestedRepeaterNodes(simulated) : [];
         if (nested.length > 0)
-            throw new PlatformApiError(nestedRepeaterMessage(nested), 400);
-        const resolved = await resolveProfile(platform, applicationId);
+            throw new PlatformApiError(nestedRepeaterMessage(nested, resolved.profile.platform), 400);
         const reshaped = simulatable || opRecords.some(entry => entry.op === 'remove_component');
         const profileWarnings = await screenProfileWarnings(platform, resolved, project, environment, applicationId, {
             kind: spec.kind,
             ops: [...opRecords, ...propTypeOps],
+            savedNodes: nodes,
             steps: await boundFlowSteps(platform, resolved, project, environment, host, applicationId, id, opRecords)
         });
         const layoutWarnings = reshaped

package/dist/tools/externalComponents.js

@@ -21,7 +21,7 @@ async function assertExternalComponentsAllowed(platform, applicationId, tool) {
     throw new PlatformApiError(`${tool}: ${findingLine({
         code: 'MOB-006',
         severity: 'warn',
-        message: "harici bileşen mobil uygulamada desteklenmiyor — protokol v1 tarayıcıda koşan .mjs custom element'tir, native çizer onu yükleyemez (mobil protokol v2 Faz 3). Çağrı platforma gönderilmedi; mobil ekranı katalog bileşenleriyle kurun (component_list)."
+        message: "harici bileşen mobil uygulamada desteklenmiyor — protokol v1 tarayıcıda koşan .mjs custom element'tir, native çizer onu yükleyemez (mobil protokol v2 Faz 3). Çağrı platforma gönderilmedi; mobil ekranı katalog bileşenleriyle kurun (component_list). Katalogda karşılığı olmayan küçük görünüm için geçici yol 'html' bileşenidir: içerik korumalı belgede tema değişkenleriyle çizilir, fireEvent/ngApps.emit ile akışa bağlanır (component_get('html'))."
     })}`, 400);
 }
 /** Platformun köprü protokolü; scaffold ve publish bu sürüme göre üretir/doğrular (backend ExternalComponentRules.CurrentProtocolVersion) */

package/dist/tools/flows.js

@@ -275,7 +275,7 @@ async function functionWarnings(platform, host, project, environment, applicatio
         }
         const missing = fn.parameters.filter(parameter => parameter.required && !given.includes(parameter.name)).map(parameter => parameter.name);
         if (missing.length > 0) {
-            warnings.add(`FLOW-024: '${label(step)}' adımında '${fn.name}' fonksiyonunun zorunlu parametresi eksik: ${missing.join(', ')} — çağrı 'Functions.${fn.name}: "${missing[0]}" is required' ile düşer, Steps.${String(step.name ?? label(step))}.error dolar ve akış hata gövdesiyle 'always' dalından devam eder.`);
+            warnings.add(`FLOW-024: '${label(step)}' adımında '${fn.name}' fonksiyonunun zorunlu parametresi eksik: ${missing.join(', ')} — çağrı 'Functions.${fn.name}: "${missing[0]}" is required' ile düşer, Steps.${String(step.name ?? label(step))}.error.message dolar ve .data null'dur; errorSteps yoksa akış 'always' dalından devam eder.`);
         }
     }
     for (const { step, origin, ref } of callSites) {
@@ -296,6 +296,60 @@ async function functionWarnings(platform, host, project, environment, applicatio
     }
     return [...warnings];
 }
+/**
+ * FLOW-028 (g-02, ADR 0004 — ZM-07). `microservice.ts` `.finally` üç yoldan birini dener: adımın
+ * kendi `error` dalı bağlıysa oradan sürer, yoksa flow `errorSteps`'i (`engine.onError`) devralır,
+ * ikisi de yoksa `always` koşar ve storage artık `{ data: null, headers: null, error }`'dır — hata
+ * gövdesi ARTIK `data`'da DEĞİL. İkisi de bağlı değilken bu adımın `.data`'sını okuyan bir
+ * setter/condition varsa hata anında NULL üzerinden koşar ve yazar hiç fark etmez. Aynı yürüyüş
+ * FLOW-024/025'in kullandığı `flowExpressionSites` taramasıdır; setter'ın STORAGE (kod olmayan)
+ * referansı ayrıca kendi düz alanından okunur (FLOW-008/009 deseni, `rowsTargetsByStepName`).
+ */
+function microserviceAlwaysDataWarnings(steps, errorSteps) {
+    const mainSteps = (Array.isArray(steps) ? steps : []).filter(isRecord);
+    const hasErrorFlow = (Array.isArray(errorSteps) ? errorSteps : []).filter(isRecord).some(step => String(step.type ?? '') !== 'start');
+    const label = (step) => String(step.stepId ?? step.name ?? '?');
+    const escapeRegExp = (value) => value.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+    const warnings = new Set();
+    for (const step of mainSteps) {
+        if (String(step.type ?? '') !== 'microservice')
+            continue;
+        const name = String(step.name ?? step.stepId ?? '');
+        if (name === '')
+            continue;
+        const hasErrorBranch = (Array.isArray(step.branches) ? step.branches : [])
+            .filter(isRecord)
+            .some(branch => String(branch.name ?? '') === 'error' && Boolean(branch.nextStepId));
+        if (hasErrorBranch || hasErrorFlow)
+            continue;
+        const pattern = new RegExp(`Steps\\s*(?:\\.\\s*${escapeRegExp(name)}\\b|\\[\\s*['"]${escapeRegExp(name)}['"]\\s*\\])\\s*\\??\\.\\s*data\\b`);
+        const message = (other) => `FLOW-028: '${label(other)}' adımı 'always' dalında '${name}.data' okuyor ama '${name}' adımının ne bağlı bir 'error' dalı ne akışın 'errorSteps'i var — uç hata dönerse bu adımın 'data'sı NULL olur (eskiden hata gövdesiydi, ADR 0004) ve '${label(other)}' boş/null veriyle koşar. '${name}' adımına 'error' dalı bağlayın ya da flow'a errorSteps verin.`;
+        for (const other of mainSteps) {
+            if (other === step)
+                continue;
+            if (String(other.type ?? '') === 'setter') {
+                const iteratees = Array.isArray(other.args?.iteratees)
+                    ? other.args.iteratees.filter(isRecord)
+                    : [];
+                for (const iteratee of iteratees) {
+                    const mapping = (iteratee.mapping ?? {});
+                    const value = (iteratee.value ?? {});
+                    const reference = typeof mapping.source === 'string' && mapping.source.length > 0
+                        ? mapping.source
+                        : typeof value.ref === 'string' ? value.ref : '';
+                    if (value.type === 'storage' && (reference === `${name}.data` || reference.startsWith(`${name}.data.`) || reference.startsWith(`${name}.data[`))) {
+                        warnings.add(message(other));
+                    }
+                }
+            }
+            for (const site of flowExpressionSites(other)) {
+                if (pattern.test(site.expression))
+                    warnings.add(message(other));
+            }
+        }
+    }
+    return [...warnings];
+}
 export function registerFlowTools(server, platform) {
     const config = platform.config;
     server.registerTool('flow_list', {
@@ -369,7 +423,8 @@ export function registerFlowTools(server, platform) {
             ...await requiredParameterWarnings(platform, project, environment, applicationId, steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, steps),
             ...flowBodyWarnings(steps),
-            ...unknownSetterTargetWarnings(steps, errorSteps ?? [], hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(steps, errorSteps ?? [], hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(steps, errorSteps ?? [])
         ];
         // Gövde yalnız akıştır (designer-partial-update K1): barındırıcı zarfı platformda hâlâ isteğe bağlı
         // ama gönderilirse okunan tam kaydı yeniden yazar, açık Studio designer'ının kayıtlı tabanını
@@ -438,7 +493,8 @@ export function registerFlowTools(server, platform) {
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
             ...flowBodyWarnings(flow.steps),
-            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps)
         ];
         await platform.tenant('PUT', project, flowPath(host, applicationId, hostId, flowId), { environment, body: { flow } });
         // Kısmi güncellemede yalnız GÖNDERİLEN alanlar karşılaştırılır; verilmeyen alan için
@@ -490,7 +546,8 @@ export function registerFlowTools(server, platform) {
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
             ...flowBodyWarnings(flow.steps),
-            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps)
         ];
         // Gövde değil FARK gönderilir; platform PATCH ucu akışı tek başına yazar. Net diff okunan kayıt ile son hâl arasından hesaplanır.
         const netOps = fastJsonPatch.compare(current, flow);
@@ -521,4 +578,13 @@ export function registerFlowTools(server, platform) {
         await platform.tenant('DELETE', project, flowPath(host, applicationId, hostId, flowId), { environment, body: { id: flowId } });
         return { deleted: flowId, host, hostId };
     }));
+    server.registerTool('flow_restore', {
+        title: 'Silinen akışı geri yükle',
+        description: "Silinmiş bir akışı revizyon defterindeki son içeriğiyle (ad, slug, adımlar, barındırıcı) AYNI id ile yeniden kurar. Sayfa kaydı bağı kalmayan akışı kalıcı siler (FLOW-002, allowFlowDeletion) — Studio'nun eski sekmesi boş şema kaydettiğinde de (ZM-27). Akışı olaya YENİDEN BAĞLAMAZ: geri geldikten sonra set_event ile bağlayın. SINIR: adımları sayfanın bir komponentini hedefliyorsa (tetikleyen element, iterate/parametre komponenti) o komponent de şemada olmalıdır, yoksa geri yükleme reddedilir — sayfa boşaldıysa (ZM-27) page_restore kullanın: sayfayı ve akışlarını birlikte geri kurar. Akış hâlâ varsa 409, saklama süresi dolup revizyonu budanmışsa 404 döner. Silinen akışı revision_list(module: 'flow') satırlarında operation: delete olarak bulun; recordId akış id'sidir.",
+        inputSchema: { project: projectParam, environment: environmentParam, flowId: flowIdParam },
+        annotations: writes
+    }, handle(config, async ({ project, environment, flowId }) => {
+        const restored = unwrap(await platform.tenant('POST', project, `/flows/${flowId}/restore`, { environment }));
+        return { restored: flowId, flow: restored };
+    }));
 }

package/dist/tools/layouts.js

@@ -99,8 +99,8 @@ export function registerLayoutTools(server, platform) {
         },
         annotations: writes
     }, handle(config, async ({ project, environment, applicationId, name, views, events, parameters }) => {
-        assertScreenWriteGuards('layout', { schema: views, events });
         const resolved = await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: views, events }, resolved.profile.platform);
         const fixed = normalizeComponentDefaults(views);
         const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, views);
         const gaps = [
@@ -138,13 +138,13 @@ export function registerLayoutTools(server, platform) {
         annotations: updates
     }, handle(config, async ({ project, environment, applicationId, id, ...changes }) => {
         const overrides = Object.fromEntries(Object.entries(changes).filter(([, value]) => value !== undefined));
-        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events });
+        const resolved = overrides.views === undefined ? undefined : await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events }, resolved?.profile.platform);
         const current = await fetchHost(platform, 'layout', project, environment, applicationId, id);
         const fixed = normalizeComponentDefaults(overrides.views);
         const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, overrides.views);
         const body = layoutUpdateBody({ ...current, applicationId }, overrides);
         await platform.tenant('PUT', project, `/layouts/${applicationId}/${id}`, { environment, body });
-        const resolved = overrides.views === undefined ? undefined : await resolveProfile(platform, applicationId);
         const gaps = overrides.views === undefined || !resolved
             ? []
             : [
@@ -206,7 +206,8 @@ export function registerLayoutTools(server, platform) {
         const overrides = Object.fromEntries(['name', 'views', 'events', 'parameters']
             .filter(key => patched[key] !== undefined)
             .map(key => [key, patched[key]]));
-        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events });
+        const profile = await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events }, profile.profile.platform);
         const fixed = normalizeComponentDefaults(overrides.views);
         const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, overrides.views);
         const body = layoutUpdateBody({ ...current, applicationId }, overrides);
@@ -219,7 +220,6 @@ export function registerLayoutTools(server, platform) {
             body: { baseVersion: baseVersionOf(document, 'layout_get'), ops: netOps }
         });
         const written = patchResult(saved, finalDocument);
-        const profile = await resolveProfile(platform, applicationId);
         const gaps = [
             ...(profile.profile.layout.blocksMeaningful ? verticalGapWarnings(body.views, 'LAY-003 (uyarı)') : []),
             ...flexSizeWarnings(body.views, 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'),

package/dist/tools/microservices.js

@@ -6,13 +6,14 @@ import { normalizeMicroserviceDefinition, normalizeMicroservicePatchOps, withNor
 import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
 import { microserviceOutline, workflowOutline, resolvePart, resolvePatchOperations } from '../knowledge/outlines.js';
 import { patchResult, baseVersionOf } from '../platform/patch.js';
-import { policyRules } from '../knowledge/rules.js';
+import { filterOperatorError, policyRules } from '../knowledge/rules.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
-import { identityHeaders } from '../platform/tokenVault.js';
+import { identityHeaders, resolveIdentity } from '../platform/tokenVault.js';
 import { PlatformApiError } from '../platform/errors.js';
 import { existingMatch, ifExistsParam, listAll, platformRename, withOutcome, withRename } from '../platform/ifExists.js';
 import { outlineWrite, recordWriteViewParam } from '../platform/writeView.js';
 import { handle } from '../platform/responses.js';
+import { headersForMode } from '../platform/http.js';
 import fastJsonPatch from 'fast-json-patch';
 import { z } from 'zod';
 import { constraintSummary } from '../knowledge/backendConstraints.js';
@@ -68,7 +69,7 @@ async function queryScopeFindings(platform, project, environment, definition) {
 }
 const patchOperationsParam = z.array(z.record(z.unknown())).min(1)
     .describe("RFC 6902 JSON Patch işlemleri; path'leri view:'outline'/'part' ile keşfedin. Dizi öğelerinde indeks yerine seçici kullanılabilir: '/sourceParameters/joins[alias=customers]/path' — seçici gövde platforma gitmeden indekse çevrilir, çözülemezse istek hiç gönderilmez.");
-const asUserParam = z.string().min(1).optional().describe("Uygulama üyesinin kimliği: istek gateway'in servis jetonu yerine bu kimlikle gider. Jeton HEM Authorization başlığında HEM NG_AccessToken çerezinde taşınır, böylece jetonu ÇEREZDEN okuyan middleware de geçer — uca middleware bağlandığı anda bu alan olmadan çağrı 401 döner (09-05 koşusu S-21). İKİ ŞEKİL kabul edilir: (1) ham JWT, (2) `tok_…` referansı (giriş ucunu çağırdığınızda yanıtın tokenRefs alanında döner, 15 dk geçerli). anonymous ile birlikte verilemez.");
+const asUserParam = z.string().min(1).optional().describe("Uygulama üyesinin kimliği: istek gateway'in servis jetonu yerine bu kimlikle gider. Jeton HEM Authorization başlığında HEM NG_AccessToken çerezinde taşınır, böylece jetonu ÇEREZDEN okuyan middleware de geçer — uca middleware bağlandığı anda bu alan olmadan çağrı 401 döner (09-05 koşusu S-21). ÜÇ ŞEKİL kabul edilir: (1) TERCİH EDİLEN `test:<ad>` — gateway kök .env'deki MCP_TEST_USER_<AD> satırıyla giriş ucunu kendisi çağırır, jetonu kasadan yeniden kullanır (satırı insan yazar), (2) `tok_…` referansı (giriş ucunu çağırdığınızda yanıtın tokenRefs alanında döner; ömür MCP_TOKEN_TTL_MINUTES, MCP_STATE_DIR varsa gateway yeniden başlayınca da çözülür), (3) ham JWT. anonymous ile birlikte verilemez.");
 const cookiesParam = z.record(z.string()).optional().describe("İsteğe eklenecek çerezler (ad → değer): uygulamanın KENDİ oturum çerezi buraya verilir (ör. { CORE_Token: '<jwt>' }). asUser verildiğinde gateway NG_AccessToken çerezini zaten kendisi kurar; bu alan yalnız uygulama başka bir çerez adı okuyorsa gerekir. anonymous ile birlikte verilemez.");
 const executeInput = {
     project: projectParam,
@@ -189,6 +190,13 @@ function unboundQueryParameters(value, into = []) {
         unboundQueryParameters(entry, into);
     return into;
 }
+/** Çağrının dinamik filtresi (`filters`, sorguda ya da gövdede) bilinen işleçlerle mi — değilse istek gitmez (g-03). */
+function assertFilterOperators(tool, bound) {
+    const bodyFilters = bound.body && !Array.isArray(bound.body) ? bound.body.filters : undefined;
+    const error = filterOperatorError(tool, bound.query?.filters) ?? filterOperatorError(tool, bodyFilters);
+    if (error)
+        throw new PlatformApiError(error, 400);
+}
 function executePath(prefix, application, microservice, routeParams) {
     const routeSuffix = routeParams && routeParams.length > 0
         ? `/${routeParams.map(encodeURIComponent).join('/')}`
@@ -406,14 +414,20 @@ export function registerMicroserviceTools(server, platform) {
     }, handle(config, ({ project, environment, id }) => platform.tenant('POST', project, `/microservices/${id}/clone`, { environment })));
     server.registerTool('microservice_execute', {
         title: 'Microservice çalıştır',
-        description: "Kayıtlı microservice'i gerçek runtime yolundan çalıştırır (POST /{project}/m/{application}/{microservice SLUG'ı}). Dönen httpStatus microservice'in kendi sonucudur (hata da geçerli çıktıdır); beklenmedik sonuçta microservice_debug ile adım adım inceleyin. Anonim erişim testi için anonymous: true. Yanıt 'headers' alanında platformun döndüğü header'ları taşır (küçük harf; ör. headers['total-count'] — sayfalı tablo akışlarının okuduğu sözleşme; set-cookie/authorization elenir).",
-        inputSchema: executeInput,
+        description: "Kayıtlı microservice'i gerçek runtime yolundan çalıştırır (POST /{project}/m/{application}/{microservice SLUG'ı}). Dönen httpStatus microservice'in kendi sonucudur (hata da geçerli çıktıdır); beklenmedik sonuçta microservice_debug ile adım adım inceleyin. Anonim erişim testi için anonymous: true. Yanıt 'headers' alanı VARSAYILAN OLARAK yalnız iş başlıklarını taşır (küçük harf): content-type, content-length, content-disposition, location, total-count (sayfalı tablo akışlarının okuduğu sözleşme), x-request-id, traceparent. Ucun response adımında kendi yazdığı başlıkları ya da sunucu başlıklarını görmek için includeHeaders:'all'; hiç başlık istemiyorsanız 'none'. set-cookie/authorization her kipte elenir.",
+        inputSchema: {
+            ...executeInput,
+            includeHeaders: z.enum(['none', 'essential', 'all']).optional().describe("Yanıttaki 'headers' alanı. essential (varsayılan): content-type, content-length, content-disposition, location, total-count, x-request-id, traceparent. all: platformun döndüğü bütün başlıklar (gizliler hariç) — ucun kendi yazdığı başlığı doğrulamak için. none: başlık yok")
+        },
         annotations: writes
-    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, cookies, language }) => {
+    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, cookies, language, includeHeaders }) => {
         const notes = [];
-        const requestHeaders = { ...runIdentity(anonymous, asUser, cookies, headers), ...languageHeader(language, notes) };
+        const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);
+        const requestHeaders = { ...runIdentity(anonymous, member, cookies, headers), ...languageHeader(language, notes) };
         const bound = bindCallParameters(method, parameters, query, body, notes);
-        return withNormalization(await platform.tenantRaw(method, project, executePath('m', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true }), notes);
+        assertFilterOperators('microservice_execute', bound);
+        const raw = await platform.tenantRaw(method, project, executePath('m', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true });
+        return withNormalization({ ...raw, headers: headersForMode(raw.headers, includeHeaders ?? 'essential') }, notes);
     }));
     server.registerTool('microservice_debug', {
         title: 'Microservice debug',
@@ -422,8 +436,10 @@ export function registerMicroserviceTools(server, platform) {
         annotations: writes
     }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, cookies, language }) => {
         const notes = [];
-        const requestHeaders = { ...runIdentity(anonymous, asUser, cookies, headers), ...languageHeader(language, notes) };
+        const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);
+        const requestHeaders = { ...runIdentity(anonymous, member, cookies, headers), ...languageHeader(language, notes) };
         const bound = bindCallParameters(method, parameters, query, body, notes);
+        assertFilterOperators('microservice_debug', bound);
         const payload = await platform.tenantRaw(method, project, executePath('debug', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true });
         const unbound = unboundQueryParameters(payload.body);
         return withNormalization({
@@ -474,7 +490,7 @@ export function registerMicroserviceTools(server, platform) {
         const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'microservice', definition, { operation: 'preview' }, policyOverride));
         // Önizleme de ucun middleware'lerini koşturur: kimlik verilmezse korumalı uç 401 döner ve kuru
         // koşu aracı tam gerektiği anda kullanılamaz hâle gelir (09-05 koşusu S-21).
-        const payload = await platform.tenantRaw('POST', project, `/microservices/${resolvedApplicationId}/preview`, { environment, body: definition, headers: { ...identityHeaders(asUser, cookies, undefined), ...languageHeader(language, normalized) }, mirrorAuthorizationCookie: true });
+        const payload = await platform.tenantRaw('POST', project, `/microservices/${resolvedApplicationId}/preview`, { environment, body: definition, headers: { ...identityHeaders(await resolveIdentity(asUser, platform, project, environment), cookies, undefined), ...languageHeader(language, normalized) }, mirrorAuthorizationCookie: true });
         return attachFindings(withResolved(withNormalization(payload, normalized), [...resolver.resolved, ...hydrated]), findings);
     }));
     server.registerTool('microservice_job_history', {