@appaflytech/zeyrek-ai-mcp 0.0.24 → 0.0.26

package/dist/platform/secrets.js

@@ -38,12 +38,3 @@ export function maskSecrets(payload) {
     const tokenRefs = {};
     return { payload: walk(payload, '', masked, tokenRefs, 0), masked, tokenRefs };
 }
-/**
- * Serbest METİNDEKİ kimlik parçaları (konsol satırı, hata yığını): JWT biçimli dize ve `Bearer …`.
- * `maskSecrets` anahtar adına bakar; tarayıcı konsolu anahtarsız düz metin taşır (g-06).
- */
-export function maskSecretText(text) {
-    return text
-        .replace(/Bearer\s+[A-Za-z0-9._~+/=-]+/gi, `Bearer ${maskedValue}`)
-        .replace(/\b[A-Za-z0-9_-]{8,}\.[A-Za-z0-9_-]{8,}\.[A-Za-z0-9_-]{8,}\b/g, maskedValue);
-}

package/dist/platform/strictArguments.js

@@ -1,11 +1,5 @@
 import { z } from 'zod';
 import { diagnosticsParam, runWithDiagnostics } from './diagnostics.js';
-import { applyArgumentAliases, closestArgument, runWithArgumentNotes } from './argumentAliases.js';
-import { BODY_FILE_ARGUMENTS, bodyFileParam, loadBodyFile } from './bodyFile.js';
-import { PlatformApiError } from './errors.js';
-import { logError } from '../observability/trace.js';
-/** Doğrulanmış argümanlara takılan çeviri notları (`ArgumentNotes`); JSON'a ve platform isteğine girmez. */
-const ARGUMENT_NOTES = Symbol('argumentNotes');
 /**
  * `writes`/`updates` açıklamalı ama KAYIT yazmayan tool'lar: çalıştırma, önizleme, dışa aktarma, indirme,
  * bağlantı testi. Yanıtlarında yazma tanılaması (silentlyDropped) yoktur; parametre yalnız tool listesini
@@ -31,75 +25,25 @@ function isRawShape(value) {
  * olmayan bir sorgu kusuruna yönlendirdi. Tek tek tool'lara alan eklemek sınıfı kapatmaz; sessizlik
  * burada, SDK'ya şema verilmeden önce kaldırılır.
  */
-export function rejectUnknownArguments(server, platform) {
+export function rejectUnknownArguments(server) {
     const registerTool = server.registerTool.bind(server);
-    // Zorunlu gövde argümanı `bodyFile` açıkken şemada isteğe bağlı yayınlanır (yoksa şemaya uyan istemci
-    // gövdeyi satır içinde yollamak zorunda kalır ve `bodyFile` "birlikte verilemez" ile reddedilirdi);
-    // zorunluluk dosya okunduktan sonra burada denetlenir.
-    const requiredBodies = new Map();
-    // g-07/g-08: `bodyFile` ve takma ad tablosu SDK'nın strict doğrulamasından ÖNCE koşmalı — sonra
-    // koşsa yanlış ad zaten reddedilmiş, dosyadan gelen gövde doğrulanmamış olur. SDK doğrulamayı
-    // `validateToolInput` içinde yapar; çeviri orada uygulanır ve notlar doğrulanmış argümanlara
-    // sembol anahtarla takılır.
-    if (platform) {
-        const validator = server;
-        const validate = validator.validateToolInput.bind(server);
-        validator.validateToolInput = async (tool, args, name) => {
-            try {
-                const loaded = await loadBodyFile(name, args, platform.config);
-                const requiredBody = requiredBodies.get(name);
-                if (requiredBody && loaded.args?.[requiredBody] === undefined) {
-                    throw new PlatformApiError(`${name}: '${requiredBody}' zorunlu — satır içinde ya da bodyFile ile (.json dosyası) verin. İstek gönderilmedi.`, 400);
-                }
-                const { args: aliased, applied } = await applyArgumentAliases(name, loaded.args, { platform, shape: tool.inputSchema?.shape ?? {} });
-                const parsed = await validate(tool, aliased, name);
-                const notes = { aliasesApplied: applied, ...(loaded.note ? { bodyFile: loaded.note } : {}) };
-                return (applied.length > 0 || loaded.note) && parsed && typeof parsed === 'object' ? Object.assign(parsed, { [ARGUMENT_NOTES]: notes }) : parsed;
-            }
-            catch (error) {
-                // Doğrulamadan önceki çeviri (dosya, takma ad) `handle`'ın dışında koşar: hata burada günlüğe yazılır.
-                if (error instanceof PlatformApiError)
-                    logError(error);
-                throw error;
-            }
-        };
-    }
     server.registerTool = ((name, config, callback) => {
         if (!isRawShape(config.inputSchema))
             return registerTool(name, config, callback);
-        // Tanılama notları her tool'da compact döner (g-08: okuma ve çalıştırma yanıtında da 8 not +
-        // "N not daha"). `diagnostics` parametresi yalnız kayıt yazan tool'lara, microservice_execute'a ve
-        // *_preview'a açılır — ötekilerde tool listesini büyütmesin diye varsayılan kullanılır. Parametre
-        // handler'a ULAŞMAZ (gövdeyi `...rest` ile platforma geçiren tool'larda sızardı), yalnız
-        // toolResult'ın okuduğu bağlama konur.
-        const writesRecords = config.annotations?.readOnlyHint === false && config.annotations.destructiveHint !== true && !NON_WRITING_TOOLS.has(name);
-        const exposesDiagnostics = writesRecords || name === 'microservice_execute' || name.endsWith('_preview');
-        const bodyArgument = BODY_FILE_ARGUMENTS[name];
-        const bodySchema = bodyArgument ? config.inputSchema[bodyArgument] : undefined;
-        if (bodyArgument && bodySchema && !bodySchema.isOptional())
-            requiredBodies.set(name, bodyArgument);
-        const shape = {
-            ...config.inputSchema,
-            ...(bodyArgument && bodySchema ? { [bodyArgument]: bodySchema.optional(), bodyFile: bodyFileParam(bodyArgument) } : {}),
-            ...(exposesDiagnostics ? { diagnostics: diagnosticsParam } : {})
-        };
-        const invoke = (args, extra) => {
-            const { diagnostics, ...rest } = exposesDiagnostics ? args ?? {} : { ...args, diagnostics: undefined };
-            return runWithDiagnostics(diagnostics === 'full' ? 'full' : 'compact', () => callback(exposesDiagnostics ? rest : args, extra), exposesDiagnostics);
-        };
-        const run = (args, extra) => {
-            const { [ARGUMENT_NOTES]: notes, ...rest } = args ?? {};
-            return runWithArgumentNotes(notes ?? { aliasesApplied: [] }, () => invoke(rest, extra));
-        };
+        // Yazma tool'ları tanılama kipini alır; parametre handler'a ULAŞMAZ (gövdeyi `...rest` ile
+        // platforma geçiren tool'larda sızardı), yalnız toolResult'ın okuduğu bağlama konur.
+        const writesDiagnostics = config.annotations?.readOnlyHint === false && config.annotations.destructiveHint !== true && !NON_WRITING_TOOLS.has(name);
+        const shape = writesDiagnostics ? { ...config.inputSchema, diagnostics: diagnosticsParam } : config.inputSchema;
+        const run = writesDiagnostics
+            ? ((args, extra) => {
+                const { diagnostics, ...rest } = args ?? {};
+                return runWithDiagnostics(diagnostics === 'full' ? 'full' : 'compact', () => callback(rest, extra));
+            })
+            : callback;
         const accepted = Object.keys(shape).join(', ');
-        const suggestions = (keys) => keys
-            .map(key => ({ key, near: closestArgument(key, Object.keys(shape)) }))
-            .filter(entry => entry.near !== undefined)
-            .map(entry => ` '${entry.key}' → '${entry.near}' mi demek istediniz?`)
-            .join('');
         const inputSchema = z.object(shape, {
             errorMap: (issue, context) => issue.code === 'unrecognized_keys'
-                ? { message: `${name} şu üst düzey argümanları tanımıyor: ${issue.keys.map(key => `'${key}'`).join(', ')}. Tanınmayan alan sessizce yok sayılmaz — çağrı hiç gönderilmedi. Bu tool'un okuduğu alanlar: ${accepted}.${suggestions(issue.keys)}` }
+                ? { message: `${name} şu üst düzey argümanları tanımıyor: ${issue.keys.map(key => `'${key}'`).join(', ')}. Tanınmayan alan sessizce yok sayılmaz — çağrı hiç gönderilmedi. Bu tool'un okuduğu alanlar: ${accepted}.` }
                 : { message: context.defaultError }
         }).strict();
         return registerTool(name, { ...config, inputSchema }, run);

package/dist/platform/tokenVault.js

@@ -1,8 +1,5 @@
 import { PlatformApiError } from './errors.js';
 import { randomBytes } from 'node:crypto';
-import { mkdirSync, readFileSync, renameSync, writeFileSync } from 'node:fs';
-import { dirname, join } from 'node:path';
-import { logStep } from '../observability/trace.js';
 /**
  * `page_screenshot`/`page_runtime_get` açıklaması "jetonu uygulamanın kendi giriş ucundan alın
  * (`microservice_execute`)" diyor, ama gizli alan maskesi `access_token`'ı `***` yapıyor ve o yol
@@ -12,19 +9,10 @@ import { logStep } from '../observability/trace.js';
  * Kasa bu çelişkiyi jetonu bağlama HİÇ sokmadan çözer: maskelenen JWT gateway sürecinde tutulur,
  * yanıta yalnız kısa ömürlü bir referans (`tok_…`) döner ve kimlik isteyen tool'lar referansı
  * çözer. Jeton ne yanıtta ne günlükte açık görünür.
- *
- * g-09 (`plans/mobil-plantcare-acigi`, K9): kasa süreç sınırını aşar. `.env` `MCP_STATE_DIR`
- * verilmişse kayıtlar `token-vault.json`'a (0600) yazılır ve süreç açılışta onu okur; süre
- * `MCP_TOKEN_TTL_MINUTES`'tan gelir (verilmezse eski 15 dk). Dosya YALNIZ lokal hedefte yazılır —
- * uzak bir org'un jetonu diske inmez. Test kullanıcısının (`asUser: 'test:<ad>'`) jetonu da burada,
- * etiketiyle tutulur; aynı kullanıcı TTL boyunca yeniden giriş yapmaz.
  */
-const legacyTtlMinutes = 15;
+const ttlMs = 15 * 60 * 1000;
 const maxEntries = 64;
 const vault = new Map();
-let ttlMs = legacyTtlMinutes * 60 * 1000;
-let vaultFile;
-let warnedRemote = false;
 export const tokenRefPattern = /^tok_[0-9a-f]{16}$/;
 /** Üç base64url parçalı JWT — parola ya da API anahtarı bu şekle uymaz. */
 export function looksLikeJwt(value) {
@@ -42,132 +30,29 @@ function sweep(now) {
         vault.delete(oldest.value);
     }
 }
-function isLocalTarget(baseUrl) {
-    try {
-        const host = new URL(baseUrl).hostname;
-        return host === 'localhost' || host === '127.0.0.1' || host === '[::1]' || host.endsWith('.localhost');
-    }
-    catch {
-        return false;
-    }
-}
-/**
- * Aynı dosyayı birden çok gateway süreci paylaşır (her Claude Code oturumu kendi stdio sürecini açar).
- * Yazma "son yazan kazanır" olursa bir sürecin kaydı ötekinin yazmasıyla silinirdi: yazmadan önce ve
- * bellekte olmayan referans istenince dosya okunur, süresi dolmamış yabancı kayıtlar belleğe katılır.
- */
-function mergeFromFile() {
-    if (!vaultFile)
-        return;
-    try {
-        const stored = JSON.parse(readFileSync(vaultFile, 'utf8'));
-        const now = Date.now();
-        for (const [ref, entry] of Object.entries(stored.entries ?? {})) {
-            if (!vault.has(ref) && tokenRefPattern.test(ref) && typeof entry.token === 'string' && typeof entry.expires === 'number' && entry.expires > now) {
-                vault.set(ref, { token: entry.token, expires: entry.expires, ...(typeof entry.label === 'string' ? { label: entry.label } : {}) });
-            }
-        }
-    }
-    catch {
-        // dosya yok ya da okunamadı: bellekteki kasa geçerli
-    }
-}
-function persist() {
-    if (!vaultFile)
-        return;
-    mergeFromFile();
-    sweep(Date.now());
-    try {
-        const temporary = `${vaultFile}.${process.pid}.tmp`;
-        mkdirSync(dirname(vaultFile), { recursive: true, mode: 0o700 });
-        writeFileSync(temporary, JSON.stringify({ entries: Object.fromEntries(vault) }), { mode: 0o600 });
-        renameSync(temporary, vaultFile);
-    }
-    catch (error) {
-        logStep('jeton kasası ✕', `kasa dosyası yazılamadı (${vaultFile}) — jetonlar bu süreçte bellekte kalır`, [error instanceof Error ? error.message : String(error)]);
-    }
-}
-/**
- * Süreç açılışında bir kez çağrılır (`index.ts`); testler yeniden başlamayı `clearTokenVault` +
- * bu çağrıyla benzetir. Dosyadaki süresi dolmuş kayıtlar yüklenmez ve dosya onlarsız yeniden yazılır.
- */
-export function configureTokenVault(config) {
-    ttlMs = (config.tokenTtlMinutes ?? legacyTtlMinutes) * 60 * 1000;
-    vaultFile = undefined;
-    if (!config.stateDirectory)
-        return;
-    if (!isLocalTarget(config.orgApiBaseUrl)) {
-        if (!warnedRemote) {
-            warnedRemote = true;
-            logStep('jeton kasası', `ORG_API_BASE_URL lokal değil — kasa dosyaya YAZILMAZ, jetonlar yalnız süreç belleğinde tutulur (MCP_STATE_DIR yok sayıldı)`);
-        }
-        return;
-    }
-    vaultFile = join(config.stateDirectory, 'token-vault.json');
-    persist();
-}
-/** Kasanın geçerli ömrü (dakika) — yanıt notları sabit bir süre yazmasın. */
-export const tokenTtlMinutes = () => Math.round(ttlMs / 60000);
-export function rememberToken(token, label) {
+export function rememberToken(token) {
     const now = Date.now();
     sweep(now);
     for (const [ref, entry] of vault) {
         if (entry.token === token) {
             entry.expires = now + ttlMs;
-            if (label !== undefined)
-                entry.label = label;
-            persist();
             return ref;
         }
     }
     const ref = `tok_${randomBytes(8).toString('hex')}`;
-    vault.set(ref, { token, expires: now + ttlMs, ...(label !== undefined ? { label } : {}) });
-    persist();
+    vault.set(ref, { token, expires: now + ttlMs });
     return ref;
 }
 export function resolveToken(reference) {
-    if (!vault.has(reference))
-        mergeFromFile();
     const entry = vault.get(reference);
     if (!entry)
         return undefined;
     if (entry.expires <= Date.now()) {
         vault.delete(reference);
-        persist();
         return undefined;
     }
     return entry.token;
 }
-/**
- * Jetonun kendi süresi (`exp`) kasanın TTL'inden kısa olabilir: uygulamanın jetonu 15 dk yaşarken kasa
- * 60 dk tutuyordu ve süresi dolmuş jetonla çekilen kare sessizce çıkış yapmış sayfayı gösterirdi.
- * 30 sn pay bırakılır; `exp` okunamayan jeton geçerli sayılır (karar uygulamanındır).
- */
-const jwtExpired = (token) => {
-    try {
-        const payload = JSON.parse(Buffer.from(token.split('.')[1] ?? '', 'base64url').toString('utf8'));
-        return typeof payload.exp === 'number' && payload.exp * 1000 <= Date.now() + 30_000;
-    }
-    catch {
-        return false;
-    }
-};
-function labeledToken(label) {
-    const find = () => {
-        const now = Date.now();
-        for (const entry of vault.values()) {
-            if (entry.label === label && entry.expires > now && !jwtExpired(entry.token))
-                return entry.token;
-        }
-        return undefined;
-    };
-    const found = find();
-    if (found || !vaultFile)
-        return found;
-    mergeFromFile();
-    return find();
-}
-/** Bellekteki kasayı boşaltır (süreç yeniden başlamasının benzetimi); dosyaya dokunmaz. */
 export function clearTokenVault() {
     vault.clear();
 }
@@ -181,76 +66,8 @@ export function resolveIdentityToken(value) {
         return value;
     const token = resolveToken(value);
     if (token === undefined) {
-        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (${Math.round(ttlMs / 60000)} dk). Tercih edilen yol asUser: 'test:<ad>' — gateway kök .env'deki test kullanıcısıyla kendisi giriş yapar. Yoksa uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
-    }
-    return token;
-}
-/**
- * Giriş yanıtındaki erişim jetonu: yanıt birden çok JWT taşıyabilir (erişim + yenileme). Anahtarı
- * `access` içeren önce, sonra `refresh` içermeyen, en son ilk bulunan — yenileme jetonuyla istek atmak
- * her uçta 401 demekti.
- */
-function accessJwt(value) {
-    const found = [];
-    const collect = (node, key, depth) => {
-        if (depth > 12)
-            return;
-        if (looksLikeJwt(node)) {
-            found.push({ key, token: node });
-            return;
-        }
-        if (Array.isArray(node))
-            node.forEach(entry => collect(entry, key, depth + 1));
-        else if (node && typeof node === 'object')
-            Object.entries(node).forEach(([name, entry]) => collect(entry, name, depth + 1));
-    };
-    collect(value, '', 0);
-    return (found.find(entry => /access/i.test(entry.key)) ?? found.find(entry => !/refresh/i.test(entry.key)) ?? found[0])?.token;
-}
-/**
- * g-09: `asUser` üç şekil alır — ham JWT, `tok_…` referansı ve `test:<ad>`. Üçüncüsünde gateway kök
- * `.env`'deki `MCP_TEST_USER_<AD>` satırının tarif ettiği giriş ucunu (uygulamanın kendi uç'u)
- * anonim çağırır, yanıttaki ilk JWT'yi kasaya etiketiyle koyar ve TTL boyunca yeniden kullanır.
- * Parola ne yanıta, ne günlüğe (`hideRequestBody`), ne hata metnine girer; satırın değeri hiçbir
- * mesajda gösterilmez. AI `.env`'i düzenlemez: tanımsız kullanıcı, insanın ekleyeceği değişkenin
- * adıyla reddedilir.
- */
-export async function resolveIdentity(value, platform, project, environment) {
-    if (value === undefined || !value.startsWith('test:'))
-        return resolveIdentityToken(value);
-    const name = value.slice('test:'.length).trim().toLowerCase();
-    const variable = `MCP_TEST_USER_${name.toUpperCase()}`;
-    const label = `test:${name}@${platform.resolveProject(project)}/${environment ?? platform.config.defaultEnvironment}`;
-    const cached = labeledToken(label);
-    if (cached)
-        return cached;
-    const raw = platform.config.testUsers[name];
-    if (!raw) {
-        const defined = Object.keys(platform.config.testUsers);
-        throw new PlatformApiError(`Test kullanıcısı '${name}' tanımlı değil. Kök .env'e insan ekler: ${variable}={"application":"<uygulama slug>","microservice":"<giriş ucu slug>","body":{…giriş gövdesi…}} (biçim: docs/ortam.md §Test kullanıcıları); gateway yeniden başlatılır. AI .env'i düzenlemez. Tanımlı olanlar: ${defined.length > 0 ? defined.join(', ') : '(yok)'}.`, 400);
-    }
-    let login;
-    try {
-        login = JSON.parse(raw);
-    }
-    catch {
-        throw new PlatformApiError(`${variable} JSON olarak okunamadı (değer gösterilmez). Biçim: {"application":"…","microservice":"…","body":{…}} — docs/ortam.md §Test kullanıcıları.`, 400);
-    }
-    if (typeof login.application !== 'string' || typeof login.microservice !== 'string') {
-        throw new PlatformApiError(`${variable} 'application' ve 'microservice' alanlarını taşımalı (değer gösterilmez) — docs/ortam.md §Test kullanıcıları.`, 400);
-    }
-    const endpoint = `${login.application}/${login.microservice}`;
-    const response = await platform.tenantRaw(typeof login.method === 'string' ? login.method : 'POST', project, `/m/${endpoint}`, {
-        environment,
-        body: login.body,
-        anonymous: true,
-        hideRequestBody: true
-    });
-    const token = accessJwt(response.body);
-    if (!token) {
-        throw new PlatformApiError(`Test kullanıcısı '${name}' girişi jeton döndürmedi: ${endpoint} HTTP ${response.httpStatus}. Kök .env'deki ${variable} satırını (uç ve gövde) ve kullanıcının uygulamada var olduğunu kontrol edin; gövde ve kimlik bilgisi gösterilmez.`, 400);
+        throw new PlatformApiError(`'${value}' referansı geçersiz ya da süresi dolmuş (15 dk). Uygulamanın giriş ucunu microservice_execute ile yeniden çağırıp yanıttaki tokenRefs değerini kullanın.`, 400);
     }
-    rememberToken(token, label);
     return token;
 }
 /**

package/dist/resources/examples/workflow-http-step.json

@@ -7,7 +7,7 @@
   "_rules": {
     "payloadExpression": "ÜÇ ANAHTAR DA ZORUNLUDUR, boş olsalar bile: ({ body: {}, header: {}, queryString: {} }). Yürütücü üçüne de C# dynamic üye erişimiyle bakar (HttpStep.cs:32,42,59), eksik anahtar adımı RuntimeBinderException ile düşürür. Ölçülen mesaj birebir: \"'System.Dynamic.ExpandoObject' does not contain a definition for 'queryString'\". Bu bir doğrulama hatası değildir; adım fail dalına gider.",
     "urlExpression": "Bu bir İFADEDİR, düz metin değil: sabit adres tırnak içinde yazılır ('https://api.example.com/v1/rates'), dinamik adres ifadeyle kurulur ('https://api.example.com/orders/' + input.orderId). Tırnaksız yazarsan JS onu değişken sanır ve adım 'x is not defined' ile düşer.",
-    "output": "ÖLÇÜLDÜ 2026-09-16 — ŞEMAYLA ÇELİŞİR. workflow_step_schema('http') returnScheme'i kök seviyede { httpStatusCode, data } ilan ediyor, AMA ifade bağlamında adım { data, meta: { elapsedTime, httpStatusCode, totalCount }, error } şeklindedir: gövde <adım>.data, durum kodu <adım>.meta.httpStatusCode. <adım>.httpStatusCode UNDEFINED döner. Şemaya göre yazarsan sessizce boş değer alırsın.",
+    "output": "ÖLÇÜLDÜ 2026-09-16: ifade bağlamında adım { data, meta: { elapsedTime, httpStatusCode, totalCount }, error } şeklindedir — gövde <adım>.data, durum kodu <adım>.meta.httpStatusCode; <adım>.httpStatusCode UNDEFINED döner. workflow_step_schema('http') returnScheme'i 2026-09-28'den beri yalnız gövdeyi anlatır: adsız, tipsiz (anonymous) tek girdi, her adımda olduğu gibi zarfı değil.",
     "responseParsing": "Yanıt gövdesi JSON'a benziyorsa ayrıştırılır, benzemiyorsa SESSİZCE boş nesne ({}) olur (HttpStep.cs:92) — XML dönen uçtan veri alamazsın ve hata da almazsın (36/W-2, açık bulgu). Ham metne erişmenin yolu yoktur.",
     "contentType": "KOD OKUMASINDAN (bu koşuda ölçülmedi): 'application/json' → JsonContent; 'application/x-www-form-urlencoded' → düz anahtar/değer; BAŞKA BİR DEĞER ya da BOŞ → gövde body.ToString() ile gider ve nesne gövdesi için bu, tip adının kendisidir (HttpStep.cs:63-85). POST/PUT'ta contentType'ı AÇIKÇA yazın.",
     "stepName": "Adım çıktısına ADIM ADIYLA erişilir, o yüzden ad geçerli bir JS tanımlayıcısı olmalıdır. Boşluklu ad ('Call Roles') ifadede çağrılamaz; ölçümde call_roles is not defined ile düştü. snake_case kullanın.",
@@ -78,7 +78,7 @@
   "usage": {
     "postGovdesi": "POST için: { stepType: 'http', urlExpression: \"'https://api.example.com/orders'\", httpMethod: 'POST', contentType: 'application/json', payloadExpression: \"({ body: { orderId: input.orderId, adet: 2 }, header: { Authorization: 'Bearer ' + system.token }, queryString: {} })\" }",
     "queryStringKullanimi": "Sorgu parametresi payloadExpression'ın queryString anahtarına konur, URL'e elle eklenmez: queryString: { from: 'USD', to: 'TRY' }.",
-    "onlemliOkuma": "Gövdeyi <adım>.data ile, durum kodunu <adım>.meta.httpStatusCode ile okuyun; şemanın vaat ettiği <adım>.httpStatusCode undefined'dır (ölçüldü 2026-09-16).",
+    "onlemliOkuma": "Gövdeyi <adım>.data ile, durum kodunu <adım>.meta.httpStatusCode ile okuyun; <adım>.httpStatusCode undefined'dır (ölçüldü 2026-09-16).",
     "dogrulama": "workflow_preview ile koşturun ve yanıttaki steps[] içinde http adımının input satırlarına bakın: source:'url' ve source:'payload' iki ayrı satır olarak görünür; hata varsa runtimeErrors alanı adımı adıyla sayar."
   }
 }

package/dist/resources/guides/component.md

@@ -3,11 +3,6 @@
 Sayfaya konan her şeyin ortak kuralları. Kuruluş sırası ve şema gövdesi için
 `platform_guide('page')`; HTML kaçış kapısının derin sözleşmesi için `platform_guide('html')`.
 
-> **Mobil uygulamada** katalog ayrıdır: `component_list`/`component_get` mobil satırları okur,
-> `component_get` `mobileKnowledge` (bileşenin mobil farkları) ve `mobileNotes` ekler; katalogda
-> olmayan tip `MOB-003` alır. Stil CSS değil React Native'dir — `page_runtime_get(resolveStyles)`
-> `nativeStyle` döner (`platform_guide('mobile')`).
-
 ## Keşif: iki tool, üç bilgi katmanı
 
 ```
@@ -113,7 +108,7 @@ Her şema düğümünde iki sözlük vardır; ikisi de ortak render katmanında
 
 | `states` | Anlamı |
 |---|---|
-| `isDroppable` | İçine komponent alır (container/form/repeater true). **Değer kataloğun kararıdır** (`component_list` `droppable` sütunu): Studio kanvası bırakma hedefini bu alandan çözer, bu yüzden gateway yazdığı düğümlerde alanı katalogdan doldurur ve `gatewayNormalized` ile bildirir (PAGE-036). `false` yazılmış bir kabın içine kanvasta bırakma yapılamaz — bilerek kapatmak için `resize_component`/`set_states` |
+| `isDroppable` | İçine komponent alır (container/form/repeater true) |
 | `isScrollable` | İçeriği kendi alanında kaydırır (sabit yükseklikte `overflow-y: auto`) |
 | `isWrapper` | Sayfanın/layout'un/widget'ın ANA kabı — salt düzen elemanı: `height:100%` + **`min-height:80vh`**, kap başlığı ÇİZİLMEZ. **Yalnız sayfa boyu kaplaması gereken tek kap için kullan:** iç içe kutuya verirsen 720px'lik pencerede o kutu 36px içerikle bile 576px çizilir (ölçüldü, `platform_guide('page')` Kural 1f). Çerçeve/başlık gizlemek için wrapper değil `style` (`border:'none'`) kullan. Kurulmuş bir düğümün bayrağını `resize_component` micro-op'unun `states` alanı değiştirir — düğümü yeniden kurmak gerekmez |
 | `isSticky` | Kaydırmada yerinde kalır (header/sidebar; z-index'i otomatik) |

package/dist/resources/guides/expressions.md

@@ -98,8 +98,8 @@ dalından devam eder.
 | `Page` | `Page.user`, `Page.variables`, `Page.components`, `Page.properties`, `Page.queryParams`, `Page.authorized(roles)` |
 | **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` hem prop'u yazar hem UI'ı günceller (change event). Addaki `-` silinir: `tickets-table` → `ticketstable` |
 | `state.page` / `state.app` | Kalıcı state (oku/yaz): `state.page.selectedId = row.id`. **Tanımlı değişkenler de buradadır:** `variable_create` ile yazılan her `key` sayfa düzeyinde `state.page.<key>`, uygulama düzeyinde `state.app.<key>` olur; `value` nesneyse alanlarına inilir (`state.page.MyTest.isActive`) |
-| `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası — ama YALNIZ HTTP durum metnidir (401 için `'Unauthorized'`), ucun mesajı değil. `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ama **YAPIŞKANDIR**: storage sayfa başına tek `FlowMachine`'de yaşar ve `'error'` anahtarı hiç temizlenmez, yani ilk hatadan sonra o sayfadaki her akışta dolu kalır — normal akışta `Steps.error` okuyan bir ifade bayat hatayı görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse aynı alan ucun hata gövdesini taşır; aşağıdaki kutuya bakın |
-| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak YALNIZ o satırı günceller). Satır AKIŞINDA (satırdaki düğümün olayı) ARC-121 düzeltmesini (2026-09-27) taşıyan runtime gerekir, eskisinde boştu — sürümden bağımsız yol `<liste>.selectedItem` / `.selectedIndex`. Tekrarlayıcının KENDİ `change`/`select` akışında satır bağlamı yoktur. `item.x = …` yazımı tekrarlayıcının `change` olayı olarak iletilir: `change`'e bağlı akış her yazımda koşar, o akış da `item`'a yazarsa döngü olur |
+| `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası — ama YALNIZ HTTP durum metnidir (401 için `'Unauthorized'`), ucun mesajı değil. `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ve **yalnız orada okunur**: storage sayfa başına tek `FlowMachine`'de yaşar, ama dışarıdan başlayan her akış başlarken `'error'`'u ve kendi adımlarının önceki değerlerini temizler (`flow-engine.ts` `run`, 2026-09-25) — normal akışta `Steps.error` boştur; hata akışı ve onun tetiklediği akış (`nested`) onu görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse aynı alan ucun hata gövdesini taşır; aşağıdaki kutuya bakın |
+| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak satırı günceller) |
 | `event` | `{name, data, source: {id, props}}` |
 | `cookie` | `cookie.get(name)` / `cookie.set(name, value, {expiresInHours, path})` / `cookie.remove(name)` — tarayıcı cookie'si |
 | `setComponentProperty(name, key, value)` / `getComponentProperty(name, key)` | fonksiyon alternatifi |

package/dist/resources/guides/functions.md

@@ -273,7 +273,7 @@ toplamHesapla(row.fiyat, row.adet) > 1000
   serbesttir — sunucuda o ad alanı yok.
 - **Önekli hata:** gövde hatası `Functions.<ad>: <mesaj>` (studio) ya da `<ad>: <mesaj>` (workflow)
   olarak gelir; `Steps.<adım>.error.message` ya da `runtimeErrors`'ta bu öneki ara.
-- **Mobil uygulama:** mobil runtime (`@ng-apps/ui-native`) `appFunctions`/`pageFunctions`'ı `Functions`'a geçirir, çağrı web'deki gibi çalışır.
+- **Mobil yok** (K11): `apps/mobile` runtime'ı `Functions`'ı boş nesne kurar.
 - **Önbellek:** `/view` yolu eski gövdeyi birkaç saniye gösterebilir; `/dev` yolu anlıktır.
 - **Parametre konumsal:** `parameters` sırasını değiştirmek mevcut çağrıların anlamını değiştirir;
   `function` adımları ada göre eşlendiği için etkilenmez.

package/dist/resources/guides/layout.md

@@ -4,10 +4,6 @@ Sayfaların paylaştığı kabuk: yan menü, üst şerit, kullanıcı menüsü v
 gireceği delik. Şema gövdesi ve koordinat modeli için `platform_guide('page')` (Kural 1,
 1d, 1f); komponent sözleşmeleri için `platform_guide('component')`.
 
-> **Mobil uygulamada** kabuk `app-bar` + tek `slot`'tur; sekmeler uygulama ayarı
-> (`properties.mobile.tabs`), çekmece `drawer` widget'ıdır. Web kabuk bileşenleri (`navigations`,
-> `sidebar`, `header`) `MOB-004` alır — `platform_guide('mobile')` §Gezinme.
-
 ## Karar kuralları
 
 **1. Layout, tek `slot` içeren SIRADAN bir komponent ağacıdır.** Ayrı bir dil yoktur:
@@ -65,7 +61,7 @@ yapılan eski numaraya artık gerek yok.
 NEREDE durduğunu değil, BİÇİMİNİ söyler (dikey kolon / yatay şerit / dolgu yüzeyi). Hem
 runtime hem Studio tuvali bölgeleri 12 kolonluk ızgarayla yerleştirir.
 
-**7. Dar ekranda flex YIĞILMAZ.** Runtime'ın dar ekran kuralı yalnız ızgara özelliklerini ezer.
+**7. Mobilde flex YIĞILMAZ.** Runtime'ın mobil kuralı yalnız ızgara özelliklerini ezer.
 Telefonda alt alta düşmesi gereken satırı `layout:'grid'` ile kur; `layout:'flex'` +
 `direction:'row'` telefonda da yan yana kalır (375px'te ölçüldü: ızgara çocukları 375/375px
 alt alta, flex çocukları 49/310px yan yana). Not: `wrap` varsayılanı artık açık (2026-09-01) —
@@ -144,8 +140,8 @@ bağlantı nesnesi ya da tam yol).
              "direction": { "type": "static", "data": "row" } },
   "blocks": [{ "breakpoint": 1024, "size": { "w": 12, "h": 80 }, "position": { "x": 0, "y": 0 } }] }
 
-// KÖTÜ — telefonda 49px'lik yan menü: row flex dar ekranda yığılmaz (Kural 7)
-// Dar ekranda alt alta düşmesi gerekiyorsa kökü layout:'grid' kur — bedeli, fill'in
+// KÖTÜ — telefonda 49px'lik yan menü: row flex mobilde yığılmaz (Kural 7)
+// Mobilde alt alta düşmesi gerekiyorsa kökü layout:'grid' kur — bedeli, fill'in
 // flex anlamının devreye girmemesi.
 ```
 
@@ -183,9 +179,9 @@ bunlardan biri olabilir:
 |---|---|
 | ~~`heightType` yalnız `auto` \| `fixed`~~ | **28 Ağustos'ta kapandı:** üçüncü değer `fill` (Kural 5b) |
 | ~~Kök kap viewport'a kilitlenmez~~ | **28 Ağustos'ta kapandı:** `fill` verilmiş kök 100vh (Kural 5b) |
-| Flex dar ekranda yığılmaz | Kural 7 — kabuk bugün bir MASAÜSTÜ kabuğudur |
-| Kırılıma duyarlı prop yok | `direction`/`gap` masaüstü ve dar ekranda AYNI; yalnız `blocks` ve `appearance.hideOn` kırılım bilir |
-| Dar ekranda çekmece (overlay) yok | Telefon genişliğinde içeriğin üstüne binen panel kurulamaz (mobil UYGULAMADA çekmece `drawer` widget'ıdır — `platform_guide('mobile')`) |
+| Flex mobilde yığılmaz | Kural 7 — kabuk bugün bir MASAÜSTÜ kabuğudur |
+| Kırılıma duyarlı prop yok | `direction`/`gap` masaüstü ve mobilde AYNI; yalnız `blocks` ve `appearance.hideOn` kırılım bilir |
+| Mobil çekmece (overlay) yok | Telefonda içeriğin üstüne binen panel kurulamaz |
 
 ---
 
@@ -193,7 +189,7 @@ bunlardan biri olabilir:
 (`injectPageSchemaIntoSlots`, `getResolvedLayoutViews`), `apps/studio/src/features/page/api/page.mappers.ts`
 (`mapPageLayoutToPreview`), `packages/ng-apps-ui/src/shared/render/render.functions.ts`
 (`resolveNodeBoxStyle` — slot'un `y / auto` satırı, flex çocuk genişliği),
-`packages/ng-apps-ui/src/shared/render/RenderComponent.svelte` (dar ekran media kuralı),
+`packages/ng-apps-ui/src/shared/render/RenderComponent.svelte` (mobil media kuralı),
 `packages/ng-apps-screen-builder/src/flex-layout.ts` (`getFlexChildStyle` — `widthType`
 fill/fixed/auto dalları, `normalizeCssSize` kabul kuralı; tuval ve runtime aynı fonksiyonu okur),
 `apps/studio/src/features/page/components/appearance/appearance-size.functions.ts` (panelin

package/dist/resources/guides/microfunction.md

@@ -131,6 +131,34 @@ kullanılabilir. Kuralı iki alan taşır:
 - `workflow_preview` adımı GERÇEK runtime'da koşturur; preview'ın rollback garantisi fonksiyonun
   dış dünyada yaptığı işi geri ALMAZ.
 
+### Loop içinde
+
+Loop adımı dizinin her öğesi için fonksiyonu bir kez çağırır. Çocuğun tipi loop'un kendi
+`rule.stepType`'ında, kuralı `rule.stepRule`'dadır (tekil — `children` değil, WF-018):
+
+```jsonc
+{ "id": "<GUID>", "name": "her", "type": "loop",
+  "rule": {
+    "stepType": "microfunction",
+    "arrayExpression": "input.kalemler || []",
+    "stepRule": { "stepType": "microfunction", "microfunctionId": "<published id>", "expression": "({ x: loopItem.x })" }
+  },
+  "branches": [ /* success + fail */ ] }
+```
+
+- Çıktı `[{ item, result }]` dizisidir: `result` fonksiyonun o öğedeki dönüşü. Sonraki adımda
+  `her.data.map(r => r.result)`.
+- **Öğe fonksiyona yalnız `args` ile gider.** `expression` loop'un motorunda değerlendirilir:
+  `loopItem`, `input` ve loop'tan önceki adımlar orada görünür. `context.input` akışın kendi
+  girdisidir, iterasyonun öğesi DEĞİL.
+- `context.steps` loop'tan önce koşmuş adımları taşır (2026-09-28'den önce loop içinde boş
+  geliyordu; backend düzeltmesi).
+- WF-MF-001 loop çocuğunu da denetler; bulgu adımı `her (loop çocuğu)` diye adlandırır. Taslak bir
+  fonksiyonu seçen loop ilk iterasyonda fail dalına düşer ve orada durur.
+- Her iterasyon önceki adımların çıktısını `context.steps` ile yeniden taşır ve bu da
+  `MaxPayloadBytes` (5 MB) sınırına sayılır: büyük bir sorgudan sonra koşan loop'ta sınır
+  iterasyon başına dolabilir.
+
 Tam gövde örneği: `ngapps://examples/microfunction-node-sum`.
 
 ## Built-In ve AWS Lambda farkı

package/dist/resources/guides/microservice.md

@@ -226,7 +226,8 @@ DTO'dan süzülmez (WF-026 — `platform_guide('workflow')` §Hata yolu). Sözle
   - Adımda tanımlı ama değeri boş bırakılan alanlar gövdeden/expression'dan gelen veriyi
     **ezmez**; yalnız değeri dolu olan sabitler her satıra uygulanır.
 - **`count` vardır** — kayıt sayısı için tüm satırları çekip uzunluğuna bakmayın; panel/KPI
-  sayaçlarının doğru şekli budur.
+  sayaçlarının doğru şekli budur. Dönüşü tek bir sayıdır: `isReturnSchemaArray` `isSingle`'dan
+  bağımsız `false` okunur (2026-09-28'den önce kaydedilmiş servislerde de).
 - Gövde kökünde **`entityId` zorunlu**. (Eski "kökte datasourceId zorunlu" bilgisi yanlıştı —
   komutta öyle bir alan yok, gönderilirse yok sayılır; asıl zorunluluk selectFields'taki fieldId.)
 - `selectFields[]` / `filters[]` öğelerinde platform **`fieldId`** ister; gateway'e **`fieldSlug`**
@@ -242,16 +243,9 @@ DTO'dan süzülmez (WF-026 — `platform_guide('workflow')` §Hata yolu). Sözle
 - **Operatör sözlüğü kapalıdır:** `eq · neq · lt · lte · gt · gte · contains · icontains ·
   in · notin · startswith · endswith · istartswith · iendswith · isnull · isnotnull`.
   **`like` YOKTUR** — metin
-  araması `contains`/`icontains` iledir. Kritik tuzak: eski backend bilinmeyen operatörü 400 ile
+  araması `contains`/`icontains` iledir. Kritik tuzak: platform bilinmeyen operatörü 400 ile
   reddetmez, **sessizce `eq`'e düşürür** (enum çözümlemesi unknown'da default'a düşer) — uç
-  testten geçer ama yanlış sonuç döner (koşuda `ne` böyle geçti). 2026-09-27'den sonraki backend
-  uç çağrısının `filters` parametresinde (JSON dizisi) 400 verir; workflow tablo adımının filtresi
-  hâlâ sessizce `eq`'e düşer. Ad büyük/küçük harfe duyarlıdır: `NEQ` geçersizdir. Gateway her iki
-  sürümde istek gitmeden keser: uç tanımında ve
-  workflow tablo adımında MS-012/WF-015 (blok), çalışma anında `row_list` / `row_export` filtresinde ve
-  `microservice_execute` / `microservice_debug`'ın `filters` parametresinde hata — sık yanlışlara öneriyle
-  (`ne`/`!=` → `neq`, `like` → `contains`, `=` → `eq`). Studio'nun filtre ARAYÜZÜNDEKİ adlar
-  (`notContains`, `between`…) ayrı bir sözlüktür; arayüz onları bu işleçlere çevirir.
+  testten geçer ama arama hiçbir şey döndürmez. Gateway MS-012/WF-015 bunu istek gitmeden keser.
 - **Write operasyonunda (`create`/`update`) yanıt yalnız primary key'dir** — platform sonucu
   PK'ya indirger ve `selectFields`'ı kaydederken sessizce boşaltır. Yanıtın başka alan da
   dönmesi gerekiyorsa **`returnFields`** kullanılır (öğeler `selectFields` ile aynı şekildedir:

package/dist/resources/guides/middleware.md

@@ -57,11 +57,7 @@ cevabı adımın ifadesinde gizlidir. Ayrıntı ve yazım ölçütü: `platform_
    Gateway `set-user` adımı olmadan `user` okuyan middleware'i **MW-003** ile uyarır.
 4. **`input` YOKTUR.** Middleware girdisini HTTP bağlamından okur: `cookie`, `header`,
    `queryString`, `body`, `triggerSource` (hangi microservice/sayfa tetikledi: type, name,
-   slug, roles, impersonatedUserId). `impersonatedUserId` ve start adımının `impersonation`
-   dalı yalnız Studio önizlemesindeki doğrulanmış platform kullanıcısı için dolar; anonim ya da
-   yetkisiz istekte başlık platformda silinir. `impersonation` dalı bağlı değilse start
-   `success`'e düşer — uygulamanın kendi auth yolu koşar (ZM-22, 2026-09-26). Hazır
-   fonksiyonlar: `system.validateToken(...)`,
+   slug, roles, impersonatedUserId). Hazır fonksiyonlar: `system.validateToken(...)`,
    `system.generateToken(...)`, `crypto.JWT.encode/validate`, `Authorized(user.roles)`,
    `request.url.searchParams`, `GenerateGuid()`, `UtcNow()`, `system.getPageUrl(slug)` —
    **tam sözlük ve gerçek örnekler: `platform_guide('expressions')`**.