@appaflytech/zeyrek-ai-mcp 0.0.28 → 0.0.30

package/dist/knowledge/rules.js

@@ -4,7 +4,9 @@ import { reservedTenantTables } from './reservedTables.js';
 import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
+import { accessPolicyRules } from './access.js';
 import { themePolicyRules } from './themeRules.js';
+import { processPolicyRules } from './process.js';
 const terminalStepTypes = new Set(['response', 'convert', 'revert']);
 const DESCRIPTION_EXEMPT_STEPS = new Set(['start']);
 const stepKindMatrix = {
@@ -19,6 +21,7 @@ const stepKindMatrix = {
     email: ['workflow', 'automation', 'middleware'],
     'file-upload': ['workflow', 'automation', 'middleware'],
     microfunction: ['workflow', 'automation', 'middleware'],
+    process: ['workflow', 'automation'],
     variable: ['middleware'],
     'set-user': ['middleware'],
     setcookie: ['middleware'],
@@ -146,13 +149,22 @@ export function readsBeforeGuard(source, root) {
  * code.ts:49). Eşleşme yoksa flow-engine.ts:79 sessizce durur. Studio tarafında da zincir
  * `sourceBranch === 'always'` ile çizilir (EventActionsStart.svelte:47, EventActionsItem.svelte:298).
  * condition dalları rule id'sidir (serbest), microservice'te 'success' yalnız eski şema için
- * yaşatılır (microservice.ts:144).
+ * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
+ * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
+ * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
+ * geriye dönük zararsızdır.
  */
 const flowBranchNames = {
     start: ['always'],
-    microservice: ['always', 'success'],
+    microservice: ['always', 'success', 'error'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
+    haptic: ['always'],
+    location: ['always', 'error'],
+    'notification-permission': ['always'],
+    'notification-schedule': ['always', 'error'],
+    'notification-cancel': ['always'],
+    bpm: ['always', 'success', 'fail'],
     end: []
 };
 /**
@@ -163,8 +175,16 @@ const flowBranchNames = {
  */
 export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
-    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function'
+    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
+    'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm'
 ]);
+/**
+ * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
+ * `HAPTIC_STYLES`/`LOCATION_ACCURACIES`'in aynası (`test/flow-step-parity.test.ts` bağlar); backend
+ * `FlowDtoValidator` aynı kümeyle 400 döner. Kök `docs/adr/0003-cihaz-yetenegi-adimlari.md`.
+ */
+export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
+export const locationAccuracies = new Set(['low', 'balanced', 'high']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -176,16 +196,17 @@ const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}
 // Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
 const flowLiteralTextFields = new Map([
     ['alert', ['message', 'description']],
-    ['confirm', ['message', 'title', 'confirmText', 'cancelText']]
+    ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
+    ['share', ['title']],
+    ['notification-schedule', ['name', 'title', 'path']],
+    ['notification-cancel', ['name']]
 ]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
-// Barındırıcıya özel tipler (`navigate` web'de, `confirm`/`download` mobilde register edilmez)
-// BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten `redirect`e çeviriyor
-// (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da koşar, yani vaka
-// uyarılmaz, ORTADAN KALKAR. Geriye kalan `confirm`/`download` tek başına kusur değildir: sayfa
-// tek bir uygulamaya aittir (`Page.ApplicationId`), uygulamanın tipi web ya da mobile'dır
-// (`ApplicationType.cs`) ve gateway hangisi olduğunu bilmez. Mobil ayağı uygulama tarafında
-// kapanır (`ScreenRuntime.tsx`), lint'te değil.
+// Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
+// `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
+// koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
+// ve barındırıcı sözlüğü `platform/*.ts`'tedir (`profile.steps`); mobil farkları orada `MOB-005`
+// olarak konuşulur (`platform/lint.ts`). Yeni mobil runtime `confirm`/`download`'ı kaydeder.
 const flowUnregisteredStepTypes = new Set(['end', 'query']);
 const flowSetterIterateeTypes = new Set(['change', 'fill']);
 function flowStepList(value) {
@@ -305,25 +326,71 @@ function writesRolesWithoutSlug(entityId, parameters) {
 }
 const rolesSlugMessage = "Built-in 'roles' entity'sine slug YAZMADAN rol satırı ÜRETİLİYOR (operation create/upsert). Insert 200 döner, satır role_list'te görünür ve page.roleIds ile bağlanır — ama yetkilendirme SLUG karşılaştırır: platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir ve Authorized(user.roles) o rol için hiçbir zaman tutmaz. fields'a slug'ı ekleyin ('super-admin' slug'ını vermeyin — platform süper yöneticiyi o slug ile arar). Upsert'te slug'ı İFADEYLE üretmeyin: UPDATE yolunda ifade yeniden değerlendirilir ve var olan rolün slug'ı sessizce değişir (MS-016) — üretilen slug'ı yalnız create ucunda yazın. Rolü kullanıcıya bağlamak ayrı bir user_roles satırıdır.";
 const contractKeys = ['returnDtoId', 'parameterDtoId', 'returnBehavior', 'parameterBehavior'];
-const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/**
+ * Filtre işleci sözlüğü — backend `OperatorType` enum'u (paketlenmiş `Filter` şeması; eşitliği
+ * `test/filter-operators.test.ts` kilitler). Studio filtre ARAYÜZÜNÜN sözlüğü (`notContains`, `between`…,
+ * `componentCatalog.ts`) ayrı bir kavramdır: arayüz onları bu işleçlere çevirir.
+ */
+export const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/** Ajanların sık yazdığı yanlış adlar → doğru işleç. Yalnız ÖNERİLİR, sessizce çevrilmez. */
+const filterOperatorSuggestions = {
+    ne: 'neq', '!=': 'neq', '<>': 'neq', noteq: 'neq', notequal: 'neq', notequals: 'neq', not_eq: 'neq',
+    '=': 'eq', '==': 'eq', equal: 'eq', equals: 'eq',
+    '<': 'lt', '<=': 'lte', '>': 'gt', '>=': 'gte',
+    like: 'contains', ilike: 'icontains', nin: 'notin', 'not in': 'notin', not_in: 'notin'
+};
 function flattenFilterTree(filters) {
     return filters
         .filter((filter) => Boolean(filter) && typeof filter === 'object')
         .flatMap(filter => [filter, ...flattenFilterTree(asArray(filter.children))]);
 }
+/**
+ * Bilinmeyen işleçler, öneriyle: `status: 'ne' (neq mı demek istedin?)`. Grup çocukları da okunur. Ad
+ * büyük/küçük harfe DUYARLI eşlenir — backend de öyle eşler (`GetValueFromDescription` `==`); `NEQ`
+ * bilinmeyendir ve küçük harfli adı önerilir.
+ */
+function unknownFilterOperators(filters) {
+    return flattenFilterTree(filters)
+        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator)))
+        .map(filter => {
+        const operator = String(filter.operator);
+        const lower = operator.toLowerCase();
+        const suggestion = filterOperators.has(lower) ? lower : filterOperatorSuggestions[lower];
+        return `${String(filter.field ?? filter.fieldSlug ?? filter.fieldId ?? '?')}: '${operator}'${suggestion ? ` (${suggestion} mı demek istedin?)` : ''}`;
+    });
+}
+const unknownOperatorConsequence = "Bilinmeyen işleç yola ve backend sürümüne göre ya 400 alır ya sessizce 'eq'e düşer ve sorgu yanlış sonuç döner (2026-09-27'den sonraki backend uç çağrısının `filters` parametresini 400 ile reddeder; workflow tablo adımı hâlâ sessizce 'eq' yapar); ad büyük/küçük harfe duyarlıdır — doğru işleci yazın";
 function unknownOperatorFindings(ruleId, owner, filters) {
-    const unknownOperators = flattenFilterTree(filters)
-        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator).toLowerCase()))
-        .map(filter => `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${String(filter.operator)}'`);
+    const unknownOperators = unknownFilterOperators(filters);
     return unknownOperators.length > 0
         ? [{
                 ruleId,
                 severity: 'block',
-                message: `${owner}: bilinmeyen filtre operatörü — ${unknownOperators.join(', ')}. Platform bilinmeyen operatörü 400 ile REDDETMEZ, sessizce 'eq'e düşürür (EnumExtensions.GetValueFromDescription null → default) ve uç testten geçip yanlış çalışır. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
+                message: `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
                 guide: 'ngapps://guides/microservice'
             }]
         : [];
 }
+/**
+ * Çalışma anında gelen filtre (`row_list.filters`, `microservice_execute` `filters` parametresi): dizi ya
+ * da JSON dizesi. Bilinmeyen işleç varsa hata METNİ döner — araç isteği göndermeden 400 verir
+ * (plans/mobil-plantcare-acigi g-03). Ayrıştırılamayan değer backend'e bırakılır.
+ */
+export function filterOperatorError(owner, filters) {
+    let parsed = filters;
+    if (typeof filters === 'string') {
+        try {
+            parsed = JSON.parse(filters);
+        }
+        catch {
+            return undefined;
+        }
+    }
+    const unknownOperators = Array.isArray(parsed) ? unknownFilterOperators(parsed) : [];
+    return unknownOperators.length > 0
+        ? `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. İstek GÖNDERİLMEDİ. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')}.`
+        : undefined;
+}
 function isReadOperation(parameters) {
     const operation = String(parameters?.operation ?? '').toLowerCase();
     return !writeOperations.has(operation);
@@ -433,6 +500,27 @@ const isRecord = (value) => Boolean(value) && typeof value === 'object' && !Arra
 const functionsGuide = 'ngapps://guides/functions';
 /** FN-006: bu kadar dolu satırdan uzun gövde yorumsuz kalmaz; tek satırlık `return` yorum istemez. */
 const FUNCTION_COMMENT_MIN_LINES = 5;
+/**
+ * BPM-022: `process.*` sistem işlemi karşılığı olan `Page.bpm` üyeleri (backend
+ * `SystemOperationConstants`, zeyrek-backend/docs/bpm/sablon-paketleri.md §Sistem işlemleri).
+ * `start`, `cases`, `documents`, `analytics`, `exportLog`, `offline`, `legalHold(s)` karşılıksızdır;
+ * onları kullanan akışa uyarı vermek yol gösteremeyen gürültüdür.
+ */
+const PAGE_BPM_SYSTEM_MEMBERS = new Set([
+    'definitions', 'users', 'directory', 'tasks', 'task', 'instances', 'instance', 'timeline', 'signal',
+    'batch', 'batchOperation', 'delegations', 'delegate', 'delegation', 'handover', 'notifications',
+    'notification', 'preferences', 'override', 'report'
+]);
+/**
+ * BPM-022: karşılığı olan üyenin sistem işlemi OLMAYAN alt çağrıları (bpm.runtime.ts). Bunlar ve
+ * `batch('start', …)` eski yolda kalır; taze bağlam incelemesi (2026-09-23) üye düzeyindeki bakışın
+ * `instance(id).exportLedger()` gibi rehberin kendi önerdiği çağrıları uyardığını buldu.
+ */
+const PAGE_BPM_UNMAPPED_CALLS = new Set([
+    'tasks.calendar', 'task.comment', 'task.workedMinutes', 'task.assistant', 'instance.exportLedger',
+    'instance.watch', 'instance.unwatch', 'instance.comments', 'handover.history', 'override.conflicts',
+    'batchOperation.get'
+]);
 export const policyRules = [
     {
         id: 'MS-001',
@@ -712,7 +800,7 @@ export const policyRules = [
                 return [{
                         ruleId: 'WF-005',
                         severity: 'block',
-                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware.`,
+                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware; process workflow+automation.`,
                         guide: 'ngapps://guides/workflow'
                     }];
             });
@@ -2251,6 +2339,25 @@ export const policyRules = [
                 }];
         })
     },
+    {
+        id: 'FLOW-028',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yetki şablonu (access.json 1.7.0) 33 kod adımında platformun oturum uçlarına ham fetch atıyordu ('/api/' + project + '/runtime/' + application + '/auth/me' ve '/auth/sign-in'). Ham istek ng-apps-flow/src/api/instance.ts'in yaptıklarını atlar: X-Environment çözümü (resolveRuntimeEnvironment; elle ayrıştırma /preview şeridinde index -1 verir), CSRF başlığı (çerezli POST 403 CsrfTokenMismatchException — S2-37 · S3-7), 401'de tek refresh + yeniden deneme, ve ExecuteMicroserviceBehavior'ın microservice.execute kararı ile gölge günlüğü. Düzeltme 2026-09-22: giriş ve oturum bilgisi access.session.create / access.session.get system operation'larına taşındı (backend ADR 0004). Dış API'ye fetch meşrudur; kural yalnız göreli platform yollarını (/api/, /m/, /runtime/) görür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'code')
+            .flatMap((step) => {
+            const body = String((step.args ?? {}).value ?? '');
+            if (!/\bfetch\s*\(|XMLHttpRequest/.test(body) || !/['"`]\/(api|m|runtime)\/|\/runtime\//.test(body))
+                return [];
+            return [{
+                    ruleId: 'FLOW-028',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' code adımı platformun kendi ucuna ham istek atıyor. Bu yol runtime'ın istek katmanını atlar: X-Environment elle kurulur, CSRF başlığı yoktur (çerezli POST 403 CsrfTokenMismatchException), 401'de oturum yenilenmez ve istek microservice.execute kararını ve gölge günlüğünü hiç görmez. Platform davranışını çağırmanın yolu microservice adımıdır: karşılığı olan bir system operation varsa (microservice_system_operation_list — giriş için access.session.create, oturumdaki kullanıcı için access.session.get) source:'system' bir uç açın ve akışa type:'microservice' adımı koyun; sonuç Steps.<adım>.data'dadır, kod adımı yalnız onu biçimler.`,
+                    guide: 'ngapps://guides/page'
+                }];
+        })
+    },
     {
         id: 'FLOW-020',
         module: 'flow',
@@ -2374,7 +2481,7 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu)",
+        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
@@ -2387,16 +2494,164 @@ export const policyRules = [
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: type.startsWith('notification-')
+                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
+                    : type === 'share'
+                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
+                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
                 guide: 'ngapps://guides/page'
             }));
         })
     },
+    {
+        id: 'FLOW-035',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "share adımının argümanı StepManagementArgument'ın Title/Message/Path alanlarında saklanır (StepType.cs `share`, kök docs/adr/0001-share-akis-adimi.md); url/link/text gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım hiçbir şey paylaşmadan akış sürer. `message` ve `path` İFADEDİR (@ng-apps/flow resolveShareContent → runCode): tırnaksız 'https://…' JS'te etiket + yorumdur, undefined döner",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'share')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const filled = (key) => typeof args[key] === 'string' && String(args[key]).trim().length > 0;
+            const findings = [];
+            const strayLinks = ['url', 'link', 'href'].filter(filled);
+            const strayTexts = ['text', 'body', 'content'].filter(filled);
+            if (strayLinks.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('path') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının bağlantısı args.${strayLinks.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım bağlantısız kalır. Bağlantıyı args.path'e ifade olarak yazın — ör. "'https://ornek.app/urun/' + Page.queryParams.id".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            if (strayTexts.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('message') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının metni args.${strayTexts.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu sessizce düşürür. Metni args.message'a ifade olarak yazın — ör. "'Şuna bak: ' + Page.properties.name".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            for (const key of ['message', 'path']) {
+                const value = typeof args[key] === 'string' ? String(args[key]).trim() : '';
+                if (/^[a-z][a-z\d+\-.]*:\/\//i.test(value)) {
+                    findings.push({
+                        ruleId: 'FLOW-035',
+                        severity: 'block',
+                        message: `'${flowStepLabel(step)}' share adımının '${key}' alanı tırnaksız bir adres: '${value}'. Bu alan İFADEDİR — tırnaksız adres JS'te etiket + yorumdur, undefined döner ve hiçbir şey paylaşılmaz. Dize olarak yazın: "'${value}'".`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-029',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Cihaz yeteneği adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): haptic.value = stil, location.value = doğruluk, location.isRaw = adres çözülmesin. İkisi de DÜZ METİNDİR (@ng-apps/flow hapticStyle/locationAccuracy), kümede olmayan değer backend FlowDtoValidator'da 400 alır; style/accuracy/reverseGeocode gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım varsayılanla (medium / balanced / adresli) koşar",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'haptic' || step.type === 'location')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            // Backend (FlowDtoValidator) yalnız tamamen boşluk olanı boş sayar; kümeyle karşılaştırmayı kırpmadan yapar.
+            const raw = typeof args.value === 'string' ? args.value : '';
+            const value = raw.trim() ? raw : '';
+            const haptic = step.type === 'haptic';
+            const allowed = haptic ? hapticStyles : locationAccuracies;
+            const field = haptic ? 'stil' : 'doğruluk';
+            const findings = [];
+            const stray = (haptic ? ['style', 'type', 'feedback'] : ['accuracy', 'precision'])
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (value && !allowed.has(value)) {
+                const unquoted = value.replace(/^['"`](.*)['"`]$/, '$1');
+                const trimmed = value.trim();
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'block',
+                    message: allowed.has(unquoted)
+                        ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri tırnaklı yazılmış: ${value}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`
+                        : allowed.has(trimmed)
+                            ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değerinin çevresinde boşluk var: '${value}'. Platform kırpmadan karşılaştırır ve 400 döner — args.value: '${trimmed}' yazın.`
+                            : `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri '${value}' tanınmıyor; platform 400 döner. Kullanılabilir: ${[...allowed].join(', ')} (boş → ${haptic ? 'medium' : 'balanced'}).`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: value ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri args.${stray.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım varsayılanla (${haptic ? 'medium' : 'balanced'}) koşar. Değeri args.value'ya düz metin olarak yazın — ör. args.value: '${haptic ? 'success' : 'high'}'.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (!haptic && ['reverseGeocode', 'address', 'geocode'].some(key => args[key] !== undefined)) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' location adımında adres anahtarı sözleşmede YOK ve sessizce düşer. Adres varsayılan olarak çözülür (cihazda; web'de hep null); kapatmak için args.isRaw: true yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-030',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
+            const findings = [];
+            const schedule = step.type === 'notification-schedule';
+            const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (!text('name')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (schedule && !text('value')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı yok: args.value bir İFADEDİR ve sonucu 'HH:mm' (her gün), { weekday: 1-7, time: 'HH:mm' } (her hafta, 1 = Pazartesi) ya da ISO tarih-saattir (bir kez) — ör. "tp_saat.value" ya da "'08:30'".`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            const literal = /^'([^']*)'$/.exec(text('value'))?.[1];
+            if (schedule && literal !== undefined && !/^([01]?\d|2[0-3]):[0-5]\d$/.test(literal) && Number.isNaN(Date.parse(literal))) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı '${literal}' okunamaz: 'HH:mm' (00:00–23:59), ISO tarih-saat ya da { weekday, time } nesnesi yazın. Çalışmada adım error dalına düşer (status: 'invalid').`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımında args.${stray.join('/args.')} sözleşmede YOK ve platform onu sessizce düşürür. Kimlik args.name, zaman args.value (ifade), metin args.message (ifade), başlık args.title.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
     {
         id: 'FLOW-023',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil ScreenRuntime.tsx alert·redirect·navigate·storage·setcookie ekler. navigate web'de, confirm/download mobilde YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', confirm/download 'web'; End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
+        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil @ng-apps/ui-native runtime-tasks.ts alert·confirm·redirect·navigate·storage·setcookie·download ekler. navigate web'de YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
         check: definition => {
             const steps = flowAllSteps(definition);
             // Studio her akış tuvaline dekoratif bir End düğümü koyar ve onu sildirmez; zararlı olan
@@ -2722,6 +2977,29 @@ export const policyRules = [
             return findings;
         })
     },
+    {
+        id: 'BPM-022',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "bpm-management 1.1.0 sayfaları süreç çalışma zamanına yalnız source: system mikroservislerle gider (plans/bpm-sistem-mikroservis D-1 a, ADR-0004); Page.bpm aynı uçlara mikroservissiz gider, rehberi okuyan ajanlar yine de yazdı (plans/bpm/demo koşuları)",
+        check: definition => flowAllSteps(definition).flatMap((step) => {
+            const calls = [...new Set(flowExpressionSites(step)
+                    .flatMap(site => [...site.expression.matchAll(/\bPage\s*\.\s*bpm\b(?:\s*\.\s*([A-Za-z_$][\w$]*))?(\s*\((?:[^()]|\([^()]*\))*\))?(?:\s*\.\s*([A-Za-z_$][\w$]*))?/g)])
+                    .filter(([, member = '', callArguments = '', subCall]) => member === ''
+                    || (PAGE_BPM_SYSTEM_MEMBERS.has(member)
+                        && !(subCall && PAGE_BPM_UNMAPPED_CALLS.has(`${member}.${subCall}`))
+                        && !(member === 'batch' && /^\s*\(\s*['"]start['"]/.test(callArguments))))
+                    .map(([, member, , subCall]) => (member ? `Page.bpm.${member}${subCall ? `(…).${subCall}` : ''}` : 'Page.bpm')))];
+            return calls.length === 0
+                ? []
+                : [{
+                        ruleId: 'BPM-022',
+                        severity: 'warn',
+                        message: `'${flowStepLabel(step)}' adımı Page.bpm çağırıyor (${calls.join(', ')}). Sayfa akışı süreç çalışma zamanıyla source: system mikroservis üzerinden konuşur: microservice_system_operation_list ile process.* işlemini seçin, microservice_create { source: 'system', systemOperation } ile ucu kurun ve çağrıyı bir microservice adımına taşıyın; sonucu okuyan code adımı Steps.<adım>.data / .error'dan okur. Page.bpm eski yoldur — izin ve görünürlük kararı sistem işleminde aynı servisten gelir, uç Studio'da ve microservice_execute ile görünür.`,
+                        guide: 'ngapps://guides/bpm'
+                    }];
+        })
+    },
     {
         id: 'MS-013',
         module: 'microservice',
@@ -2963,10 +3241,30 @@ export const policyRules = [
                     }];
         }
     },
+    {
+        id: 'MW-006',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "Kimlik devri değeri triggerSource'ta DEĞİL context'te durur: WorkflowContext.SetTriggerSource triggerSource'a { type, id, name, slug, roles, pathAndQuery }, context'e { type, name, roles, path, impersonatedUserId, language } yazar (WorkflowContext.cs:216-235). triggerSource.impersonatedUserId her zaman undefined okunur ve önizleme hep jeton yoluna düşer (ZM-22, koşu 37)",
+        check: (definition) => {
+            const readers = workflowSteps(definition).filter(step => /\btriggerSource\s*\.\s*impersonatedUserId\b/.test(JSON.stringify(step.rule ?? {})));
+            return readers.length === 0
+                ? []
+                : [{
+                        ruleId: 'MW-006',
+                        severity: 'warn',
+                        message: `'${readers.map(stepLabel).join(', ')}' kimlik devrini triggerSource.impersonatedUserId'den okuyor; bu alan yok, değer hep undefined gelir. Doğrusu context.impersonatedUserId — ve yalnız start adımının impersonation dalında: değer yalnız doğrulanmış Studio önizlemesinde dolar, başka yerde yetki kararı için kullanılmaz (platform_guide('middleware') Tarif 1c).`,
+                        guide: 'ngapps://guides/middleware'
+                    }];
+        }
+    },
     // Backend doğrulayıcılarının aynası (ENT-015…018, MS-017, WF-026, QRY/VIEW/DTO/ROW/DS/PRJ/TR/FLD/FILE/EXT):
     // tek liste `backendConstraints.ts`'te durur, buradan yalnız politika motoruna katılır.
     ...themePolicyRules,
-    ...backendPolicyRules()
+    ...backendPolicyRules(),
+    // Organizasyon şeması, erişim politikası ve alan koruması (ORG/ACC/PROT) — `access.ts`.
+    ...accessPolicyRules(),
+    ...processPolicyRules()
 ];
 /**
  * WF-MF-001'in ikinci yarısı. Bir adımın koşup koşmayacağı yalnız GÖVDEDEN anlaşılamaz: karar

package/dist/knowledge/schemaGuard.js

@@ -49,6 +49,13 @@ function referenceName(node) {
         return referenceName(allOf[0]);
     return undefined;
 }
+/**
+ * `System.Text.Json.Nodes.JsonNode` gibi serbest JSON değerlerinin üretilen şeması katıdır
+ * (`options/parent/root`); içine inilirse meşru anahtarlar "platform yok sayıyor" diye raporlanır.
+ */
+function isFreeFormJson(node) {
+    return /(^|.)Json(Node|Object|Array|Value|Element)$/.test(referenceName(node) ?? '');
+}
 function resolve(document, node) {
     if (!node || typeof node !== 'object')
         return undefined;
@@ -76,6 +83,8 @@ function walk(document, schema, value, path, into) {
     if (!schema || !value || typeof value !== 'object')
         return;
     if (Array.isArray(value)) {
+        if (isFreeFormJson(schema.items))
+            return;
         const items = resolve(document, schema.items);
         value.forEach((entry, index) => walk(document, items, entry, `${path}[${index}]`, into));
         return;
@@ -95,6 +104,8 @@ function walk(document, schema, value, path, into) {
                 into.push(child);
             continue;
         }
+        if (isFreeFormJson(properties[key]))
+            continue;
         walk(document, resolve(document, properties[key]), entry, child, into);
     }
 }

package/dist/knowledge/styleResolve.js

@@ -154,6 +154,24 @@ const resolveShadow = (shadow) => {
         return undefined;
     return SHADOW_VALUES[shadow] ?? String(shadow);
 };
+/**
+ * Döndür / ölçekle / kaydır alanlarının kabul aralığı — frontend `style-groups/transform-fields.ts`
+ * `TRANSFORM_RANGES`'in kopyası (altın vakalar kilitler). Aralık dışı ve birimli değer yazılmaz.
+ */
+export const TRANSFORM_RANGES = {
+    rotate: [-360, 360],
+    scale: [10, 500],
+    translateX: [-1000, 1000],
+    translateY: [-1000, 1000]
+};
+/** Sayı ya da sayısal metin, aralığın içinde; aksi `undefined` — frontend `transformValue`. */
+export const transformValue = (value, field) => {
+    if (typeof value !== 'number' && (typeof value !== 'string' || value.trim() === ''))
+        return undefined;
+    const parsed = Number(value);
+    const [min, max] = TRANSFORM_RANGES[field];
+    return Number.isFinite(parsed) && parsed >= min && parsed <= max ? parsed : undefined;
+};
 /**
  * Grupların alan listeleri — frontend `style-groups/style-group-schemas.ts`
  * `STYLE_GROUP_FIELDS`'in kopyası. Parite testi `components.json`'daki gerçek
@@ -170,7 +188,11 @@ export const STYLE_GROUP_FIELDS = {
         'borderLeft',
         'shadow',
         'contentOverflow',
-        'opacity'
+        'opacity',
+        'rotate',
+        'scale',
+        'translateX',
+        'translateY'
     ],
     typographyStyle: [
         'textColor',
@@ -220,6 +242,21 @@ export function composeTypedStyle(input, ext) {
         if (opacity !== undefined && opacity >= 0 && opacity < 100) {
             groups.opacity = String(opacity / 100);
         }
+        // Döndür / ölçekle / kaydır (ADR 0005): kaydır → döndür → ölçekle, köken merkez;
+        // ölçek yüzdedir, nötr değer ve aralık dışı yazılmaz — frontend `composeSurfaceTransform`.
+        const transform = [];
+        const x = transformValue(surface.translateX, 'translateX') ?? 0;
+        const y = transformValue(surface.translateY, 'translateY') ?? 0;
+        if (x !== 0 || y !== 0)
+            transform.push(`translate(${x}px, ${y}px)`);
+        const rotate = transformValue(surface.rotate, 'rotate');
+        if (rotate !== undefined && rotate !== 0)
+            transform.push(`rotate(${rotate}deg)`);
+        const scale = transformValue(surface.scale, 'scale');
+        if (scale !== undefined && scale !== 100)
+            transform.push(`scale(${scale / 100})`);
+        if (transform.length)
+            groups.transform = transform.join(' ');
         // `ROOT_TARGET` (`&`) kökün kendisidir: kendi derleyicisi olmayan kaplarda
         // yüzey düğüm kutusuna yazılır ve kaydırılan da odur.
         if (isSet(surface.contentOverflow) && ext?.overflowTarget) {
@@ -251,8 +288,10 @@ export function composeTypedStyle(input, ext) {
         assign(rules, 'borderColor', hover.borderColor);
         assign(rules, 'boxShadow', resolveShadow(hover.shadow));
         const lift = asDimension(hover.lift);
-        if (lift !== undefined)
-            rules.transform = `translateY(calc(-1 * ${lift}))`;
+        // Kaldırma düğümün kendi transform'unu ezmez, önüne eklenir.
+        if (lift !== undefined) {
+            rules.transform = `translateY(calc(-1 * ${lift}))${typeof groups.transform === 'string' ? ` ${groups.transform}` : ''}`;
+        }
         if (Object.keys(rules).length) {
             const duration = asNumber(hover.transitionMs) ?? 160;
             groups.transition = `background-color ${duration}ms ease, border-color ${duration}ms ease, box-shadow ${duration}ms ease, transform ${duration}ms ease`;
@@ -500,6 +539,13 @@ export const NODE_SURFACE_TYPES = new Set([
     'qm-sidebar',
     'auth-layout'
 ]);
+/**
+ * `style`'ı kendi içeriğinin CSS'i olarak alan tipler: `html`in `style`'ı uzun metindir ve yazarın
+ * işaretlemesine kapsamlı girer — web'de emotion sınıfı (`html.functions.ts` `resolveHtmlStyleClass`),
+ * mobilde korumalı belgenin stil bloğu (plans/mobil-plantcare-acigi f-20). "Düz CSS string style"
+ * (PAGE-014) ve "ham CSS çizilmez" (MOB-002) uyarıları bu tiplerde yanlıştır.
+ */
+export const DOCUMENT_STYLE_TYPES = new Set(['html']);
 const NODE_SURFACE_EXTENSION = { overflowTarget: ROOT_TARGET };
 /** Düğüm kutusuna inen yüzey; kap tipi değilse ya da grup boşsa yok. */
 export function composeNodeSurfaceStyle(type, surfaceStyle) {
@@ -539,7 +585,7 @@ const unwrapProp = (value) => {
         result[key] = unwrapProp(item);
     return result;
 };
-const rawProp = (props, name) => {
+export const rawProp = (props, name) => {
     const prop = props?.[name];
     // İfadeye bağlı prop'un değeri çalışma anında oluşur, burada çözülemez.
     return prop && typeof prop === 'object' && 'data' in prop ? unwrapProp(prop.data) : undefined;