@appaflytech/zeyrek-ai-mcp 0.0.28 → 0.0.30

package/dist/tools/layouts.js

@@ -4,13 +4,16 @@ import { patchResult, baseVersionOf } from '../platform/patch.js';
 import fastJsonPatch from 'fast-json-patch';
 import { normalizeComponentDefaults, componentDefaultsNote, flexSizeWarnings, spacingLayerWarnings, verticalGapWarnings, withNormalization } from '../knowledge/normalize.js';
 import { fetchHost, layoutUpdateBody, schemaParam, eventsParam, modeParam, summarize, findNode } from './screens.js';
-import { assertScreenWriteGuards, screenCatalogNotes } from './screenWrite.js';
+import { assertScreenWriteGuards, assertScreenCatalog } from './screenWrite.js';
 import { applyPropTypesToSchema, isSetPropTypeOp, setPropTypeErrors } from '../knowledge/propTypes.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
 import { PlatformApiError } from '../platform/errors.js';
 import { handle } from '../platform/responses.js';
+import { applicationTypeField, resolveProfile } from '../knowledge/platform/resolve.js';
+import { screenProfileWarnings } from './profileWrite.js';
+import { jsonArray } from '../platform/jsonArray.js';
 import { z } from 'zod';
-const patchOperationsParam = z.array(z.record(z.unknown())).min(1)
+const patchOperationsParam = jsonArray(z.array(z.record(z.unknown())).min(1))
     .describe("JSON Patch listesi (RFC 6902): { op, path, value }. Yol seçici alabilir — '/views/0/children[elementId=baslik]/props/content/data'.");
 const viewsParam = schemaParam.describe("Layout'un komponent ağacı. DİKKAT: layout'ta şema alanının adı 'schema' değil 'views'tir; ağaçta hedefli değişiklik için tam ağaç yerine layout_schema_patch micro-op'larını kullanın. İçinde MUTLAKA bir { type: 'slot' } komponenti olmalı — sayfa içeriği YALNIZ slot'un içine render edilir, slot'suz layout'a bağlanan sayfalar boş görünür. 2026-09-08'den beri views, page_schema_patch'in doğrulama duvarından geçer: tanınmayan prop adı ve geçersiz enum değeri 422 ile REDDEDİLİR (kabul edilen değer listesiyle) ve hiçbir şey kaydedilmez — eskiden sessizce kaydediliyordu (P1-2).");
 function countSlots(nodes) {
@@ -46,7 +49,13 @@ export function registerLayoutTools(server, platform) {
         description: "Layout'u komponent ağacı (views), widget'ları, akışları ve olaylarıyla getirir.",
         inputSchema: { project: projectParam, environment: environmentParam, applicationId: guid, id: guid },
         annotations: readOnly
-    }, handle(config, ({ project, environment, applicationId, id }) => platform.tenant('GET', project, `/layouts/${applicationId}/${id}`, { environment })));
+    }, handle(config, async ({ project, environment, applicationId, id }) => {
+        const response = await platform.tenant('GET', project, `/layouts/${applicationId}/${id}`, { environment });
+        const typeField = applicationTypeField(await resolveProfile(platform, applicationId));
+        return response && typeof response === 'object' && !Array.isArray(response) && Object.keys(typeField).length > 0
+            ? { ...response, ...typeField }
+            : response;
+    }));
     server.registerTool('layout_schema_get', {
         title: "Layout komponent ağacını oku",
         description: "Layout'un komponent ağacını (views) okur — page_schema_get'in layout karşılığı. Ağaçta hedefli değişiklik için layout_schema_patch (sayfa ile aynı micro-op sözlüğü, PATCH /layouts/{app}/{id}/schema). Ad/parametre/olay alanlarında ya da düz JSON Patch yolu gerektiğinde layout_patch — o araç buradaki updatedAt'i expectedUpdatedAt olarak kabul eder. Tam ağacı kendiniz yazacaksanız layout_update.",
@@ -61,20 +70,21 @@ export function registerLayoutTools(server, platform) {
         annotations: readOnly
     }, handle(config, async ({ project, environment, applicationId, id, mode, componentId }) => {
         const layout = await fetchHost(platform, 'layout', project, environment, applicationId, id);
+        const typeField = applicationTypeField(await resolveProfile(platform, applicationId));
         const audit = layout.audit;
         const updatedAt = audit?.updatedAt ?? audit?.createdAt;
         const views = (layout.views ?? []);
         if (mode === 'full')
-            return { updatedAt, views };
+            return { updatedAt, ...typeField, views };
         if (mode === 'subtree') {
             if (!componentId)
                 throw new PlatformApiError("mode='subtree' için componentId zorunludur.");
             const subtree = findNode(views, componentId);
             if (!subtree)
                 throw new PlatformApiError(`Layout'ta '${componentId}' id'li bir komponent yok; layout_schema_get'i summary kipinde çağırıp hedefi doğrulayın.`);
-            return { updatedAt, views: subtree };
+            return { updatedAt, ...typeField, views: subtree };
         }
-        return { updatedAt, views: views.map(node => summarize(node)) };
+        return { updatedAt, ...typeField, views: views.map(node => summarize(node)) };
     }));
     server.registerTool('layout_create', {
         title: 'Layout oluştur',
@@ -90,19 +100,28 @@ export function registerLayoutTools(server, platform) {
         },
         annotations: writes
     }, handle(config, async ({ project, environment, applicationId, name, views, events, parameters }) => {
-        assertScreenWriteGuards('layout', { schema: views, events });
+        const resolved = await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: views, events }, resolved.profile.platform);
         const fixed = normalizeComponentDefaults(views);
-        const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, views);
-        const gaps = [...verticalGapWarnings(views ?? [], 'LAY-003 (uyarı)'), ...flexSizeWarnings(views ?? [], 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'), ...spacingLayerWarnings(views ?? [], 'LAY-010 (uyarı)', 'LAY-011 (uyarı)')];
+        const catalogNotes = await assertScreenCatalog(platform, project, environment, applicationId, views, 'layout_create');
+        const gaps = [
+            ...(resolved.profile.layout.blocksMeaningful ? verticalGapWarnings(views ?? [], 'LAY-003 (uyarı)') : []),
+            ...flexSizeWarnings(views ?? [], 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'),
+            ...spacingLayerWarnings(views ?? [], 'LAY-010 (uyarı)', 'LAY-011 (uyarı)'),
+            ...await screenProfileWarnings(platform, resolved, project, environment, applicationId, { kind: 'layout', nodes: views ?? [] })
+        ];
         const response = await platform.tenant('POST', project, `/layouts/${applicationId}`, {
             environment,
             body: { name, views: views ?? [], events: events ?? [], parameters: parameters ?? null }
         });
         const drops = writeDiff({ name, views: views ?? [], events: events ?? [] }, response);
         const normalized = withWriteDiff(withNormalization(response, [...componentDefaultsNote(fixed), ...catalogNotes, ...slotWarning(views)]), drops);
-        if (gaps.length === 0 || !normalized || typeof normalized !== 'object')
+        const typeField = applicationTypeField(resolved);
+        if (!normalized || typeof normalized !== 'object')
             return normalized;
-        return { ...normalized, layoutWarnings: gaps };
+        if (gaps.length === 0)
+            return Object.keys(typeField).length === 0 ? normalized : { ...normalized, ...typeField };
+        return { ...normalized, ...typeField, layoutWarnings: gaps };
     }));
     server.registerTool('layout_update', {
         title: 'Layout güncelle',
@@ -120,13 +139,21 @@ export function registerLayoutTools(server, platform) {
         annotations: updates
     }, handle(config, async ({ project, environment, applicationId, id, ...changes }) => {
         const overrides = Object.fromEntries(Object.entries(changes).filter(([, value]) => value !== undefined));
-        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events });
+        const resolved = overrides.views === undefined ? undefined : await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events }, resolved?.profile.platform);
         const current = await fetchHost(platform, 'layout', project, environment, applicationId, id);
         const fixed = normalizeComponentDefaults(overrides.views);
-        const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, overrides.views);
+        const catalogNotes = await assertScreenCatalog(platform, project, environment, applicationId, overrides.views, 'layout_update');
         const body = layoutUpdateBody({ ...current, applicationId }, overrides);
         await platform.tenant('PUT', project, `/layouts/${applicationId}/${id}`, { environment, body });
-        const gaps = overrides.views === undefined ? [] : [...verticalGapWarnings(body.views, 'LAY-003 (uyarı)'), ...flexSizeWarnings(body.views, 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'), ...spacingLayerWarnings(body.views, 'LAY-010 (uyarı)', 'LAY-011 (uyarı)')];
+        const gaps = overrides.views === undefined || !resolved
+            ? []
+            : [
+                ...(resolved.profile.layout.blocksMeaningful ? verticalGapWarnings(body.views, 'LAY-003 (uyarı)') : []),
+                ...flexSizeWarnings(body.views, 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'),
+                ...spacingLayerWarnings(body.views, 'LAY-010 (uyarı)', 'LAY-011 (uyarı)'),
+                ...await screenProfileWarnings(platform, resolved, project, environment, applicationId, { kind: 'layout', nodes: body.views })
+            ];
         const summary = { id, changed: Object.keys(overrides), preserved: { viewNodes: body.views.length } };
         if (gaps.length > 0)
             summary.layoutWarnings = gaps;
@@ -180,9 +207,10 @@ export function registerLayoutTools(server, platform) {
         const overrides = Object.fromEntries(['name', 'views', 'events', 'parameters']
             .filter(key => patched[key] !== undefined)
             .map(key => [key, patched[key]]));
-        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events });
+        const profile = await resolveProfile(platform, applicationId);
+        assertScreenWriteGuards('layout', { schema: overrides.views, events: overrides.events }, profile.profile.platform);
         const fixed = normalizeComponentDefaults(overrides.views);
-        const catalogNotes = await screenCatalogNotes(platform, project, environment, applicationId, overrides.views);
+        const catalogNotes = await assertScreenCatalog(platform, project, environment, applicationId, overrides.views, 'layout_patch');
         const body = layoutUpdateBody({ ...current, applicationId }, overrides);
         // Gövde değil FARK gönderilir: gateway normalizasyonları (komponent varsayılanları, katalog
         // kuralları, value'suz olayların elenmesi) son hâle işlendikten sonra net diff hesaplanır.
@@ -193,7 +221,12 @@ export function registerLayoutTools(server, platform) {
             body: { baseVersion: baseVersionOf(document, 'layout_get'), ops: netOps }
         });
         const written = patchResult(saved, finalDocument);
-        const gaps = [...verticalGapWarnings(body.views, 'LAY-003 (uyarı)'), ...flexSizeWarnings(body.views, 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'), ...spacingLayerWarnings(body.views, 'LAY-010 (uyarı)', 'LAY-011 (uyarı)')];
+        const gaps = [
+            ...(profile.profile.layout.blocksMeaningful ? verticalGapWarnings(body.views, 'LAY-003 (uyarı)') : []),
+            ...flexSizeWarnings(body.views, 'LAY-007 (uyarı)', 'LAY-008 (uyarı)'),
+            ...spacingLayerWarnings(body.views, 'LAY-010 (uyarı)', 'LAY-011 (uyarı)'),
+            ...await screenProfileWarnings(platform, profile, project, environment, applicationId, { kind: 'layout', nodes: body.views })
+        ];
         const summary = {
             id,
             applied: patchOps.length,

package/dist/tools/merges.js

@@ -37,7 +37,7 @@ export function registerMergeTools(server, platform) {
     const config = platform.config;
     server.registerTool('merge_plan', {
         title: 'Merge planı oluştur',
-        description: "Bir dalı ebeveynine (development) merge etmek için üç yönlü diff planı ister. Hedef her zaman dalın ebeveynidir — production'a merge eden bir yol YOKTUR. title ZORUNLUDUR: isteğin adıdır ve geçmişte o adla durur. Asenkron: yanıt 202 döner, plan hemen dolu değildir. Projede açık bir plan varsa 400 döner; önce onu uygulayın ya da merge_discard ile bırakın.",
+        description: "Bir dalı ebeveynine (development) merge etmek için üç yönlü diff planı ister. Hedef her zaman dalın ebeveynidir — production'a merge eden bir yol YOKTUR. title ZORUNLUDUR: isteğin adıdır ve geçmişte o adla durur. Asenkron: yanıt 202 döner, plan hemen dolu değildir. Projede açık bir plan varsa 400 döner; önce onu uygulayın ya da merge_discard ile bırakın. Süreç tanımları ve iş takvimleri planda modül olarak görünür (fark versions[…].model.nodes[<düğüm id>] yolunda); örnekler, görevler, defter ve uyarlamalar merge edilmez.",
         inputSchema: { projectId: guid, sourceEnvironmentId: guid, title: mergeTitle, description: mergeDescription },
         annotations: writes
     }, handle(config, async ({ projectId, sourceEnvironmentId, title, description }) => {

package/dist/tools/microservices.js

@@ -1,19 +1,24 @@
-import { guid, appRef, withResolved, projectParam, environmentParam, definitionParam, languageParam, pagingParams, readOnly, writes, updates, destructive, microOps } from './common.js';
+import { guid, appRef, withResolved, projectParam, environmentParam, definitionParam, languageParam, pagingParams, asUserIdParam, readOnly, writes, updates, destructive, microOps } from './common.js';
 import { languageHeader } from '../knowledge/languageCodes.js';
 import { hydrateMicroserviceRefs } from '../knowledge/hydrate.js';
 import { RefResolver } from '../platform/refs.js';
 import { normalizeMicroserviceDefinition, normalizeMicroservicePatchOps, withNormalization } from '../knowledge/normalize.js';
 import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
 import { microserviceOutline, workflowOutline, resolvePart, resolvePatchOperations } from '../knowledge/outlines.js';
+import { unresolvedParameterAliases, parameterAliasWarning } from '../knowledge/microserviceParameters.js';
 import { patchResult, baseVersionOf } from '../platform/patch.js';
-import { policyRules } from '../knowledge/rules.js';
+import { filterOperatorError, policyRules } from '../knowledge/rules.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
-import { identityHeaders } from '../platform/tokenVault.js';
+import { identityHeaders, resolveIdentity } from '../platform/tokenVault.js';
+import { impersonationHeaders } from '../platform/impersonation.js';
+import { accessDecisionOf, legacyRoleListFindings, projectAccessContext } from '../knowledge/access.js';
 import { PlatformApiError } from '../platform/errors.js';
 import { existingMatch, ifExistsParam, listAll, platformRename, withOutcome, withRename } from '../platform/ifExists.js';
 import { outlineWrite, recordWriteViewParam } from '../platform/writeView.js';
 import { handle } from '../platform/responses.js';
+import { headersForMode } from '../platform/http.js';
 import fastJsonPatch from 'fast-json-patch';
+import { jsonArray } from '../platform/jsonArray.js';
 import { z } from 'zod';
 import { constraintSummary } from '../knowledge/backendConstraints.js';
 import { unmappedMembers, introducedUnmappedMembers, withUnmappedMembers } from '../knowledge/schemaGuard.js';
@@ -66,9 +71,9 @@ async function queryScopeFindings(platform, project, environment, definition) {
             }]
         : [];
 }
-const patchOperationsParam = z.array(z.record(z.unknown())).min(1)
+const patchOperationsParam = jsonArray(z.array(z.record(z.unknown())).min(1))
     .describe("RFC 6902 JSON Patch işlemleri; path'leri view:'outline'/'part' ile keşfedin. Dizi öğelerinde indeks yerine seçici kullanılabilir: '/sourceParameters/joins[alias=customers]/path' — seçici gövde platforma gitmeden indekse çevrilir, çözülemezse istek hiç gönderilmez.");
-const asUserParam = z.string().min(1).optional().describe("Uygulama üyesinin kimliği: istek gateway'in servis jetonu yerine bu kimlikle gider. Jeton HEM Authorization başlığında HEM NG_AccessToken çerezinde taşınır, böylece jetonu ÇEREZDEN okuyan middleware de geçer — uca middleware bağlandığı anda bu alan olmadan çağrı 401 döner (09-05 koşusu S-21). İKİ ŞEKİL kabul edilir: (1) ham JWT, (2) `tok_…` referansı (giriş ucunu çağırdığınızda yanıtın tokenRefs alanında döner, 15 dk geçerli). anonymous ile birlikte verilemez.");
+const asUserParam = z.string().min(1).optional().describe("Uygulama üyesinin kimliği: istek gateway'in servis jetonu yerine bu kimlikle gider. Jeton HEM Authorization başlığında HEM NG_AccessToken çerezinde taşınır, böylece jetonu ÇEREZDEN okuyan middleware de geçer — uca middleware bağlandığı anda bu alan olmadan çağrı 401 döner (09-05 koşusu S-21). KOMPLEKS PROJEDE referans access_session_create'ten gelir: jeton Bearer olarak gider, platform Bearer'lı isteğe CSRF sormaz (ZY_App_ çerezi kurulmaz — çerezle gelen durum değiştiren istek X-ZY-CSRF ister); microservice_preview bir Studio ucudur ve uygulama jetonuyla sınanamaz, uygulama kullanıcısı olarak microservice_execute / microservice_debug kullanın. ÜÇ ŞEKİL kabul edilir: (1) TERCİH EDİLEN `test:<ad>` — gateway kök .env'deki MCP_TEST_USER_<AD> satırıyla giriş ucunu kendisi çağırır, jetonu kasadan yeniden kullanır (satırı insan yazar), (2) `tok_…` referansı (giriş ucunu çağırdığınızda yanıtın tokenRefs alanında döner; ömür MCP_TOKEN_TTL_MINUTES, MCP_STATE_DIR varsa gateway yeniden başlayınca da çözülür), (3) ham JWT. anonymous ile birlikte verilemez.");
 const cookiesParam = z.record(z.string()).optional().describe("İsteğe eklenecek çerezler (ad → değer): uygulamanın KENDİ oturum çerezi buraya verilir (ör. { CORE_Token: '<jwt>' }). asUser verildiğinde gateway NG_AccessToken çerezini zaten kendisi kurar; bu alan yalnız uygulama başka bir çerez adı okuyorsa gerekir. anonymous ile birlikte verilemez.");
 const executeInput = {
     project: projectParam,
@@ -85,6 +90,7 @@ const executeInput = {
     headers: z.record(z.string()).optional().describe("İsteğe eklenecek header'lar. 'Authorization' verirseniz gateway KENDİ token'ını KOYMAZ — istek tamamen sizin kimliğinizle gider (middleware'li uçları üye token'ıyla test etmenin yolu budur)"),
     anonymous: z.boolean().optional().describe("true: istek HİÇBİR Authorization header'ı olmadan gider — 'korumalı uç tokensız ne döner?' sorusunun cevabı budur (korumalı uçtan 401, anonim uçtan 200 beklenir). Gateway normalde her çağrıya kendi token'ını koyduğu için bu bayrak olmadan anonim erişim testi yapılamaz."),
     asUser: asUserParam,
+    asUserId: asUserIdParam,
     cookies: cookiesParam,
     language: languageParam,
     expectFailure: z.boolean().optional().describe("true: bu çağrıda bir hata dönmesi BEKLENİYOR (kasıtlı negatif test — yanlış parola, yetkisiz erişim, geçersiz gövde). Yanıt yine httpStatus'u/hatayı taşır, ama ölçüm aracı bu satırı plansız hata saymaz (page_screenshot'taki expectFailure deseniyle aynı).")
@@ -99,6 +105,9 @@ function runIdentity(anonymous, asUser, cookies, headers) {
     }
     return identityHeaders(asUser, cookies, headers);
 }
+function hasAuthorization(headers) {
+    return Object.keys(headers ?? {}).some(name => name.toLowerCase() === 'authorization');
+}
 /**
  * Debug çıktısındaki `executionItems` ucun kendi adımlarıdır; middleware AYRI bir workflow olarak
  * ucun ÖNÜNDE koşar ve ağaçta hiç görünmez — 09-04 koşusunda sessizce açık kalan şirket kapısı
@@ -189,17 +198,27 @@ function unboundQueryParameters(value, into = []) {
         unboundQueryParameters(entry, into);
     return into;
 }
+/** Çağrının dinamik filtresi (`filters`, sorguda ya da gövdede) bilinen işleçlerle mi — değilse istek gitmez (g-03). */
+function assertFilterOperators(tool, bound) {
+    const bodyFilters = bound.body && !Array.isArray(bound.body) ? bound.body.filters : undefined;
+    const error = filterOperatorError(tool, bound.query?.filters) ?? filterOperatorError(tool, bodyFilters);
+    if (error)
+        throw new PlatformApiError(error, 400);
+}
 function executePath(prefix, application, microservice, routeParams) {
     const routeSuffix = routeParams && routeParams.length > 0
         ? `/${routeParams.map(encodeURIComponent).join('/')}`
         : '';
     return `/${prefix}/${application}/${microservice}${routeSuffix}`;
 }
-/** Slug application_update ile değişebildiği için önbellek kısa ömürlüdür (yalnız aynı turdaki tekrar okumaları ucuzlatır). */
+/**
+ * Slug application_update ile değişebildiği için önbellek kısa ömürlüdür (yalnız aynı turdaki tekrar okumaları ucuzlatır);
+ * runtime yolu 404 dönen çağıran `fresh: true` ile önbelleği atlar. Org API'nin 404 dışı hatası (yetki, ağ) çağırana gider.
+ */
 const APPLICATION_SLUG_TTL_MS = 60_000;
 const applicationSlugCache = new Map();
-async function applicationSlug(platform, applicationId) {
-    const cached = applicationSlugCache.get(applicationId);
+export async function applicationSlug(platform, applicationId, options = {}) {
+    const cached = options.fresh ? undefined : applicationSlugCache.get(applicationId);
     if (cached && cached.expiresAt > Date.now())
         return cached.slug;
     try {
@@ -210,8 +229,10 @@ async function applicationSlug(platform, applicationId) {
             applicationSlugCache.set(applicationId, { slug, expiresAt: Date.now() + APPLICATION_SLUG_TTL_MS });
         return slug;
     }
-    catch {
-        return undefined;
+    catch (error) {
+        if (error instanceof PlatformApiError && error.status === 404)
+            return undefined;
+        throw error;
     }
 }
 /**
@@ -241,6 +262,12 @@ async function resolveRuntimeUrl(platform, project, environment, applicationId,
 }
 export function registerMicroserviceTools(server, platform) {
     const config = platform.config;
+    server.registerTool('microservice_system_operation_list', {
+        title: 'Sistem operasyonlarını listele',
+        description: "Bir microservice'in systemOperation alanına konabilecek hazır platform operasyonlarının kataloğunu döner (GET /{project}/microservices/system-operations): operasyon adı, karar motorunun soracağı izin, kaynak tipi, beklediği parametreler ve açıklaması. Sistem operasyonlu uç kendi adımlarını yazmaz — platformun hazır davranışını (ör. satır sahibini değiştirme, maskeli alan açma, uygulama girişi) uygulamanın kendi ucu gibi yayınlar. Her satırın 'guard' alanı korumayı söyler: 'permission' → oturum + buradaki permission karara bağlanır; permission BOŞ olan 'permission' satırında izni işlemin çağırdığı servis verir (ADR-0004): süreç çalışma zamanı işlemleri (process.* — görev kutusu ve eylemleri, process.task.sign dahil; örnek, vekalet, devir, bildirim, tercih, rapor) kişiye ve kayda göre karar verir, REST bpm/* ucuyla aynı görünürlüğü ve aynı alan adlarını döner; yalnız process.override.* process.manage ister; 'session' → operasyon izin sormaz, yalnız oturum ister (ör. access.session.get: oturumdaki kullanıcı; uç anonim değilse microservice.execute kararı yine uygulanır); 'anonymous' → oturum da izin de sorulmaz (access.session.create: giriş; girdi yalnız gövdeden okunur, çerezler yalnız application/json istekte yazılır, gövdede jeton dönmez) ve uç isAnonymous:true olmak zorundadır, önizlemede çalışmaz. Süreç ekranı process.* işlemleriyle kurulur, Page.bpm ile değil (BPM-022); kod adımından platform ucuna ham fetch yerine bu uçlar kullanılır (FLOW-028). Katalog sabittir, projeye göre değişmez.",
+        inputSchema: { project: projectParam, environment: environmentParam },
+        annotations: readOnly
+    }, handle(config, ({ project, environment }) => platform.tenant('GET', project, '/microservices/system-operations', { environment })));
     server.registerTool('microservice_list', {
         title: 'Microservice listele',
         description: 'Application altındaki microservice\'leri listeler.',
@@ -264,7 +291,7 @@ export function registerMicroserviceTools(server, platform) {
     }));
     server.registerTool('microservice_get', {
         title: 'Microservice getir',
-        description: "Microservice tanımını getirir. Büyük tanımda önce view:'outline' (kaynak/alan özeti), sonra view:'part' ile tek parça çekin.",
+        description: "Microservice tanımını getirir. Büyük tanımda önce view:'outline' (kaynak/alan özeti), sonra view:'part' ile tek parça çekin. parameterScheme[].name ÇAĞRI PARAMETRESİNİN adıdır ve tablo kaynaklı uçta kök filtre için nitelenmemiş alan slug'ıdır ('id'); nitelikli bir ad ('kredi.id') yalnız JOIN alias'ıyla meşrudur — join değilse o filtre runtime'da hiç çözülmez ve yanıt MS-023 uyarısını taşır (TB-119).",
         inputSchema: {
             project: projectParam,
             environment: environmentParam,
@@ -285,9 +312,16 @@ export function registerMicroserviceTools(server, platform) {
             return withResolved({ part, value: resolvePart(definition, part) }, resolver.resolved);
         }
         const resolvedUrl = await resolveRuntimeUrl(platform, project, environment, resolvedApplicationId, definition);
+        // MS-023 — entity slug'ı YALNIZ kusur varken okunur: sağlam uçta fazladan istek atılmaz.
+        const unresolved = unresolvedParameterAliases(definition);
+        const entitySlug = unresolved.length === 0 || typeof definition.entityId !== 'string'
+            ? undefined
+            : await resolver.entity(definition.entityId).then(entity => entity.slug).catch(() => undefined);
+        const warning = parameterAliasWarning(unresolved, entitySlug);
+        const parameterWarnings = warning === undefined ? {} : { parameterWarnings: [warning] };
         if (view === 'outline')
-            return withResolved({ ...microserviceOutline(definition), resolvedUrl }, resolver.resolved);
-        return withResolved({ ...payload, resolvedUrl }, resolver.resolved);
+            return withResolved({ ...microserviceOutline(definition), resolvedUrl, ...parameterWarnings }, resolver.resolved);
+        return withResolved({ ...payload, resolvedUrl, ...parameterWarnings }, resolver.resolved);
     }));
     server.registerTool('microservice_create', {
         title: 'Microservice oluştur',
@@ -321,7 +355,8 @@ export function registerMicroserviceTools(server, platform) {
             ...(existing === undefined
                 ? createFindings
                 : enforcePolicy(evaluatePolicy(config, policyRules, 'microservice', definition, { operation: 'update' }, policyOverride))),
-            ...scopeFindings
+            ...scopeFindings,
+            ...await legacyRoleListFindings(platform, project, environment, definition, 'microservice', policyOverride)
         ];
         const drift = unmappedMembers(existing === undefined ? 'CreateMicroserviceCommand' : 'UpdateMicroserviceCommand', definition);
         const payload = existing === undefined
@@ -343,7 +378,8 @@ export function registerMicroserviceTools(server, platform) {
         const normalized = normalizeMicroserviceDefinition(definition);
         const findings = [
             ...enforcePolicy(evaluatePolicy(config, policyRules, 'microservice', definition, { operation: 'update' }, policyOverride)),
-            ...await queryScopeFindings(platform, project, environment, definition)
+            ...await queryScopeFindings(platform, project, environment, definition),
+            ...await legacyRoleListFindings(platform, project, environment, definition, 'microservice', policyOverride)
         ];
         const drift = unmappedMembers('UpdateMicroserviceCommand', definition);
         const payload = await platform.tenant('PUT', project, `/microservices/${resolvedApplicationId}/${id}`, { environment, body: definition });
@@ -406,26 +442,41 @@ export function registerMicroserviceTools(server, platform) {
     }, handle(config, ({ project, environment, id }) => platform.tenant('POST', project, `/microservices/${id}/clone`, { environment })));
     server.registerTool('microservice_execute', {
         title: 'Microservice çalıştır',
-        description: "Kayıtlı microservice'i gerçek runtime yolundan çalıştırır (POST /{project}/m/{application}/{microservice SLUG'ı}). Dönen httpStatus microservice'in kendi sonucudur (hata da geçerli çıktıdır); beklenmedik sonuçta microservice_debug ile adım adım inceleyin. Anonim erişim testi için anonymous: true. Yanıt 'headers' alanında platformun döndüğü header'ları taşır (küçük harf; ör. headers['total-count'] — sayfalı tablo akışlarının okuduğu sözleşme; set-cookie/authorization elenir).",
-        inputSchema: executeInput,
+        description: "Kayıtlı microservice'i gerçek runtime yolundan çalıştırır (POST /{project}/m/{application}/{microservice SLUG'ı}). Dönen httpStatus microservice'in kendi sonucudur (hata da geçerli çıktıdır); beklenmedik sonuçta microservice_debug ile adım adım inceleyin. Anonim erişim testi için anonymous: true. KOMPLEKS PROJEDE gateway kimliği uygulama öznesi değildir (enforce'ta 401 AppSessionRequired): kullanıcı gözüyle çalıştırmak için asUserId (parolasız, users satır id'si; yalnız development/dal — production'da istek gönderilmez) ya da oturum açılmış üye için asUser. Yanıt 'headers' alanı VARSAYILAN OLARAK yalnız iş başlıklarını taşır (küçük harf): content-type, content-length, content-disposition, location, total-count (sayfalı tablo akışlarının okuduğu sözleşme), x-request-id, traceparent. Ucun response adımında kendi yazdığı başlıkları ya da sunucu başlıklarını görmek için includeHeaders:'all'; hiç başlık istemiyorsanız 'none'. set-cookie/authorization her kipte elenir.",
+        inputSchema: {
+            ...executeInput,
+            includeHeaders: z.enum(['none', 'essential', 'all']).optional().describe("Yanıttaki 'headers' alanı. essential (varsayılan): content-type, content-length, content-disposition, location, total-count, x-request-id, traceparent. all: platformun döndüğü bütün başlıklar (gizliler hariç) — ucun kendi yazdığı başlığı doğrulamak için. none: başlık yok")
+        },
         annotations: writes
-    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, cookies, language }) => {
+    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, asUserId, cookies, language, includeHeaders }) => {
         const notes = [];
-        const requestHeaders = { ...runIdentity(anonymous, asUser, cookies, headers), ...languageHeader(language, notes) };
+        const eye = await impersonationHeaders(platform, 'microservice_execute', project, environment, { asUserId, asUser, anonymous, ownAuthorization: hasAuthorization(headers) }, { runtime: true });
+        const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);
+        const requestHeaders = { ...runIdentity(anonymous, member, cookies, headers), ...eye, ...languageHeader(language, notes) };
         const bound = bindCallParameters(method, parameters, query, body, notes);
-        return withNormalization(await platform.tenantRaw(method, project, executePath('m', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true }), notes);
+        assertFilterOperators('microservice_execute', bound);
+        const raw = await platform.tenantRaw(method, project, executePath('m', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true });
+        return withNormalization({ ...raw, headers: headersForMode(raw.headers, includeHeaders ?? 'essential') }, notes);
     }));
     server.registerTool('microservice_debug', {
         title: 'Microservice debug',
-        description: "Microservice'i debug modunda çalıştırır; yanıtta adım adım executionItems ağacı döner (her adımın girdi/çıktısı). executionItems YALNIZ ucun kendi adımlarını kapsar — ucun ÖNÜNDE koşan middleware'ler ayrıca 'middlewares' alanında adım özetiyle listelenir (09-04 Y-04). Değeri NULL bağlanan query parametreleri 'unboundParameters' alanında adıyla listelenir (ağaçta bu satırların value anahtarı görünmez). Preview semantiğiyle koşar: tek transaction + sonunda rollback, kalıcı satır yazmaz. httpStatus akışın kendi sonucudur (4xx/5xx'te runtimeErrors eklenir); ağaç düğümlerinde hata bayrağı YOKTUR — patlayan adımın output'u boştur, hata gövdesi hata dalındaki response adımının çıktısındadır. Zamanlanmış (schedule-job) uçlar da slug yoluyla debug edilir (method: 'POST', parametresiz): job geçmişi hatayı yalnız mesaj olarak yazar, adım adım girdi/çıktı burada görülür (platform_guide('microservice') §Zamanlanmış işin gerçek sonucunu görmek).",
+        description: "Microservice'i debug modunda çalıştırır; yanıtta adım adım executionItems ağacı döner (her adımın girdi/çıktısı). executionItems YALNIZ ucun kendi adımlarını kapsar — ucun ÖNÜNDE koşan middleware'ler ayrıca 'middlewares' alanında adım özetiyle listelenir (09-04 Y-04). Değeri NULL bağlanan query parametreleri 'unboundParameters' alanında adıyla listelenir (ağaçta bu satırların value anahtarı görünmez). Preview semantiğiyle koşar: tek transaction + sonunda rollback, kalıcı satır yazmaz. httpStatus akışın kendi sonucudur (4xx/5xx'te runtimeErrors eklenir); ağaç düğümlerinde hata bayrağı YOKTUR — patlayan adımın output'u boştur, hata gövdesi hata dalındaki response adımının çıktısındadır. Zamanlanmış (schedule-job) uçlar da slug yoluyla debug edilir (method: 'POST', parametresiz): job geçmişi hatayı yalnız mesaj olarak yazar, adım adım girdi/çıktı burada görülür (platform_guide('microservice') §Zamanlanmış işin gerçek sonucunu görmek). Kompleks projede kullanıcı gözü asUserId (parolasız) ya da asUser ile verilir ve yanıta 'accessDecision' eklenir: { decision: allow | deny | not-enforced | unknown, mode, code?, permission?, reason, next } — 401/403'ün erişim kararından mı geldiğini ve sıradaki adımı söyler.",
         inputSchema: executeInput,
         annotations: writes
-    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, cookies, language }) => {
+    }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, asUserId, cookies, language }) => {
         const notes = [];
-        const requestHeaders = { ...runIdentity(anonymous, asUser, cookies, headers), ...languageHeader(language, notes) };
+        const eye = await impersonationHeaders(platform, 'microservice_debug', project, environment, { asUserId, asUser, anonymous, ownAuthorization: hasAuthorization(headers) }, { runtime: true });
+        const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);
+        const requestHeaders = { ...runIdentity(anonymous, member, cookies, headers), ...eye, ...languageHeader(language, notes) };
         const bound = bindCallParameters(method, parameters, query, body, notes);
+        assertFilterOperators('microservice_debug', bound);
         const payload = await platform.tenantRaw(method, project, executePath('debug', application, microservice, routeParams), { environment, query: bound.query, body: bound.body, headers: requestHeaders, anonymous, mirrorAuthorizationCookie: true });
         const unbound = unboundQueryParameters(payload.body);
+        const chain = await middlewareChain(platform, project, environment, application, microservice, payload.httpStatus);
+        // Karar yanıtta ayrı alan olarak gelmez: kompleks projede hata kodundan ve ortamın modundan türetilir
+        // (g-31). Proje okuması zincirden SONRA yapılır; basit projede alan hiç eklenmez.
+        const errorBody = (payload.body && typeof payload.body === 'object' ? payload.body : {});
+        const decision = accessDecisionOf(await projectAccessContext(platform, project, environment), payload.httpStatus, errorBody.code, errorBody.message);
         return withNormalization({
             ...payload,
             ...(unbound.length > 0
@@ -434,7 +485,8 @@ export function registerMicroserviceTools(server, platform) {
                     unboundParametersNote: "Bu query parametreleri NULL bağlandı: çağrıda yoklar ya da değerleri boş string'di (platform boş string'i NULL'a çevirir). Parametreyi 'parameters' (ya da GET'te 'query', POST/PUT'ta 'body') ile verin; ad sorgunun parametre adıyla birebir aynı olmalı."
                 }
                 : {}),
-            ...await middlewareChain(platform, project, environment, application, microservice, payload.httpStatus)
+            ...chain,
+            ...(decision ? { accessDecision: decision } : {})
         }, notes);
     }));
     server.registerTool('microservice_preview', {
@@ -474,7 +526,7 @@ export function registerMicroserviceTools(server, platform) {
         const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'microservice', definition, { operation: 'preview' }, policyOverride));
         // Önizleme de ucun middleware'lerini koşturur: kimlik verilmezse korumalı uç 401 döner ve kuru
         // koşu aracı tam gerektiği anda kullanılamaz hâle gelir (09-05 koşusu S-21).
-        const payload = await platform.tenantRaw('POST', project, `/microservices/${resolvedApplicationId}/preview`, { environment, body: definition, headers: { ...identityHeaders(asUser, cookies, undefined), ...languageHeader(language, normalized) }, mirrorAuthorizationCookie: true });
+        const payload = await platform.tenantRaw('POST', project, `/microservices/${resolvedApplicationId}/preview`, { environment, body: definition, headers: { ...identityHeaders(await resolveIdentity(asUser, platform, project, environment), cookies, undefined), ...languageHeader(language, normalized) }, mirrorAuthorizationCookie: true });
         return attachFindings(withResolved(withNormalization(payload, normalized), [...resolver.resolved, ...hydrated]), findings);
     }));
     server.registerTool('microservice_job_history', {