@appaflytech/zeyrek-ai-mcp 0.0.30 → 0.0.32

package/dist/tools/accessOperations.js

@@ -1,135 +0,0 @@
-import { guid, projectParam, environmentParam, readOnly, writes, updates } from './common.js';
-import { accessResourceTypes } from '../knowledge/access.js';
-import { PlatformApiError } from '../platform/errors.js';
-import { handle } from '../platform/responses.js';
-import { z } from 'zod';
-const enforcementModes = ['off', 'shadow', 'enforce'];
-const isoDate = z.string().min(1)
-    .describe("ISO 8601 zaman damgası (UTC), ör. '2026-09-01T00:00:00Z'");
-function asRecord(value) {
-    return value && typeof value === 'object' && !Array.isArray(value) ? value : {};
-}
-export function registerAccessOperationTools(server, platform) {
-    const config = platform.config;
-    server.registerTool('access_matrix_get', {
-        title: 'Politika matrisini getir',
-        description: "Bir politikanın izin × kaynak matrisini getirir (GET /{project}/access/policies/{id}/matrix): actions sütunları (izin slug'ı + supportsScope/supportsFieldAccess), rows satırları (kaynak) ve her hücrede o politikadaki grant (grantId · effect · scope · fieldAccess · hasCondition). Politikayı grant grant okumaktan farkı: matris kaynak tipini bir tablo olarak gösterir, boş hücre 'grant yok' demektir. access_matrix_save'in şablonudur.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            id: guid.describe("Politika id'si (access_policy_list)"),
-            resourceType: z.enum(accessResourceTypes).describe('Matrisin kaynak tipi — zorunlu; her çağrı tek tipi tablolar'),
-            parentId: guid.optional().describe("Katalog satırının id'si (access_resource_list 'id'): o kaynağın çocuklarını tablolar — bir entity'nin alanları için entity katalog satırının id'si")
-        },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment, id, resourceType, parentId }) => {
-        const payload = await platform.tenant('GET', project, `/access/policies/${id}/matrix`, { environment, query: { resourceType, ...(parentId ? { parentId } : {}) } });
-        const data = asRecord(payload?.data);
-        const rows = Array.isArray(data.rows) ? data.rows.map(asRecord) : [];
-        return {
-            ...payload,
-            summary: {
-                policyId: data.policyId,
-                resourceType: data.resourceType,
-                actions: Array.isArray(data.actions) ? data.actions.length : 0,
-                rows: rows.length,
-                filledCells: rows.reduce((total, row) => total + (Array.isArray(row.cells) ? row.cells.map(asRecord).filter(cell => cell.grantId !== undefined && cell.grantId !== null).length : 0), 0)
-            }
-        };
-    }));
-    server.registerTool('access_matrix_save', {
-        title: 'Politika matrisini kaydet',
-        description: "Matris üzerinden grant ekler/günceller/siler (PUT /{project}/access/policies/{id}/matrix). 'changes' verdiğiniz grant'leri yazar (id varsa günceller, yoksa açar), 'removedGrantIds' silinecek grant'lerin id'leridir. Politikanın ATAMALARINA dokunmaz — atama access_policy_update'in işidir. access_policy_update'ten farkı: politikanın grant listesinin tamamını göndermek gerekmez, yalnız değişen hücreler gider. Gövde platformun FluentValidation kısıtlarından geçer (deny grant'i ALAN ERİŞİMİ taşımaz; kapsam ve koşul taşıyabilir — o zaman eylemi kesmez, yalnız kapsamındaki satırları süzer, K-10/TB-94). Politikada SÜRESİ DOLMAMIŞ bir kullanıcı istisnası (`overridesDeny`; henüz başlamamış, ileri tarihli olanı da sayılır) varsa grant'lerine dokunmak — ekleme, silme ya da değiştirme — `access.override.manage` iznini ister; izinsiz istek 403 `AccessOverridePermissionRequiredException` döner ve hiçbir şey yazılmaz (ACC-009).",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            id: guid.describe("Politika id'si"),
-            resourceType: z.enum(accessResourceTypes).optional().describe('Yanıtta dönecek matrisin kaynak tipi'),
-            parentId: guid.optional().describe('Yanıtta dönecek matrisin katalog kökü'),
-            changes: z.array(z.record(z.unknown())).optional().describe("Yazılacak grant'ler (access_matrix_get hücre biçimi + permission/resourceKey); boş bırakılabilir"),
-            removedGrantIds: z.array(guid).optional().describe("Silinecek grant id'leri")
-        },
-        annotations: updates
-    }, handle(config, ({ project, environment, id, resourceType, parentId, changes, removedGrantIds }) => {
-        if ((changes ?? []).length === 0 && (removedGrantIds ?? []).length === 0) {
-            throw new PlatformApiError("access_matrix_save: ne 'changes' ne 'removedGrantIds' verildi — istek matriste hiçbir şeyi değiştirmezdi, gönderilmedi.", 400);
-        }
-        return platform.tenant('PUT', project, `/access/policies/${id}/matrix`, {
-            environment,
-            body: { changes: changes ?? [], removedGrantIds: removedGrantIds ?? [], ...(resourceType ? { resourceType } : {}), ...(parentId ? { parentId } : {}) }
-        });
-    }));
-    server.registerTool('access_resource_rebuild', {
-        title: 'Kaynak kataloğunu yeniden kur',
-        description: "Kaynak kataloğunu projenin güncel tanımlarından yeniden üretir (POST /{project}/access/resources/rebuild): yeni entity/alan/uç/sayfa katalogda yoksa ya da silinmiş kaynakların satırları (access_policy_list'te orphaned: true) kaldıysa bunu düzeltir. Grant'ler resourceKey ile bağlıdır, anahtar değişmediği sürece rebuild politikaları bozmaz. Katalog yalnız kompleks projede vardır.",
-        inputSchema: { project: projectParam, environment: environmentParam },
-        annotations: writes
-    }, handle(config, async ({ project, environment }) => {
-        const payload = await platform.tenant('POST', project, '/access/resources/rebuild', { environment });
-        return { ...payload, note: "Katalog yeniden kuruldu; grant'lerin bağlandığı anahtarları access_resource_list ile doğrulayın." };
-    }));
-    server.registerTool('access_decision_log_list', {
-        title: 'Erişim karar kayıtlarını listele',
-        description: "Karar kayıtlarını listeler (GET /{project}/access/decision-logs): zaman penceresi, karar, izin, kaynak anahtarı, neden, satır kapsamının metni, istek yolu ve korelasyon id'si. İki tür yalnız gölge modda yazılır — 'would-deny' (zorlama AÇIK OLSAYDI istek reddedilecekti) ve 'would-filter' (istek geçerdi ama satırları kapsam süzerdi); iki tür ise **enforce modda da** yazılır: 'unrestricted' (isUnrestricted sorgu koştu — TB-103) ve 'elevated' (runAs: system koştu — TB-105). enforce'a geçmeden önce okunacak liste budur; geçildikten sonra da yükseltme izi buradadır. Tek tek kayıtlar için bu, toplamlar için access_decision_log_summary, en çok engellenen kullanıcılar için access_decision_log_users.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            from: isoDate,
-            to: isoDate,
-            decision: z.enum(['would-deny', 'would-filter', 'would-mask', 'unrestricted', 'elevated']).optional().describe("Süzgeç; VERİLMEZSE tüm kararlar döner — ölçüldü 2026-09-19: aynı pencerede süzgeçsiz 10, 'would-filter' 7, 'would-deny' 3 kayıt. 'would-deny' = zorlama açık olsaydı istek reddedilirdi, 'would-filter' = istek geçerdi ama satırlar kapsamla süzülürdü (okuma yolunda filteredRowCount kaç satırın düşeceğini yazar), 'would-mask' = alan maskeli ya da gizli dönerdi (permission 'field.read', resourceKey 'field:<entityId>:<fieldId>', reason 'masked'|'hidden'), 'unrestricted' = isUnrestricted bir sorgu koştu (resourceKey entity anahtarı, reason entity slug'ı), 'elevated' = runAs: system bir akış koştu (resourceKey 'workflow:<id>', reason akış slug'ı, rowScopeText 'author:<akisi yazan kullanici>'). Son ikisi enforce modda da yazılır. Platform yalnız bu beşini yazar (AccessDecisionLogKind); tanımadığı bir değeri doğrulamaz, sessizce BOŞ liste döndürür"),
-            pageIndex: z.number().int().min(0).optional(),
-            pageLength: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200')
-        },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment, ...query }) => {
-        const payload = await platform.tenant('GET', project, '/access/decision-logs', { environment, query });
-        const rows = Array.isArray(payload?.data) ? payload.data.map(asRecord) : [];
-        return {
-            ...payload,
-            pageSummary: {
-                rows: rows.length,
-                withFilteredRowCount: rows.filter(row => typeof row.filteredRowCount === 'number').length,
-                wouldMask: rows.filter(row => row.decision === 'would-mask').length
-            },
-            note: "Sayımlar YALNIZ dönen sayfayı kapsar (pageSummary), pencerenin tamamını değil — pencere toplamı için access_decision_log_summary. filteredRowCount yalnız OKUMA yolundaki 'would-filter' kayıtlarında doludur (toplam − kapsamlı toplam) ve satırın PENCERE TOPLAMIDIR, istek başına değil: istek başına düşen satır sayısı için filteredRowCount / count (ölçüldü 2026-09-19: count 22, filteredRowCount 352 → istek başına 16). Güncelleme ve silme yolunda null kalır. 'would-mask' istek başına entity başına bir kez ÇÖZÜLÜR, ama maskeli/gizli HER ALAN için bir kayıt düşer ve yalnız sorgu satır döndürdüğünde yazılır."
-        };
-    }));
-    server.registerTool('access_decision_log_summary', {
-        title: 'Karar kayıtlarını özetle',
-        description: "Karar kayıtlarını izin × kaynak × neden kırılımında toplar (GET /{project}/access/decision-logs/summary). Gölge modda 'hangi izin nerede eksik' sorusunun cevabı budur: en çok tekrar eden satır, politikanın en belirgin boşluğudur. Tek tek kayıtlar için access_decision_log_list.",
-        inputSchema: { project: projectParam, environment: environmentParam, from: isoDate, to: isoDate },
-        annotations: readOnly
-    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/decision-logs/summary', { environment, query })));
-    server.registerTool('access_decision_log_users', {
-        title: 'Engellenen kullanıcıları listele',
-        description: "Karar kayıtlarını kullanıcı kırılımında toplar (GET /{project}/access/decision-logs/users): en çok 'reddedilirdi' kaydı üreten kullanıcılar. Bir kullanıcı listenin başındaysa çoğu zaman pozisyonu ya da atanan politikası eksiktir — access_preview ile o kullanıcının tek bir kararını açıklayın.",
-        inputSchema: { project: projectParam, environment: environmentParam, from: isoDate, to: isoDate, limit: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200') },
-        annotations: readOnly
-    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/decision-logs/users', { environment, query })));
-    server.registerTool('access_enforcement_readiness', {
-        title: 'Zorlamaya hazır mı',
-        description: "Son N günün gölge kayıtlarında kaç 'reddedilirdi' olduğunu sayar ve sıfırsa hazır der (POST /{project}/access/enforcement/readiness). enforce'a geçmeden önceki kapı budur: isReady false ise geçiş bugün çalışan bir şeyi kesecek demektir — önce access_decision_log_summary ile boşlukları kapatın. Sayı sıfır olsa bile hiç trafik görmemiş bir uç kanıtlanmış olmaz.",
-        inputSchema: { project: projectParam, environment: environmentParam, days: z.number().int().min(1).max(30).optional().describe('Pencere (gün); varsayılan 7, en çok 30') },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment, days }) => {
-        const payload = await platform.tenant('POST', project, '/access/enforcement/readiness', { environment, body: days === undefined ? {} : { days } });
-        const data = asRecord(payload?.data);
-        return {
-            ...payload,
-            note: data.isReady === true
-                ? "Pencerede 'reddedilirdi' kaydı yok. Bu, zorlamanın hiçbir şeyi kesmeyeceğini KANITLAMAZ — yalnız o pencerede denenen yolları kapsar; az kullanılan uçları access_preview ile ayrıca sınayın."
-                : `Pencerede ${String(data.wouldDenyCount ?? '?')} 'reddedilirdi' kaydı var: zorlama açılırsa bunlar kesilir. access_decision_log_summary ile izin/kaynak kırılımına bakın.`
-        };
-    }));
-    server.registerTool('access_enforcement_mode_set', {
-        title: 'Zorlama modunu değiştir',
-        description: "Bir environment'ın zorlama modunu değiştirir (PUT /environments/{projectId}/{environmentId}/enforcement-mode): 'off' karar motoru kapalı, 'shadow' kararlar hesaplanır ve reddedilecekler kaydedilir ama istek kesilmez, 'enforce' kararlar uygulanır. Yalnız kompleks projede anlamlıdır. 'enforce'a geçiş ÜRETİM DAVRANIŞINI DEĞİŞTİRİR: önce access_enforcement_readiness'ı yeşile getirin. Platform iki durumda confirm ister: production ortamında HER değişiklik ve HER ortamda 'off'a geçiş (409 EnforcementOffRequiresConfirmation) — 'off' satır kapsamını kaldırmakla kalmaz, korumalı alanları da herkese açık döndürür (TB-99).",
-        inputSchema: {
-            projectId: guid,
-            environmentId: guid.describe('environment_list çıktısındaki id'),
-            enforcementMode: z.enum(enforcementModes),
-            confirm: z.boolean().optional().describe("Platformun istediği onay: production'da her değişiklik, her ortamda 'off'a geçiş. Bilinçli geçişte true")
-        },
-        annotations: updates
-    }, handle(config, ({ projectId, environmentId, enforcementMode, confirm }) => platform.org('PUT', `/environments/${projectId}/${environmentId}/enforcement-mode`, { body: { enforcementMode, confirm: confirm === true } })));
-}

package/dist/tools/accessPolicies.js

@@ -1,170 +0,0 @@
-import { guid, projectParam, environmentParam, readOnly, writes, updates, destructive } from './common.js';
-import { accessPolicyEntityFindings, accessResourceTypes, accessScopes } from '../knowledge/access.js';
-import { evaluatePolicy, enforcePolicy, attachFindings, applyPolicyMode } from '../knowledge/policy.js';
-import { unmappedMembers, withUnmappedMembers } from '../knowledge/schemaGuard.js';
-import { withNormalization } from '../knowledge/normalize.js';
-import { policyRules } from '../knowledge/rules.js';
-import { handle } from '../platform/responses.js';
-import { RefResolver } from '../platform/refs.js';
-import { z } from 'zod';
-const policyOverrideParam = z.boolean().optional()
-    .describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)');
-const grantInput = z.object({
-    id: guid.optional().describe('Var olan grant güncelleniyorsa onun id\'si; yeni grant\'te verilmez'),
-    permission: z.string().min(1).describe("İzin slug'ı (access_permission_list): 'entity.read', 'field.read', 'microservice.execute' …"),
-    resourceKey: z.string().min(1).nullable().optional().describe("Kaynak anahtarı (access_resource_list 'key'): 'entity:<entityId>', 'field:<entityId>:<fieldId>', '<tip>:<id>'; verilmezse iznin tipinin TAMAMI"),
-    effect: z.enum(['allow', 'deny']).describe("Kapsamsız ya da koşulsuz scope: 'all' taşıyan 'deny' eylemi keser (TB-132); daraltıcı kapsamlı (own · unit · unit-tree · subordinates · function · company) ya da scope: 'all' + koşullu 'deny' eylemi kesmez, yalnız kapsamındaki / koşula uyan satırları süzer. 'deny' alan erişimi taşımaz (K-10)"),
-    scope: z.enum(accessScopes).optional().describe('Satır kapsamı; yalnız entity.read/update/delete/export/reveal/reassign'),
-    subordinatesLine: z.enum(['administrative', 'functional', 'both']).optional().describe("Yalnız scope: 'subordinates' ile; varsayılan idari hat"),
-    fieldAccess: z.enum(['hidden', 'masked', 'plain']).optional().describe("Yalnız 'field.read' izninde"),
-    condition: z.record(z.unknown()).optional().describe("Kapsama AND ile eklenen koşul: { all|any: [...] } ya da { field, op, value }; op eq·neq·in·notin·lt·lte·gt·gte·isnull·isnotnull; value sabit, dizi, { subject: 'userId'|'unitIds'|'positionIds'|'companyIds'|'roleSlugs'|'functionCodes' } ya da { now: true }. Derinlik ≤ 5, düğüm ≤ 50")
-});
-const assignmentInput = z.object({
-    id: guid.optional(),
-    subjectType: z.enum(['role', 'position', 'unit', 'user', 'authenticated']),
-    subjectId: guid.describe("roles / organization_positions / organization_units / users satır id'si (row_list)"),
-    includeDescendants: z.boolean().optional().describe("Yalnız subjectType: 'unit' — alt birimleri de kapsar"),
-    startsAt: z.string().optional().describe('ISO tarih; verilmezse şimdi'),
-    endsAt: z.string().optional().describe('ISO tarih; startsAt\'ten sonra'),
-    overridesDeny: z.boolean().optional().describe("Yalnız subjectType: 'user' ve dolu endsAt ile; kapsamlı/kapsamsız bütün deny'leri aşar; yazmak access.override.manage izni ister — 403 alırsanız izni olan hesapla tekrarlayın")
-});
-function compact(value) {
-    return Object.fromEntries(Object.entries(value).filter(([, entry]) => entry !== undefined));
-}
-function grantFromRecord(record) {
-    return compact({
-        id: record.id,
-        permission: String(record.permission ?? ''),
-        resourceKey: (record.resourceKey ?? undefined),
-        effect: record.effect,
-        scope: (record.scope ?? undefined),
-        subordinatesLine: (record.subordinatesLine ?? undefined),
-        fieldAccess: (record.fieldAccess ?? undefined),
-        condition: (record.condition ?? undefined)
-    });
-}
-function assignmentFromRecord(record) {
-    return compact({
-        id: record.id,
-        subjectType: record.subjectType,
-        subjectId: String(record.subjectId ?? ''),
-        includeDescendants: (record.includeDescendants ?? undefined),
-        startsAt: (record.startsAt ?? undefined),
-        endsAt: (record.endsAt ?? undefined),
-        overridesDeny: (record.overridesDeny ?? undefined)
-    });
-}
-async function lintPolicy(platform, project, environment, body, operation, policyOverride, entityBody) {
-    const config = platform.config;
-    const resolver = new RefResolver(platform, project, environment);
-    return [
-        ...enforcePolicy(evaluatePolicy(config, policyRules, 'accessPolicy', body, { operation }, policyOverride)),
-        ...enforcePolicy(applyPolicyMode(config, await accessPolicyEntityFindings(platform, resolver, entityBody), policyOverride))
-    ];
-}
-export function registerAccessPolicyTools(server, platform) {
-    const config = platform.config;
-    server.registerTool('access_permission_list', {
-        title: 'İzin kataloğunu listele',
-        description: "Kompleks projenin izin kataloğunu döner (slug · resourceType · action · supportsScope · supportsFieldAccess) — grant'lerin permission değerinin tek kaynağı. Katalog YALNIZ kompleks projede tohumlanır: boş dizi projenin basit olduğunu söyler.",
-        inputSchema: { project: projectParam, environment: environmentParam },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment }) => {
-        const payload = await platform.tenant('GET', project, '/access/permissions', { environment });
-        const count = Array.isArray(payload?.data) ? payload.data.length : 0;
-        return count > 0
-            ? payload
-            : { ...payload, data: [], complex: false, note: "İzin kataloğu boş: proje KOMPLEKS DEĞİL (katalog yalnız accessModel 'complex' projede tohumlanır). project_get accessModel ile doğrulayın; basit projede yetki middleware ve page.roleIds ile kurulur." };
-    }));
-    server.registerTool('access_resource_list', {
-        title: 'Kaynak kataloğunu listele',
-        description: "Grant'in bağlanabileceği kaynakları (entity, alan, microservice, sayfa …) sayfalı listeler; 'key' grant'in resourceKey'idir (K-31). Türetilmiş alanlar katalogdadır (isDerived), gizli sistem alanları değildir; isProtected korumalı alanı işaretler. parentId bir KATALOG id'sidir (listedeki 'id'), entity id değil — bir entity'nin alanları için önce entity satırının id'sini alın.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            type: z.enum(accessResourceTypes).optional(),
-            parentId: guid.optional().describe("Katalog satırının id'si: o kaynak ve doğrudan çocukları"),
-            search: z.string().optional(),
-            pageIndex: z.number().int().min(0).optional(),
-            pageLength: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200')
-        },
-        annotations: readOnly
-    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/resources', { environment, query })));
-    server.registerTool('access_policy_list', {
-        title: 'Erişim politikalarını listele',
-        description: "Projenin erişim politikalarını grant ve atamalarıyla listeler. origin: system · project · runtime (dikey çözümün production'da ayrıştırdığı, deployment dokunmaz) · module; orphaned: true grant'in kaynağı artık yok.",
-        inputSchema: { project: projectParam, environment: environmentParam },
-        annotations: readOnly
-    }, handle(config, ({ project, environment }) => platform.tenant('GET', project, '/access/policies', { environment })));
-    server.registerTool('access_policy_get', {
-        title: 'Erişim politikasını getir',
-        description: 'Tek politikayı grant ve atamalarıyla getirir; access_policy_update için şablondur.',
-        inputSchema: { project: projectParam, environment: environmentParam, id: guid },
-        annotations: readOnly
-    }, handle(config, ({ project, environment, id }) => platform.tenant('GET', project, `/access/policies/${id}`, { environment })));
-    server.registerTool('access_policy_create', {
-        title: 'Erişim politikası oluştur',
-        description: "Kompleks projede politika açar: grant'ler (izin × kaynak × etki × kapsam/koşul/alan erişimi) ve atamalar (rol · pozisyon · birim · kullanıcı) tek gövdede. Gövde istek gitmeden ACC-001 (grant/atama biçimi), ACC-002 (koşulda korumalı alan), ACC-003 (sahiplik alanı olmayan entity'ye kapsam, warn) ve ACC-017 (korumasız alana field.read 'masked' — maske alanın entity_protection_update korumasından gelir, korumasız alanda değer düz döner; warn) kontrolünden geçer. Tasarım eseridir: development'ta (ya da dalda) yazılır, production'a deployment taşır. Kavramlar ve CZA örneği: platform_guide('access').",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            name: z.string().min(1).max(150),
-            slug: z.string().min(1).max(150).describe('Projede tekil (409 AccessPolicySlugDuplicate)'),
-            description: z.string().optional(),
-            grants: z.array(grantInput).optional().describe('Verilmezse boş'),
-            assignments: z.array(assignmentInput).optional().describe('Verilmezse boş — atamasız politika kimseye uygulanmaz'),
-            policyOverride: policyOverrideParam
-        },
-        annotations: writes
-    }, handle(config, async ({ project, environment, name, slug, description, grants, assignments, policyOverride }) => {
-        const body = compact({ name, slug, description, grants: (grants ?? []).map(compact), assignments: (assignments ?? []).map(compact) });
-        const findings = await lintPolicy(platform, project, environment, body, 'create', policyOverride, body);
-        const drift = unmappedMembers('CreateAccessPolicyCommand', body);
-        const payload = await platform.tenant('POST', project, '/access/policies', { environment, body });
-        return attachFindings(withUnmappedMembers(payload, drift), findings);
-    }));
-    server.registerTool('access_policy_update', {
-        title: 'Erişim politikasını güncelle',
-        description: "Politikayı günceller (platform ucu tam değiştirmedir). Gateway kaydı önce okur: VERİLMEYEN alan mevcut değeriyle taşınır ve bu gatewayNormalized ile söylenir. grants / assignments VERİLİRSE TAM LİSTEDİR — listede olmayan grant ya da atama SİLİNİR; var olanı değiştirmek için id'sini koruyun. Yetim anahtarlı var olan grant PUT'u düşürmez, yeni gelen bilinmeyen anahtar 400 AccessResourceUnknown. Aynı ACC-001…003 ve ACC-017 kontrolü (yalnız bu çağrıda verilen grant'lere) uygulanır.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            id: guid,
-            name: z.string().min(1).max(150).optional(),
-            slug: z.string().min(1).max(150).optional(),
-            description: z.string().optional(),
-            grants: z.array(grantInput).optional().describe('TAM liste; verilmezse mevcut grant\'ler taşınır'),
-            assignments: z.array(assignmentInput).optional().describe('TAM liste; verilmezse mevcut atamalar taşınır'),
-            policyOverride: policyOverrideParam
-        },
-        annotations: updates
-    }, handle(config, async ({ project, environment, id, name, slug, description, grants, assignments, policyOverride }) => {
-        const current = ((await platform.tenant('GET', project, `/access/policies/${id}`, { environment }))?.data ?? {});
-        const carried = [
-            ...(name === undefined ? ['name'] : []),
-            ...(slug === undefined ? ['slug'] : []),
-            ...(description === undefined && typeof current.description === 'string' ? ['description'] : []),
-            ...(grants === undefined ? ['grants'] : []),
-            ...(assignments === undefined ? ['assignments'] : [])
-        ];
-        const body = compact({
-            name: name ?? String(current.name ?? ''),
-            slug: slug ?? String(current.slug ?? ''),
-            description: description ?? (typeof current.description === 'string' ? current.description : undefined),
-            grants: grants !== undefined ? grants.map(compact) : (Array.isArray(current.grants) ? current.grants : []).map(entry => grantFromRecord(entry)),
-            assignments: assignments !== undefined ? assignments.map(compact) : (Array.isArray(current.assignments) ? current.assignments : []).map(entry => assignmentFromRecord(entry))
-        });
-        // Taşınan grant'ler platformda zaten geçerli; entity okuması yalnız bu çağrıda VERİLEN grant'ler için yapılır.
-        const findings = await lintPolicy(platform, project, environment, body, 'update', policyOverride, { grants: grants ?? [] });
-        const drift = unmappedMembers('UpdateAccessPolicyCommand', body);
-        const payload = await platform.tenant('PUT', project, `/access/policies/${id}`, { environment, body });
-        const notes = carried.length > 0 ? [`Verilmeyen alanlar mevcut kayıttan taşındı: ${carried.join(', ')}.`] : [];
-        return attachFindings(withUnmappedMembers(withNormalization(payload, notes), drift), findings);
-    }));
-    server.registerTool('access_policy_delete', {
-        title: 'Erişim politikasını sil',
-        description: 'Politikayı grant ve atamalarıyla birlikte siler; etkisi erişim sürümü artınca runtime kararlarına yansır.',
-        inputSchema: { project: projectParam, environment: environmentParam, id: guid },
-        annotations: destructive
-    }, handle(config, ({ project, environment, id }) => platform.tenant('DELETE', project, `/access/policies/${id}`, { environment })));
-}

package/dist/tools/accessRuntime.js

@@ -1,203 +0,0 @@
-import { guid, projectParam, environmentParam, readOnly, writes } from './common.js';
-import { identityHeaders } from '../platform/tokenVault.js';
-import { resourceKeyProblem } from '../knowledge/access.js';
-import { enforcePolicy, attachFindings, applyPolicyMode } from '../knowledge/policy.js';
-import { PlatformApiError } from '../platform/errors.js';
-import { handle } from '../platform/responses.js';
-import { z } from 'zod';
-function asRecord(value) {
-    return value && typeof value === 'object' && !Array.isArray(value) ? value : {};
-}
-function previewNote(data) {
-    const trace = Array.isArray(data.trace) ? data.trace.map(asRecord) : [];
-    const rowScoped = trace.some(entry => entry.outcome === 'row-scoped')
-        ? " Kapsamlı deny satır süzer, eylemi kesmez — rowScope metnindeki 'except' parçasına bakın."
-        : '';
-    if (data.reason === 'allowed-by-override') {
-        const endsAt = trace.find(entry => entry.overridesDeny === true && typeof entry.endsAt === 'string')?.endsAt;
-        const scope = typeof data.rowScope === 'string' && data.rowScope !== ''
-            ? ` Satırlar yine şu kapsamla süzülür: ${data.rowScope} — istisna yasağı kaldırır, öteki izinleri daraltmaz.`
-            : '';
-        return `Kullanıcı istisnası deny'leri aştı; iz 'outcome: overridden' satırlarını gösterir${typeof endsAt === 'string' ? `, bitiş ${endsAt}` : ''}.${scope}${rowScoped}`;
-    }
-    if (data.isAllowed === true) {
-        return (typeof data.rowScope === 'string' && data.rowScope !== ''
-            ? `İzin var; satırlar şu kapsamla süzülür: ${data.rowScope}. Kararı getiren grant'ler trace'te.`
-            : "İzin var. Kararı getiren grant'ler trace'te.") + rowScoped;
-    }
-    const cuttingDenies = trace.filter(entry => entry.effect === 'deny' && entry.outcome !== 'row-scoped');
-    if (cuttingDenies.length > 0) {
-        return cuttingDenies.every(entry => entry.scope === 'all')
-            ? "scope: 'all' taşıyan koşulsuz bir deny grant'i kesiyor (trace'te effect 'deny', outcome 'applied'): koşulsuz 'all' daraltıcı bir kapsam değildir, bu yüzden kapsamsız deny gibi bütün allow'ları ezer (TB-132). Yalnız belli satırları dışlamak istiyorsanız deny'a own · unit · unit-tree · subordinates · function · company kapsamlarından birini ya da 'all' ile birlikte bir koşul verin."
-            : "Kapsamsız bir deny grant'i kesiyor (trace'te effect 'deny', outcome 'applied'): kapsamsız deny bütün allow'ları ezer.";
-    }
-    return (trace.length === 0
-        ? "Bu kullanıcıya bu izni getiren hiçbir atama yok. Kullanıcının pozisyonunu/rolünü (row_list('user_positions'), user_list) ve politikanın atamasını (access_policy_get) kontrol edin; kaynak anahtarı grant'teki anahtarla aynı mı bakın."
-        : "Atama var ama eşleşen allow grant'i yok (izin ya da kaynak anahtarı farklı).") + rowScoped;
-}
-/**
- * The shortest reveal reason THIS environment accepts. A refused attempt is written to the audit
- * trail and eats the rate limit, so the gateway reads the setting and stops a short reason before
- * it becomes a record (ACC-010). It is read off the runtime access map rather than off the core
- * project row: the platform enforces the environment's own copy, and the two can differ while an
- * environment has not picked the change up. An unreadable map is treated as "no minimum" — the
- * rule must never turn a working reveal into a gateway error.
- */
-async function revealReasonMinLength(platform, project, environment, application, asUser) {
-    try {
-        const payload = await platform.tenant('GET', project, `/runtime/${encodeURIComponent(application)}/access`, {
-            environment,
-            headers: identityHeaders(asUser, undefined, undefined)
-        });
-        const minLength = Number(asRecord(payload?.data).revealReasonMinLength);
-        return Number.isFinite(minLength) && minLength > 0 ? minLength : 0;
-    }
-    catch {
-        return 0;
-    }
-}
-const asUserRefParam = z.string().min(1).describe("Uygulama kullanıcısının kimliği: access_session_create yanıtındaki tok_… referansı ya da ham JWT. Gateway'in servis jetonu bir uygulama kullanıcısı DEĞİLDİR — bu alan olmadan uç uygulama kullanıcısı göremez.");
-export function registerAccessRuntimeTools(server, platform) {
-    const config = platform.config;
-    server.registerTool('access_preview', {
-        title: 'Erişim kararını açıkla',
-        description: "Karar motorunun bir uygulama kullanıcısı için vereceği kararı YAN ETKİSİZ açıklar (POST /{project}/access/explain): isAllowed, reason (allowed · allowed-by-override · no-matching-grant · explicit-deny · system), rowScope (satır kapsamının metni; kapsamlı deny 'X except Y' olarak görünür), fieldAccess (alan başına hidden/masked/plain · canWrite · canFilter) ve trace (atama → politika → grant → etki + scope · outcome 'applied'|'row-scoped'|'overridden' · endsAt · overridesDeny). Veri döndürmez, zorlama modunu okumaz ya da değiştirmez. 'Bu kullanıcı neden göremiyor / güncelleyemiyor?' ve gölge moddaki 'reddedilirdi' kayıtlarının cevabı budur. Kavramlar: platform_guide('access') §'Açıklama ve sınama'.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            userId: guid.describe("Uygulama kullanıcısının id'si (users tablosu / user_list)"),
-            permission: z.string().min(1).describe("İzin slug'ı (access_permission_list): 'entity.update', 'microservice.execute' …"),
-            resourceKey: z.string().min(1).describe("'entity:<entityId>' · 'field:<entityId>:<fieldId>' · 'row:<entityId>:<rowId>' · '<tip>:<id>' ya da yalnız tip ('page')"),
-            rowId: z.string().min(1).optional().describe("Satır kapsamını tek bir satır için sınar: satırın cevabı rowInScope ve summary.row'dadır, isAllowed tablonun cevabı olarak kalır")
-        },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment, userId, permission, resourceKey, rowId }) => {
-        const problem = resourceKeyProblem(resourceKey);
-        if (problem) {
-            throw new PlatformApiError(`access_preview: ${problem}. Anahtarları access_resource_list verir; istek gönderilmedi.`, 400);
-        }
-        const payload = await platform.tenant('POST', project, '/access/explain', { environment, body: { userId, permission, resourceKey, ...(rowId ? { rowId } : {}) } });
-        const data = asRecord(payload?.data);
-        return {
-            ...payload,
-            summary: {
-                decision: data.isAllowed === true ? 'allow' : 'deny',
-                ...(typeof data.reason === 'string' ? { reason: data.reason } : {}),
-                ...(typeof data.rowScope === 'string' ? { rowScope: data.rowScope } : {}),
-                traceEntries: Array.isArray(data.trace) ? data.trace.length : 0,
-                ...(typeof data.rowInScope === 'boolean' ? { row: data.rowInScope ? 'in-scope' : 'out-of-scope' } : {})
-            },
-            note: data.isAllowed === true && data.rowInScope === false
-                ? `Tabloda izin var ama bu satır kapsam dışında (${typeof data.rowScope === 'string' ? data.rowScope : 'satır kapsamı'}): çalışma zamanında okuma/güncelleme 404 döner. isAllowed tablonun, rowInScope satırın cevabıdır.`
-                : previewNote(data)
-        };
-    }));
-    server.registerTool('access_session_create', {
-        title: 'Uygulama oturumu aç',
-        description: "Kompleks projede uygulama kullanıcısı olarak giriş yapar (POST /{project}/runtime/{application}/auth/sign-in) — korumalı uçları ve sayfaları O KULLANICININ kimliğiyle sınamanın yolu. Erişim jetonu yanıtta maskelenir; tokenRefs'teki tok_… referansını microservice_execute / microservice_debug / page_runtime_get 'asUser' alanına verin (15 dk). Jeton Bearer olarak gider ve platform Bearer'lı isteğe CSRF sormaz; oturum çerezleri gateway'de tutulmaz. Hatalar: 401 AppSessionInvalid (yanlış e-posta/parola), 429 (5 dk'da 10 deneme — tekrar denemeden önce bekleyin). Basit projede giriş uygulamanın kendi microservice ucudur (platform_guide('middleware')).",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            application: z.string().min(1).describe("Application slug'ı"),
-            email: z.string().min(1),
-            password: z.string().min(1).describe('Uygulama kullanıcısının parolası; gateway günlüğüne maskeli yazılır, yanıta girmez'),
-            expectFailure: z.boolean().optional().describe('true: hatalı giriş BEKLENİYOR (kasıtlı negatif test)')
-        },
-        annotations: writes
-    }, handle(config, async ({ project, environment, application, email, password }) => {
-        // anonymous: gateway kendi jetonunu eklemez ve 401'de jeton yenileyip İKİNCİ bir giriş denemesi
-        // yapmaz — yanlış parolanın iki kez sayılması hız sınırını (5 dk'da 10) boşuna tüketirdi.
-        const response = await platform.tenantRaw('POST', project, `/runtime/${encodeURIComponent(application)}/auth/sign-in`, { environment, body: { email, password }, anonymous: true });
-        const body = asRecord(response.body);
-        const data = asRecord(body.data);
-        const ok = response.httpStatus < 400;
-        const code = typeof body.code === 'string' ? body.code : undefined;
-        return {
-            httpStatus: response.httpStatus,
-            body: response.body,
-            ...(ok ? { session: { user: data.user, accessExpiresAt: data.accessTokenExpiresAt, refreshExpiresAt: data.refreshTokenExpiresAt } } : {}),
-            note: ok
-                ? "Oturum açıldı. tokenRefs içindeki 'body.data.accessToken' referansını asUser olarak verin; 15 dk sonra yeniden giriş gerekir. Kullanıcının yetkisi atamalarından gelir — erişemediği bir şey için access_preview."
-                : code === 'AppSessionRateLimitedException'
-                    ? 'Giriş hız sınırına takıldı (5 dk\'da 10 deneme). Beklemeden tekrar denemeyin.'
-                    : code === 'AppSignInFailedException'
-                        ? "E-posta ya da parola yanlış (ya da kullanıcı bu projenin 'users' tablosunda yok). Yeni projede users boş gelir — platform_guide('getting-started') §'Kompleks projede ilk kullanıcı'."
-                        : 'Giriş reddedildi; gövdedeki code/message nedeni söyler.'
-        };
-    }));
-    server.registerTool('access_runtime_get', {
-        title: 'Uygulama kullanıcısının erişim haritası',
-        description: "Giriş yapmış bir uygulama kullanıcısının O ANDAKİ erişim haritasını getirir (GET /{project}/runtime/{application}/access): zorlama modu, görebildiği sayfa slug'ları, çağırabildiği microservice slug'ları ve entity başına eylemler (read · create · update · delete …) + alan erişimleri (hidden/masked/plain · canWrite · canFilter). Uygulama menüsünü/butonlarını buna göre çizer. access_preview'dan farkı: o TEK bir kararı açıklar, bu kullanıcının bütün yüzeyini verir. asUser ZORUNLUDUR — bu uç gateway'in servis jetonuyla çağrılırsa uygulama kullanıcısı yoktur ve harita boş döner.",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            application: z.string().min(1).describe("Application slug'ı"),
-            asUser: asUserRefParam
-        },
-        annotations: readOnly
-    }, handle(config, async ({ project, environment, application, asUser }) => {
-        const payload = await platform.tenant('GET', project, `/runtime/${encodeURIComponent(application)}/access`, { environment, headers: identityHeaders(asUser, undefined, undefined) });
-        const data = asRecord(payload?.data);
-        return {
-            ...payload,
-            summary: {
-                mode: data.mode,
-                pages: Array.isArray(data.pages) ? data.pages.length : 0,
-                microservices: Array.isArray(data.microservices) ? data.microservices.length : 0,
-                entities: Array.isArray(data.entities) ? data.entities.length : 0
-            },
-            note: data.mode === 'off'
-                ? "Zorlama KAPALI: harita her şeyi açık gösterir çünkü karar motoru çalışmıyor. Gerçek kapsamı görmek için environment'ı shadow/enforce'a alın (access_enforcement_mode_set)."
-                : "Harita bu kullanıcının o andaki yetkisidir; bir öğe eksikse nedenini access_preview söyler."
-        };
-    }));
-    server.registerTool('access_reveal', {
-        title: 'Maskeli alan değerini aç',
-        description: "Maskelenmiş (korumalı) bir alanın açık değerini TEK BİR SATIR için okur (POST /{project}/runtime/{application}/reveal). Kullanıcının o alanda 'field.reveal' izni olmalıdır; her çağrı GEREKÇESİYLE BİRLİKTE denetim izine yazılır ve hız sınırına tabidir (429). Maskeli değerin açığını okumanın başka yolu yoktur — row_list korumalı alanı maskeli döner. asUser zorunludur: gerekçe ve iz o kullanıcıya yazılır. Projenin revealReasonMinLength ayarı 0'dan büyükse daha kısa bir gerekçe 400 RevealReasonTooShort alır, hız sınırını tüketir ve denetim defterine REVEAL-DENIED düşer — gateway bunu çağrı gitmeden durdurur (ACC-010).",
-        inputSchema: {
-            project: projectParam,
-            environment: environmentParam,
-            application: z.string().min(1).describe("Application slug'ı"),
-            asUser: asUserRefParam,
-            entityId: guid,
-            rowId: z.string().min(1).describe("Satırın birincil anahtar değeri"),
-            fieldSlug: z.string().min(1).describe("Alanın slug'ı (entity_get)"),
-            reason: z.string().min(1).max(1000).describe("Denetim izine yazılacak gerekçe; zorunludur ve boş bırakılamaz. Projenin revealReasonMinLength ayarından kısa olamaz (project_get / access_runtime_get)"),
-            expectFailure: z.boolean().optional().describe('true: reddedilmesi BEKLENİYOR (kasıtlı negatif test) — ACC-010 ön denetimi de atlanır')
-        },
-        annotations: writes
-    }, handle(config, async ({ project, environment, application, asUser, entityId, rowId, fieldSlug, reason, expectFailure }) => {
-        let findings = [];
-        if (expectFailure !== true && config.policyMode !== 'off') {
-            const minLength = await revealReasonMinLength(platform, project, environment, application, asUser);
-            if (reason.trim().length < minLength) {
-                findings = enforcePolicy(applyPolicyMode(config, [{
-                        ruleId: 'ACC-010',
-                        severity: 'block',
-                        message: `Gerekçe ${reason.trim().length} karakter, bu ortam en az ${minLength} istiyor (access_runtime_get → revealReasonMinLength). Platform bunu 400 RevealReasonTooShort ile reddeder, hız sınırını tüketir ve denetim defterine REVEAL-DENIED yazar — istek gönderilmedi. Kasıtlı olumsuz ölçüm yapıyorsanız expectFailure: true verin.`,
-                        guide: 'ngapps://guides/access'
-                    }]), false);
-            }
-        }
-        const response = await platform.tenantRaw('POST', project, `/runtime/${encodeURIComponent(application)}/reveal`, {
-            environment,
-            body: { entityId, rowId, fieldSlug, reason },
-            headers: identityHeaders(asUser, undefined, undefined)
-        });
-        const body = asRecord(response.body);
-        const code = typeof body.code === 'string' ? body.code : undefined;
-        return attachFindings({
-            httpStatus: response.httpStatus,
-            body: response.body,
-            note: response.httpStatus < 400
-                ? 'Değer açıldı ve çağrı denetim izine gerekçesiyle yazıldı.'
-                : code === 'AccessRevealDeniedException'
-                    ? "Kullanıcının bu alanda 'field.reveal' izni yok: grant'i access_matrix_get ile kontrol edin, kararı access_preview açıklar."
-                    : typeof body.message === 'string' && body.message.includes('RevealReasonTooShort')
-                        ? 'Gerekçe projenin asgari uzunluğunun altında (project_get → revealReasonMinLength); deneme REVEAL-DENIED olarak kaydedildi ve hız sınırını tüketti.'
-                        : response.httpStatus === 429
-                            ? 'Açma hız sınırına takıldı; beklemeden tekrar denemeyin.'
-                            : 'Açma reddedildi; gövdedeki code/message nedeni söyler.'
-        }, findings);
-    }));
-}