@appaflytech/zeyrek-ai-mcp 0.0.31 → 0.0.32

package/dist/knowledge/rules.js

@@ -4,9 +4,7 @@ import { reservedTenantTables } from './reservedTables.js';
 import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
-import { accessPolicyRules } from './access.js';
 import { themePolicyRules } from './themeRules.js';
-import { processPolicyRules } from './process.js';
 const terminalStepTypes = new Set(['response', 'convert', 'revert']);
 const DESCRIPTION_EXEMPT_STEPS = new Set(['start']);
 const stepKindMatrix = {
@@ -21,7 +19,6 @@ const stepKindMatrix = {
     email: ['workflow', 'automation', 'middleware'],
     'file-upload': ['workflow', 'automation', 'middleware'],
     microfunction: ['workflow', 'automation', 'middleware'],
-    process: ['workflow', 'automation'],
     variable: ['middleware'],
     'set-user': ['middleware'],
     setcookie: ['middleware'],
@@ -149,22 +146,13 @@ export function readsBeforeGuard(source, root) {
  * code.ts:49). Eşleşme yoksa flow-engine.ts:79 sessizce durur. Studio tarafında da zincir
  * `sourceBranch === 'always'` ile çizilir (EventActionsStart.svelte:47, EventActionsItem.svelte:298).
  * condition dalları rule id'sidir (serbest), microservice'te 'success' yalnız eski şema için
- * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
- * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
- * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
- * geriye dönük zararsızdır.
+ * yaşatılır (microservice.ts:144).
  */
 const flowBranchNames = {
     start: ['always'],
-    microservice: ['always', 'success', 'error'],
+    microservice: ['always', 'success'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
-    haptic: ['always'],
-    location: ['always', 'error'],
-    'notification-permission': ['always'],
-    'notification-schedule': ['always', 'error'],
-    'notification-cancel': ['always'],
-    bpm: ['always', 'success', 'fail'],
     end: []
 };
 /**
@@ -175,16 +163,8 @@ const flowBranchNames = {
  */
 export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
-    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
-    'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm'
+    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function'
 ]);
-/**
- * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
- * `HAPTIC_STYLES`/`LOCATION_ACCURACIES`'in aynası (`test/flow-step-parity.test.ts` bağlar); backend
- * `FlowDtoValidator` aynı kümeyle 400 döner. Kök `docs/adr/0003-cihaz-yetenegi-adimlari.md`.
- */
-export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
-export const locationAccuracies = new Set(['low', 'balanced', 'high']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -196,17 +176,16 @@ const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}
 // Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
 const flowLiteralTextFields = new Map([
     ['alert', ['message', 'description']],
-    ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
-    ['share', ['title']],
-    ['notification-schedule', ['name', 'title', 'path']],
-    ['notification-cancel', ['name']]
+    ['confirm', ['message', 'title', 'confirmText', 'cancelText']]
 ]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
-// Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
-// `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
-// koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
-// ve barındırıcı sözlüğü `platform/*.ts`'tedir (`profile.steps`); mobil farkları orada `MOB-005`
-// olarak konuşulur (`platform/lint.ts`). Yeni mobil runtime `confirm`/`download`'ı kaydeder.
+// Barındırıcıya özel tipler (`navigate` web'de, `confirm`/`download` mobilde register edilmez)
+// BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten `redirect`e çeviriyor
+// (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da koşar, yani vaka
+// uyarılmaz, ORTADAN KALKAR. Geriye kalan `confirm`/`download` tek başına kusur değildir: sayfa
+// tek bir uygulamaya aittir (`Page.ApplicationId`), uygulamanın tipi web ya da mobile'dır
+// (`ApplicationType.cs`) ve gateway hangisi olduğunu bilmez. Mobil ayağı uygulama tarafında
+// kapanır (`ScreenRuntime.tsx`), lint'te değil.
 const flowUnregisteredStepTypes = new Set(['end', 'query']);
 const flowSetterIterateeTypes = new Set(['change', 'fill']);
 function flowStepList(value) {
@@ -326,71 +305,25 @@ function writesRolesWithoutSlug(entityId, parameters) {
 }
 const rolesSlugMessage = "Built-in 'roles' entity'sine slug YAZMADAN rol satırı ÜRETİLİYOR (operation create/upsert). Insert 200 döner, satır role_list'te görünür ve page.roleIds ile bağlanır — ama yetkilendirme SLUG karşılaştırır: platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir ve Authorized(user.roles) o rol için hiçbir zaman tutmaz. fields'a slug'ı ekleyin ('super-admin' slug'ını vermeyin — platform süper yöneticiyi o slug ile arar). Upsert'te slug'ı İFADEYLE üretmeyin: UPDATE yolunda ifade yeniden değerlendirilir ve var olan rolün slug'ı sessizce değişir (MS-016) — üretilen slug'ı yalnız create ucunda yazın. Rolü kullanıcıya bağlamak ayrı bir user_roles satırıdır.";
 const contractKeys = ['returnDtoId', 'parameterDtoId', 'returnBehavior', 'parameterBehavior'];
-/**
- * Filtre işleci sözlüğü — backend `OperatorType` enum'u (paketlenmiş `Filter` şeması; eşitliği
- * `test/filter-operators.test.ts` kilitler). Studio filtre ARAYÜZÜNÜN sözlüğü (`notContains`, `between`…,
- * `componentCatalog.ts`) ayrı bir kavramdır: arayüz onları bu işleçlere çevirir.
- */
-export const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
-/** Ajanların sık yazdığı yanlış adlar → doğru işleç. Yalnız ÖNERİLİR, sessizce çevrilmez. */
-const filterOperatorSuggestions = {
-    ne: 'neq', '!=': 'neq', '<>': 'neq', noteq: 'neq', notequal: 'neq', notequals: 'neq', not_eq: 'neq',
-    '=': 'eq', '==': 'eq', equal: 'eq', equals: 'eq',
-    '<': 'lt', '<=': 'lte', '>': 'gt', '>=': 'gte',
-    like: 'contains', ilike: 'icontains', nin: 'notin', 'not in': 'notin', not_in: 'notin'
-};
+const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
 function flattenFilterTree(filters) {
     return filters
         .filter((filter) => Boolean(filter) && typeof filter === 'object')
         .flatMap(filter => [filter, ...flattenFilterTree(asArray(filter.children))]);
 }
-/**
- * Bilinmeyen işleçler, öneriyle: `status: 'ne' (neq mı demek istedin?)`. Grup çocukları da okunur. Ad
- * büyük/küçük harfe DUYARLI eşlenir — backend de öyle eşler (`GetValueFromDescription` `==`); `NEQ`
- * bilinmeyendir ve küçük harfli adı önerilir.
- */
-function unknownFilterOperators(filters) {
-    return flattenFilterTree(filters)
-        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator)))
-        .map(filter => {
-        const operator = String(filter.operator);
-        const lower = operator.toLowerCase();
-        const suggestion = filterOperators.has(lower) ? lower : filterOperatorSuggestions[lower];
-        return `${String(filter.field ?? filter.fieldSlug ?? filter.fieldId ?? '?')}: '${operator}'${suggestion ? ` (${suggestion} mı demek istedin?)` : ''}`;
-    });
-}
-const unknownOperatorConsequence = "Bilinmeyen işleç yola ve backend sürümüne göre ya 400 alır ya sessizce 'eq'e düşer ve sorgu yanlış sonuç döner (2026-09-27'den sonraki backend uç çağrısının `filters` parametresini 400 ile reddeder; workflow tablo adımı hâlâ sessizce 'eq' yapar); ad büyük/küçük harfe duyarlıdır — doğru işleci yazın";
 function unknownOperatorFindings(ruleId, owner, filters) {
-    const unknownOperators = unknownFilterOperators(filters);
+    const unknownOperators = flattenFilterTree(filters)
+        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator).toLowerCase()))
+        .map(filter => `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${String(filter.operator)}'`);
     return unknownOperators.length > 0
         ? [{
                 ruleId,
                 severity: 'block',
-                message: `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
+                message: `${owner}: bilinmeyen filtre operatörü — ${unknownOperators.join(', ')}. Platform bilinmeyen operatörü 400 ile REDDETMEZ, sessizce 'eq'e düşürür (EnumExtensions.GetValueFromDescription null → default) ve uç testten geçip yanlış çalışır. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
                 guide: 'ngapps://guides/microservice'
             }]
         : [];
 }
-/**
- * Çalışma anında gelen filtre (`row_list.filters`, `microservice_execute` `filters` parametresi): dizi ya
- * da JSON dizesi. Bilinmeyen işleç varsa hata METNİ döner — araç isteği göndermeden 400 verir
- * (plans/mobil-plantcare-acigi g-03). Ayrıştırılamayan değer backend'e bırakılır.
- */
-export function filterOperatorError(owner, filters) {
-    let parsed = filters;
-    if (typeof filters === 'string') {
-        try {
-            parsed = JSON.parse(filters);
-        }
-        catch {
-            return undefined;
-        }
-    }
-    const unknownOperators = Array.isArray(parsed) ? unknownFilterOperators(parsed) : [];
-    return unknownOperators.length > 0
-        ? `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. İstek GÖNDERİLMEDİ. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')}.`
-        : undefined;
-}
 function isReadOperation(parameters) {
     const operation = String(parameters?.operation ?? '').toLowerCase();
     return !writeOperations.has(operation);
@@ -500,27 +433,6 @@ const isRecord = (value) => Boolean(value) && typeof value === 'object' && !Arra
 const functionsGuide = 'ngapps://guides/functions';
 /** FN-006: bu kadar dolu satırdan uzun gövde yorumsuz kalmaz; tek satırlık `return` yorum istemez. */
 const FUNCTION_COMMENT_MIN_LINES = 5;
-/**
- * BPM-022: `process.*` sistem işlemi karşılığı olan `Page.bpm` üyeleri (backend
- * `SystemOperationConstants`, zeyrek-backend/docs/bpm/sablon-paketleri.md §Sistem işlemleri).
- * `start`, `cases`, `documents`, `analytics`, `exportLog`, `offline`, `legalHold(s)` karşılıksızdır;
- * onları kullanan akışa uyarı vermek yol gösteremeyen gürültüdür.
- */
-const PAGE_BPM_SYSTEM_MEMBERS = new Set([
-    'definitions', 'users', 'directory', 'tasks', 'task', 'instances', 'instance', 'timeline', 'signal',
-    'batch', 'batchOperation', 'delegations', 'delegate', 'delegation', 'handover', 'notifications',
-    'notification', 'preferences', 'override', 'report'
-]);
-/**
- * BPM-022: karşılığı olan üyenin sistem işlemi OLMAYAN alt çağrıları (bpm.runtime.ts). Bunlar ve
- * `batch('start', …)` eski yolda kalır; taze bağlam incelemesi (2026-09-23) üye düzeyindeki bakışın
- * `instance(id).exportLedger()` gibi rehberin kendi önerdiği çağrıları uyardığını buldu.
- */
-const PAGE_BPM_UNMAPPED_CALLS = new Set([
-    'tasks.calendar', 'task.comment', 'task.workedMinutes', 'task.assistant', 'instance.exportLedger',
-    'instance.watch', 'instance.unwatch', 'instance.comments', 'handover.history', 'override.conflicts',
-    'batchOperation.get'
-]);
 export const policyRules = [
     {
         id: 'MS-001',
@@ -800,7 +712,7 @@ export const policyRules = [
                 return [{
                         ruleId: 'WF-005',
                         severity: 'block',
-                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware; process workflow+automation.`,
+                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware.`,
                         guide: 'ngapps://guides/workflow'
                     }];
             });
@@ -2339,48 +2251,6 @@ export const policyRules = [
                 }];
         })
     },
-    {
-        id: 'FLOW-028',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Yetki şablonu (access.json 1.7.0) 33 kod adımında platformun oturum uçlarına ham fetch atıyordu ('/api/' + project + '/runtime/' + application + '/auth/me' ve '/auth/sign-in'). Ham istek ng-apps-flow/src/api/instance.ts'in yaptıklarını atlar: X-Environment çözümü (resolveRuntimeEnvironment; elle ayrıştırma /preview şeridinde index -1 verir), CSRF başlığı (çerezli POST 403 CsrfTokenMismatchException — S2-37 · S3-7), 401'de tek refresh + yeniden deneme, ve ExecuteMicroserviceBehavior'ın microservice.execute kararı ile gölge günlüğü. Düzeltme 2026-09-22: giriş ve oturum bilgisi access.session.create / access.session.get system operation'larına taşındı (backend ADR 0004); çıkış 2026-10-01'de access.session.delete ile eklendi. Dış API'ye fetch meşrudur; kural yalnız göreli platform yollarını (/api/, /m/, /runtime/) görür",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'code')
-            .flatMap((step) => {
-            const body = String((step.args ?? {}).value ?? '');
-            if (!/\bfetch\s*\(|XMLHttpRequest/.test(body) || !/['"`]\/(api|m|runtime)\/|\/runtime\//.test(body))
-                return [];
-            return [{
-                    ruleId: 'FLOW-028',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' code adımı platformun kendi ucuna ham istek atıyor. Bu yol runtime'ın istek katmanını atlar: X-Environment elle kurulur, CSRF başlığı yoktur (çerezli POST 403 CsrfTokenMismatchException), 401'de oturum yenilenmez ve istek microservice.execute kararını ve gölge günlüğünü hiç görmez. Platform davranışını çağırmanın yolu microservice adımıdır: karşılığı olan bir system operation varsa (microservice_system_operation_list — giriş için access.session.create, oturumdaki kullanıcı için access.session.get, çıkış için access.session.delete) source:'system' bir uç açın ve akışa type:'microservice' adımı koyun; sonuç Steps.<adım>.data'dadır, kod adımı yalnız onu biçimler.`,
-                    guide: 'ngapps://guides/page'
-                }];
-        })
-    },
-    {
-        id: 'FLOW-037',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "mobile-qm koşusu 2026-10-01: çıkış akışı oturumu storage adımları (ZY_App_qm/ZY_AppRefresh_qm/ZY_Csrf_qm = '') ve kod adımında cookie.remove ile kapatmaya çalıştı. Platformun oturum çerezleri (AppSessionConstants: ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) sunucunun HttpOnly Set-Cookie'sidir: web'de document.cookie onları göremez, mobilde akışın cookie/storage deposu Keychain/kv-store'dur ve iOS NSHTTPCookieStorage'a ulaşmaz. Refresh ailesi sunucuda iptal edilmediği için kapat-aç sonrası auth/refresh oturumu yeniden yazdı (kullanıcı girişli açıldı). Çıkış access.session.delete system operation'ıdır (guard 2026-10-01'den beri session: süresi dolmuş jetonda 401, runtime yenileyip tekrarlar; uç isAnonymous:true kalır): aileyi iptal eder, üç çerezi yanıtla siler",
-        check: definition => flowAllSteps(definition)
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const name = String(args.name ?? '');
-            const body = String(args.value ?? '');
-            const touchesSessionCookie = (step.type === 'storage' || step.type === 'setcookie')
-                ? /^ZY_(App|AppRefresh|Csrf)_/.test(name)
-                : step.type === 'code' && /\bcookie\s*\.\s*(remove|set)\s*\(/.test(body) && /['"`]ZY_(App|AppRefresh|Csrf)_/.test(body);
-            if (!touchesSessionCookie)
-                return [];
-            return [{
-                    ruleId: 'FLOW-037',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' adımı platformun oturum çerezine (ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) akıştan dokunuyor. Bu çerezler sunucunun HttpOnly çerezleridir: akışın cookie/storage deposu onlara ulaşmaz (mobilde Keychain/kv-store, web'de document.cookie) ve refresh ailesi sunucuda açık kaldığı için kullanıcı kapat-aç sonrası yeniden girişli olur. Çıkış için source:'system', systemOperation:'access.session.delete', isAnonymous:true bir uç açın ve akışa type:'microservice' adımı koyun, ardından redirect ile giriş sayfasına gidin — uç refresh ailesini iptal eder ve üç çerezi yanıtla siler. Uygulamanın kendi değerleri (ör. 'beni hatırla' bayrağı) storage'da kalabilir.`,
-                    guide: 'ngapps://guides/access'
-                }];
-        })
-    },
     {
         id: 'FLOW-020',
         module: 'flow',
@@ -2504,7 +2374,7 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
+        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu)",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
@@ -2517,164 +2387,16 @@ export const policyRules = [
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: type.startsWith('notification-')
-                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
-                    : type === 'share'
-                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
-                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
                 guide: 'ngapps://guides/page'
             }));
         })
     },
-    {
-        id: 'FLOW-035',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "share adımının argümanı StepManagementArgument'ın Title/Message/Path alanlarında saklanır (StepType.cs `share`, kök docs/adr/0001-share-akis-adimi.md); url/link/text gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım hiçbir şey paylaşmadan akış sürer. `message` ve `path` İFADEDİR (@ng-apps/flow resolveShareContent → runCode): tırnaksız 'https://…' JS'te etiket + yorumdur, undefined döner",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'share')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const filled = (key) => typeof args[key] === 'string' && String(args[key]).trim().length > 0;
-            const findings = [];
-            const strayLinks = ['url', 'link', 'href'].filter(filled);
-            const strayTexts = ['text', 'body', 'content'].filter(filled);
-            if (strayLinks.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-035',
-                    severity: filled('path') ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' share adımının bağlantısı args.${strayLinks.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım bağlantısız kalır. Bağlantıyı args.path'e ifade olarak yazın — ör. "'https://ornek.app/urun/' + Page.queryParams.id".`,
-                    guide: 'ngapps://guides/page'
-                });
-            }
-            if (strayTexts.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-035',
-                    severity: filled('message') ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' share adımının metni args.${strayTexts.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu sessizce düşürür. Metni args.message'a ifade olarak yazın — ör. "'Şuna bak: ' + Page.properties.name".`,
-                    guide: 'ngapps://guides/page'
-                });
-            }
-            for (const key of ['message', 'path']) {
-                const value = typeof args[key] === 'string' ? String(args[key]).trim() : '';
-                if (/^[a-z][a-z\d+\-.]*:\/\//i.test(value)) {
-                    findings.push({
-                        ruleId: 'FLOW-035',
-                        severity: 'block',
-                        message: `'${flowStepLabel(step)}' share adımının '${key}' alanı tırnaksız bir adres: '${value}'. Bu alan İFADEDİR — tırnaksız adres JS'te etiket + yorumdur, undefined döner ve hiçbir şey paylaşılmaz. Dize olarak yazın: "'${value}'".`,
-                        guide: 'ngapps://guides/page'
-                    });
-                }
-            }
-            return findings;
-        })
-    },
-    {
-        id: 'FLOW-029',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Cihaz yeteneği adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): haptic.value = stil, location.value = doğruluk, location.isRaw = adres çözülmesin. İkisi de DÜZ METİNDİR (@ng-apps/flow hapticStyle/locationAccuracy), kümede olmayan değer backend FlowDtoValidator'da 400 alır; style/accuracy/reverseGeocode gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım varsayılanla (medium / balanced / adresli) koşar",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'haptic' || step.type === 'location')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            // Backend (FlowDtoValidator) yalnız tamamen boşluk olanı boş sayar; kümeyle karşılaştırmayı kırpmadan yapar.
-            const raw = typeof args.value === 'string' ? args.value : '';
-            const value = raw.trim() ? raw : '';
-            const haptic = step.type === 'haptic';
-            const allowed = haptic ? hapticStyles : locationAccuracies;
-            const field = haptic ? 'stil' : 'doğruluk';
-            const findings = [];
-            const stray = (haptic ? ['style', 'type', 'feedback'] : ['accuracy', 'precision'])
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
-            if (value && !allowed.has(value)) {
-                const unquoted = value.replace(/^['"`](.*)['"`]$/, '$1');
-                const trimmed = value.trim();
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: 'block',
-                    message: allowed.has(unquoted)
-                        ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri tırnaklı yazılmış: ${value}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`
-                        : allowed.has(trimmed)
-                            ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değerinin çevresinde boşluk var: '${value}'. Platform kırpmadan karşılaştırır ve 400 döner — args.value: '${trimmed}' yazın.`
-                            : `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri '${value}' tanınmıyor; platform 400 döner. Kullanılabilir: ${[...allowed].join(', ')} (boş → ${haptic ? 'medium' : 'balanced'}).`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (stray.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: value ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri args.${stray.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım varsayılanla (${haptic ? 'medium' : 'balanced'}) koşar. Değeri args.value'ya düz metin olarak yazın — ör. args.value: '${haptic ? 'success' : 'high'}'.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (!haptic && ['reverseGeocode', 'address', 'geocode'].some(key => args[key] !== undefined)) {
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' location adımında adres anahtarı sözleşmede YOK ve sessizce düşer. Adres varsayılan olarak çözülür (cihazda; web'de hep null); kapatmak için args.isRaw: true yazın.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            return findings;
-        })
-    },
-    {
-        id: 'FLOW-030',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
-            const findings = [];
-            const schedule = step.type === 'notification-schedule';
-            const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
-            if (!text('name')) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (schedule && !text('value')) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı yok: args.value bir İFADEDİR ve sonucu 'HH:mm' (her gün), { weekday: 1-7, time: 'HH:mm' } (her hafta, 1 = Pazartesi) ya da ISO tarih-saattir (bir kez) — ör. "tp_saat.value" ya da "'08:30'".`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            const literal = /^'([^']*)'$/.exec(text('value'))?.[1];
-            if (schedule && literal !== undefined && !/^([01]?\d|2[0-3]):[0-5]\d$/.test(literal) && Number.isNaN(Date.parse(literal))) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı '${literal}' okunamaz: 'HH:mm' (00:00–23:59), ISO tarih-saat ya da { weekday, time } nesnesi yazın. Çalışmada adım error dalına düşer (status: 'invalid').`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (stray.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımında args.${stray.join('/args.')} sözleşmede YOK ve platform onu sessizce düşürür. Kimlik args.name, zaman args.value (ifade), metin args.message (ifade), başlık args.title.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            return findings;
-        })
-    },
     {
         id: 'FLOW-023',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil @ng-apps/ui-native runtime-tasks.ts alert·confirm·redirect·navigate·storage·setcookie·download ekler. navigate web'de YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
+        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil ScreenRuntime.tsx alert·redirect·navigate·storage·setcookie ekler. navigate web'de, confirm/download mobilde YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', confirm/download 'web'; End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
         check: definition => {
             const steps = flowAllSteps(definition);
             // Studio her akış tuvaline dekoratif bir End düğümü koyar ve onu sildirmez; zararlı olan
@@ -3000,29 +2722,6 @@ export const policyRules = [
             return findings;
         })
     },
-    {
-        id: 'BPM-022',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "bpm-management 1.1.0 sayfaları süreç çalışma zamanına yalnız source: system mikroservislerle gider (plans/bpm-sistem-mikroservis D-1 a, ADR-0004); Page.bpm aynı uçlara mikroservissiz gider, rehberi okuyan ajanlar yine de yazdı (plans/bpm/demo koşuları)",
-        check: definition => flowAllSteps(definition).flatMap((step) => {
-            const calls = [...new Set(flowExpressionSites(step)
-                    .flatMap(site => [...site.expression.matchAll(/\bPage\s*\.\s*bpm\b(?:\s*\.\s*([A-Za-z_$][\w$]*))?(\s*\((?:[^()]|\([^()]*\))*\))?(?:\s*\.\s*([A-Za-z_$][\w$]*))?/g)])
-                    .filter(([, member = '', callArguments = '', subCall]) => member === ''
-                    || (PAGE_BPM_SYSTEM_MEMBERS.has(member)
-                        && !(subCall && PAGE_BPM_UNMAPPED_CALLS.has(`${member}.${subCall}`))
-                        && !(member === 'batch' && /^\s*\(\s*['"]start['"]/.test(callArguments))))
-                    .map(([, member, , subCall]) => (member ? `Page.bpm.${member}${subCall ? `(…).${subCall}` : ''}` : 'Page.bpm')))];
-            return calls.length === 0
-                ? []
-                : [{
-                        ruleId: 'BPM-022',
-                        severity: 'warn',
-                        message: `'${flowStepLabel(step)}' adımı Page.bpm çağırıyor (${calls.join(', ')}). Sayfa akışı süreç çalışma zamanıyla source: system mikroservis üzerinden konuşur: microservice_system_operation_list ile process.* işlemini seçin, microservice_create { source: 'system', systemOperation } ile ucu kurun ve çağrıyı bir microservice adımına taşıyın; sonucu okuyan code adımı Steps.<adım>.data / .error'dan okur. Page.bpm eski yoldur — izin ve görünürlük kararı sistem işleminde aynı servisten gelir, uç Studio'da ve microservice_execute ile görünür.`,
-                        guide: 'ngapps://guides/bpm'
-                    }];
-        })
-    },
     {
         id: 'MS-013',
         module: 'microservice',
@@ -3264,54 +2963,10 @@ export const policyRules = [
                     }];
         }
     },
-    {
-        id: 'MW-006',
-        module: 'workflow',
-        appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "Kimlik devri değeri triggerSource'ta DEĞİL context'te durur: WorkflowContext.SetTriggerSource triggerSource'a { type, id, name, slug, roles, pathAndQuery }, context'e { type, name, roles, path, impersonatedUserId, language } yazar (WorkflowContext.cs:216-235). triggerSource.impersonatedUserId her zaman undefined okunur ve önizleme hep jeton yoluna düşer (ZM-22, koşu 37)",
-        check: (definition) => {
-            const readers = workflowSteps(definition).filter(step => /\btriggerSource\s*\.\s*impersonatedUserId\b/.test(JSON.stringify(step.rule ?? {})));
-            return readers.length === 0
-                ? []
-                : [{
-                        ruleId: 'MW-006',
-                        severity: 'warn',
-                        message: `'${readers.map(stepLabel).join(', ')}' kimlik devrini triggerSource.impersonatedUserId'den okuyor; bu alan yok, değer hep undefined gelir. Doğrusu context.impersonatedUserId — ve yalnız start adımının impersonation dalında: değer yalnız doğrulanmış Studio önizlemesinde dolar, başka yerde yetki kararı için kullanılmaz (platform_guide('middleware') Tarif 1c).`,
-                        guide: 'ngapps://guides/middleware'
-                    }];
-        }
-    },
-    {
-        id: 'MW-007',
-        module: 'workflow',
-        appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "Sayfa middleware'inin variable adımı WorkflowContext değişkenine yazar ve sayfa yanıtı bu değişkenleri Page.variables olarak istemciye taşır (GetPageBySlugQuery → PageAppDto.Map(workflowContext.ClientVariables), önbellek isabetinde ExecutePageBehavior). rule.isPrivate işaretli değişken sunucuda kalır (WorkflowContext.AddPrivateVariable). qm '[SY] Settings Setter' { ...settings.data } ile sso_client_secret'ı istemciye verdi (2026-10-02)",
-        check: (definition, context) => {
-            if (context.workflowKind !== 'middleware')
-                return [];
-            const exposing = workflowSteps(definition).filter(step => {
-                if (step.type !== 'variable' || step.rule?.isPrivate === true)
-                    return false;
-                const expression = String(step.rule?.expression ?? '');
-                return /\.\.\.\s*[A-Za-z_$]/.test(expression) || /secret|password|passwd|api_?key|private_?key/i.test(expression);
-            });
-            return exposing.length === 0
-                ? []
-                : [{
-                        ruleId: 'MW-007',
-                        severity: 'warn',
-                        message: `'${exposing.map(stepLabel).join(', ')}' değişkeni bütün bir kaydı yayıyor ya da gizli değer adı taşıyor. Bu middleware bir SAYFAYA bağlanırsa değişken Page.variables ile istemciye gider (tarayıcıda/cihazda okunur). Gizli değer taşıyan değişkene rule.isPrivate: true verin — aynı istekteki sonraki middleware'ler okumaya devam eder, istemciye gitmez (sayfanın akışları istemcide koşar ve Page.variables'ı okur: işaretli değişken orada undefined'dır); istemcinin gerçekten ihtiyaç duyduğu alanları ayrı bir değişkende izin listesiyle kurun: '({ app_name: settings.data.app_name })' (platform_guide('middleware') Tarif 2). Yalnız microservice uçlarına bağlı middleware'de değişken istemciye dönmez.`,
-                        guide: 'ngapps://guides/middleware'
-                    }];
-        }
-    },
     // Backend doğrulayıcılarının aynası (ENT-015…018, MS-017, WF-026, QRY/VIEW/DTO/ROW/DS/PRJ/TR/FLD/FILE/EXT):
     // tek liste `backendConstraints.ts`'te durur, buradan yalnız politika motoruna katılır.
     ...themePolicyRules,
-    ...backendPolicyRules(),
-    // Organizasyon şeması, erişim politikası ve alan koruması (ORG/ACC/PROT) — `access.ts`.
-    ...accessPolicyRules(),
-    ...processPolicyRules()
+    ...backendPolicyRules()
 ];
 /**
  * WF-MF-001'in ikinci yarısı. Bir adımın koşup koşmayacağı yalnız GÖVDEDEN anlaşılamaz: karar

package/dist/knowledge/schemaGuard.js

@@ -49,13 +49,6 @@ function referenceName(node) {
         return referenceName(allOf[0]);
     return undefined;
 }
-/**
- * `System.Text.Json.Nodes.JsonNode` gibi serbest JSON değerlerinin üretilen şeması katıdır
- * (`options/parent/root`); içine inilirse meşru anahtarlar "platform yok sayıyor" diye raporlanır.
- */
-function isFreeFormJson(node) {
-    return /(^|.)Json(Node|Object|Array|Value|Element)$/.test(referenceName(node) ?? '');
-}
 function resolve(document, node) {
     if (!node || typeof node !== 'object')
         return undefined;
@@ -83,8 +76,6 @@ function walk(document, schema, value, path, into) {
     if (!schema || !value || typeof value !== 'object')
         return;
     if (Array.isArray(value)) {
-        if (isFreeFormJson(schema.items))
-            return;
         const items = resolve(document, schema.items);
         value.forEach((entry, index) => walk(document, items, entry, `${path}[${index}]`, into));
         return;
@@ -104,8 +95,6 @@ function walk(document, schema, value, path, into) {
                 into.push(child);
             continue;
         }
-        if (isFreeFormJson(properties[key]))
-            continue;
         walk(document, resolve(document, properties[key]), entry, child, into);
     }
 }