@appaflytech/zeyrek-ai-mcp 0.0.31 → 0.0.33

package/dist/resources/guides/component.md

@@ -28,9 +28,7 @@ component_get   → tek tipin TAM sözleşmesi, üç katman birleşik:
 - **`isHidden`** her komponenti gizler; setter ile yazmak katalogda listelenmeyen tiplerde de
   çalışır. Gizli komponent `mount` olayını görünür olana dek TETİKLEMEZ.
 - **`mount`** olayını komponentin kendisi değil ortak katman yayar: komponent ilk kez
-  görünür olduğunda bir kez. Sayfa açılış akışı `page_container.mount`'a DEĞİL, sayfanın kendi
-  `mount` olayına bağlanır (`page_update { events }`, `platform_guide('page')` Kural 1d-2) —
-  `page_container` Studio'nun Layers ağacında görünmez.
+  görünür olduğunda bir kez. Sayfa açılış akışı `page_container.mount`'a bağlanır.
 - **`name` = `elementId`** kuralı: runtime her komponent için `const <name> = Components[...]`
   üretir; bozuk ad sayfadaki BÜTÜN ifadeleri öldürür (`platform_guide('page')` Kural 1c-2).
 - **Boyut:** `blocks[].size` katalogdaki `maxSize`'ı aşamaz; yükseklikte
@@ -81,51 +79,6 @@ Doğrulama mesajını çeviriye bağlamak ayrı bir sözleşmedir (`t:` öneki,
   İstisna: `html` komponentinin
   aksiyonları kendi `flow` prop'uyla bağlanır (`platform_guide('html')`).
 
-## Korumalı değer ve arayüz yetkisi (kompleks proje)
-
-Kompleks projede ortamın zorlama modu `enforce` iken runtime iki şey taşır; ikisi de **yalnız
-arayüzdür**, yetkiyi backend her istekte yeniden denetler.
-
-- **Satır metası.** Table-source uçtan dönen satırda korumalı alan varsa
-  `__protected: { <alanSlug>: 'masked' | 'plain' }` bulunur; `hidden` alan satırda hiç yoktur.
-  `table` · `datatable` · `detailview` · `text` (`record` + `recordField` ile) `masked` alanı
-  kilitli maske olarak çizer; "Göster" → gerekçe → değer 30 sn görünür, sonra yeniden maskelenir.
-  "Göster" yalnız erişim özeti yüklüyken çıkar: `off`'ta (basit proje hep `off`) hiç çıkmaz —
-  backend her reveal'i reddeder; `shadow`'da çıkar — backend reveal'i yine denetler, yetkisiz
-  kullanıcı ret mesajını görür; `enforce`'ta yalnız entity'nin `actions`'ında `reveal` varsa.
-  Değeri boş maskeli hücrede "Göster" çıkmaz. Tasarımcı kanvasında (**View as user**) düğme seçilen
-  kullanıcıya sunulacağı yerde etkisiz çizilir (kullanıcı seçili değilken tasarımcının
-  `project.data.reveal` izni karar verir); gerçek açma önizlemededir.
-  Açılan değer prop'a, akışa, olaya yazılmaz. Entity `revealEntity` prop'undan (slug ya da id) ya
-  da boşsa erişim özetinden çözülür (`component_get` → `knowledge.propNotes.revealEntity`).
-- **Maske forma bağlanmaz.** Güncelleme formunda korumalı alanın `textinput`'u her zamanki gibi
-  `value` ile kaydın alanına bağlanır, yanına `isMasked` eklenir:
-  `{{ Steps.<adım>.data.__protected?.tckn === 'masked' }}`. `isMasked` açıkken bağlı değer maske
-  metni sayılır ve gösterilmez: alan boş başlar, "Değiştirmek için yeni değer girin" yer tutucusunu
-  gösterir, mount sonrası düğüm değerini `null`'a çeker ve `required`'a takılmaz. Kullanıcı yazınca
-  sıradan girdidir; değer girdinin yazmadığı bir değere dönerse (forma başka satır seçildi, akış
-  alanı sıfırladı) yeni kaydın maskesi yine gizlenir ve temizlenir.
-- **Izgarada kör üzerine yazma (ADR 0007).** Bağlı `datatable`'da `capability.canWrite` politikadan gelir;
-  maskeli okumak yazmayı kapatmaz. Maskeli hücre düzenlemeye **boş** açılır, yazılan değer gider, boş bırakılan
-  maske gitmez; hücre seçimine girmez, toplu düzenleme maskeli kolonu sunmaz. Korumalı alanı güncellemek için
-  form kurmak zorunlu değildir. Eski değeri görerek düzeltmek gerekiyorsa önce "Göster" (30 sn, editöre ön
-  doldurulmaz). Bağlı olmayan tabloda ve `table` bileşeninde maskeli hücre düzenlenmez.
-- **Boş değerin gönderilmemesi isteğin kuruluşuna bağlıdır.** Microservice çağrısının parametre
-  bağı boş (`null`/`''`) değeri gövdeye koymaz → saklı değer korunur. Gövdeyi akış kodunda ya da
-  setter göreviyle elle kuruyorsan (`{ tckn: TextInput1.value }`) `null` gider: `canWrite` yoksa
-  403 `AccessFieldWriteDeniedException`, varsa saklı değer **silinir**. Boş maskeli alanı böyle bir
-  gövdeye koyma.
-- **`Page.can(permission, resourceKey)`** her ifadede (görünürlük bağı, akış kodu) kullanılır:
-  `Page.can('reveal', 'entity:musteriler')` · `Page.can('entity.update', 'entity:<id>')` ·
-  `Page.can('view', 'page:musteri/detay')` · `Page.can('execute', 'microservice:musteri-listesi')`.
-  İzin kısa eylem adı ya da katalog slug'ıdır; anahtar `entity:<slug|id>` · `page:<slug>` ·
-  `microservice:<slug>`. `enforce` dışında (ya da özet yüklenmemişken) HER ZAMAN `true`; okunamayan
-  anahtar ya da başka kaynak tipinin izni `enforce`'ta `false`.
-- **Oturum.** `/view` runtime isteklerinde oturum çerezi gider, durum değiştiren isteğe `X-ZY-CSRF`
-  eklenir; oturum 401'i bir kez yenilenir (`auth/refresh`) ve istek tekrarlanır. Yenilenemezse
-  uygulamanın giriş sayfasına gidilir — sayfa yükü bugün giriş sayfasını taşımadığı için yönlendirme
-  backend bunu gönderene dek olmaz (teknik borç). Özetin listelemediği sayfa ana sayfaya döner.
-
 ## Stil
 
 Her komponentin `style` prop'u vardır ve iç parçalara iner (`textinput.style`: `&__label` ·
@@ -157,30 +110,15 @@ Widget, kendi komponent ağacını taşıyan yeniden kullanılabilir pakettir (`
    micro-op'ları `PATCH /components/{app}/{id}/schema`'ya yazar; `component_update` ise slug alan
    tam gövde PUT'tur. Widget'ın düzey olayı yoktur, `remove_event` yalnız komponent hedefler.
 
-## Satır başına çizilen çocuklar ve `item`
-
-İki komponent çocuklarını VERİ SATIRI başına çizer; çocukların kod bağlamalarında o satır `item`'dır
-(`{{ item.title }}`):
-
-| Host | Hangi çocuklar | `item` |
-|---|---|---|
-| `repeater` | Bütün çocukları, `rows`'un her satırında | Satır; `item.x = …` satıra geri YAZAR |
-| `datatable` | Yalnız `datatable-cell` çocukları: her biri `column` prop'undaki kolonun hücresine, her satırda | Satır; SALT OKUNUR |
-
-`datatable`'ın kendisi `isDroppable` DEĞİLDİR: çocuğu yalnız `datatable-cell` olabilir
-(`props.column = <columns[].name>`), asıl içerik onun içine konur. Şablonu olan kolonda kolonun
-`type`/format ayarı çizilmez; sıralama, filtre ve dışa aktarma ham değerle çalışır. Hangi türün host
-olduğu tek kayıttadır: `zeyrek-frontend/packages/ng-apps-ui/src/shared/render/row-scope.ts`.
-
 ## `states` ve `appearance` sözlükleri
 
 Her şema düğümünde iki sözlük vardır; ikisi de ortak render katmanında çözülür:
 
 | `states` | Anlamı |
 |---|---|
-| `isDroppable` | İçine komponent alır (container/form/repeater true). **Değer kataloğun kararıdır** (`component_list` `droppable` sütunu): Studio kanvası bırakma hedefini bu alandan çözer, bu yüzden gateway yazdığı düğümlerde alanı katalogdan doldurur ve `gatewayNormalized` ile bildirir (PAGE-040). `false` yazılmış bir kabın içine kanvasta bırakma yapılamaz — bilerek kapatmak için `resize_component`/`set_states` |
+| `isDroppable` | İçine komponent alır (container/form/repeater true). **Değer kataloğun kararıdır** (`component_list` `droppable` sütunu): Studio kanvası bırakma hedefini bu alandan çözer, bu yüzden gateway yazdığı düğümlerde alanı katalogdan doldurur ve `gatewayNormalized` ile bildirir (PAGE-036). `false` yazılmış bir kabın içine kanvasta bırakma yapılamaz — bilerek kapatmak için `resize_component`/`set_states` |
 | `isScrollable` | İçeriği kendi alanında kaydırır (sabit yükseklikte `overflow-y: auto`) |
-| `isWrapper` | Sayfanın/layout'un/widget'ın ANA kabı — salt düzen elemanı: `height:100%` + **`min-height:80vh`**, kap başlığı ÇİZİLMEZ. **Yalnız sayfa boyu kaplaması gereken tek kap için kullan:** iç içe kutuya verirsen 720px'lik pencerede o kutu 36px içerikle bile 576px çizilir (ölçüldü, `platform_guide('page')` Kural 1f). Çerçeve/başlık gizlemek için wrapper kullanma: çerçevesiz kutu `box`'tır; `container`'da çerçeve `surfaceStyle`'ın dört `border*` yönüne `'none'` yazılarak kapatılır (`platform_guide('page')` §Kap seçimi). Kurulmuş bir düğümün bayrağını `resize_component` micro-op'unun `states` alanı değiştirir — düğümü yeniden kurmak gerekmez |
+| `isWrapper` | Sayfanın/layout'un/widget'ın ANA kabı — salt düzen elemanı: `height:100%` + **`min-height:80vh`**, kap başlığı ÇİZİLMEZ. **Yalnız sayfa boyu kaplaması gereken tek kap için kullan:** iç içe kutuya verirsen 720px'lik pencerede o kutu 36px içerikle bile 576px çizilir (ölçüldü, `platform_guide('page')` Kural 1f). Çerçeve/başlık gizlemek için wrapper değil `style` (`border:'none'`) kullan. Kurulmuş bir düğümün bayrağını `resize_component` micro-op'unun `states` alanı değiştirir — düğümü yeniden kurmak gerekmez |
 | `isSticky` | Kaydırmada yerinde kalır (header/sidebar; z-index'i otomatik) |
 | `isFloating` | Düğümü akıştan çıkarıp yüzdürür (katman davranışı; nadir) |
 | `isQuickStack` | Studio'nun Quick Stack iskelet hücresi işareti — editörde kesikli çerçeve çizer, **runtime'da hiçbir etkisi yoktur**. MCP'den iskelet kurarken yazmak serbesttir ama gerekmez |
@@ -202,7 +140,7 @@ Her şema düğümünde iki sözlük vardır; ikisi de ortak render katmanında
 | `widthString` / `heightString` | CSS uzunluğu | Sabit ölçü; **yalnız ilgili `*Type: 'fixed'` iken okunur** (aksi PAGE-017 uyarısı). Kabul: çıplak sayı (px sayılır) · `px % vw vh vmin vmax rem em ch` birimli değer · `calc(...)`. Negatif/`pt`/`fr`/`auto` GEÇMEZ — platform kaydeder ama panel ve runtime sessizce düşürür (PAGE-018). Eski `widthPx` alanı 2026-09-01'de kaldırıldı |
 | `marginType` / `marginValue` | `normal` · `none` · `custom` + px | Dış boşluk: **yazılmazsa `normal` sayılır** = her kenara 4px (`spacing.ts` `CANVAS_NORMAL_MARGIN`); custom=`marginValue`. Bileşenleri dip dibe dizmek için `none` ŞART — `gap:'none'` olsa bile normal margin komşular arasında 8px bırakır (sıkı dizilim tarifi: `platform_guide('page')` Kural 1f-2) |
 | `paddingType` / `paddingValue` | `normal` · `none` · `custom` + px | İç boşluk: normal=10px. **Yalnız droppable kaplarda ve tipli stil modelindeki yapraklarda (box · text · container · statcard · icon · form) çizilir**; `slot`, kabuk kökleri (`layout`/`layout-shell`) ve `modal`/`drawer`/`auth-layout` hiç almaz — platform 200 döner, ekran değişmez (PAGE-029). Değerler piksel SAYISIDIR: `24`, `"24px"` değil (PAGE-030) |
-| `alignType` | `left` · `center` · `right` | İçerik hizalama (destekleyen komponentlerde). **Flex SÜTUN kabının çocuğunda düğümün kendisini hizalar**: `center`/`right` → `align-self: center`/`flex-end` (genişlik `fill` değilken; kabın `horizontalAlign`ı bütün çocuklar içindir, sağa yaslanacak tek buton böyle anlatılır). `left` bir şey ezmez; satır kabında ana eksen kabındır (2026-10-02 — öncesinde runtime okumuyor, modal gövdesindeki `alignType:'right'` buton solda kalıyordu) |
+| `alignType` | `left` · `center` · `right` | İçerik hizalama (destekleyen komponentlerde) |
 | `aspectRatio` | sayı | En-boy oranı kilidi (medya komponentleri) |
 
 `isHidden` bu sözlüklerde değil PROP'tur ve her komponentte çalışır; flow'lar `margin` /
@@ -259,23 +197,6 @@ ve `layout` grubundaki adlar giremez. **MCP tarafında karşılığı yoktur:**
 bir prop'tur, `set_prop` ile aynı şekilde yazılır. Bu bilgi yalnız "studio'da neden o
 düğmeler var" sorusuna cevaptır.
 
-## Bağlanabilir prop'lar (`connectData`)
-
-`component_get` yanıtındaki `connectData` bileşenin hangi prop'unun veri kaynağına bağlanabileceğini
-söyler; alan yoksa bileşen bağlanamaz (`connectDataNote`). Kaynak platform kataloğudur.
-
-| Alan | Anlamı |
-|---|---|
-| `primary` | Birincil bağlanabilir prop (`rows`, `options`); Studio "Veriye bağla" düğmesi bunu açar |
-| `trigger` | "Veriye bağla" düğmesinin yeri: `toolbar` (bileşen araç çubuğu) · `canvas` (kanvastaki bileşenin üstü) |
-| `props.<yol>.roles` | Rol → tür (`any` · `string` · `number` · `boolean` · `date` · `parent`); dropdown `{ label, value }`, grafik `{ category, value }` |
-| `props.<yol>.required` | Doldurulmadan bağlanamayan roller |
-| `props.<yol>.fields` | Rol → bileşenin alan ADI prop'u (grafik `category → categoryField`, kanban `title → titleField`); bağlama o prop'lara seçilen alanın slug'ını yazar. Kaydında `fields` olmayan bileşen (dropdown) satırı rol adlarıyla okur |
-| `props.<yol>.fieldsFrom` | Satırların alanlarını tanımlayan liste prop'u (`datatable.rows → columns`); rol yerine kolon listesi üretilir |
-
-Yol joker olabilir: `series[].data` kaydı `series.1.data` prop'unu kapsar. Bağlamanın kendisi, tanım
-şekli ve kurallar: `platform_guide('page')` §Kural 1c-3.
-
 ## Komponent seçimi
 
 "Hangi işe hangi komponent" tablosu ve `table` / `datatable` karşılaştırması:

package/dist/resources/guides/entity.md

@@ -15,9 +15,7 @@ uzayındadır. Çakışan slug `Migration failed … relation "X" already exists
 kaydı hiç oluşmaz**. Rezerve adlardan bilinenler: `branches`, `applications`, `caches`,
 `components`, `datasources`, `entities`, `fields`, `files`, `flows`, `folders`, `layouts`,
 `microservices`, `pages`, `permissions`, `projects`, `queries`, `queued_events`, `roles`,
-`steps`, `users`, `variables`, `views`, `workflows` — ve rol yönetim şemasının tabloları:
-`organization_units`, `organization_positions`, `user_positions`, `access_policies`, `access_grants`
-(tam liste gateway'in rezerve ad kontrolündedir). Alan adı bunlardan biriyse eş anlamlısını
+`steps`, `users`, `variables`, `views`, `workflows`. Alan adı bunlardan biriyse eş anlamlısını
 seç (ör. şube/branş için `branches` değil `specialties`).
 
 > **Ama `users`/`roles`/`files`/`folders` bir istisna:** bunlar "dolu olduğu için kaçınılacak"
@@ -26,7 +24,7 @@ seç (ör. şube/branş için `branches` değil `specialties`).
 
 ## Hazır entity'ler — kimlik tablosu ZATEN VAR
 
-Her projeye seed sırasında hazır entity'ler açılır ve **id'leri her kurulumda aynı sabitlerdir**
+Her projeye seed sırasında 9 entity açılır ve **id'leri her kurulumda aynı sabitlerdir**
 (`Defaults` sınıfı) — aramana gerek yok, doğrudan `entity_get` ile çekebilirsin:
 
 | slug | id | Ne için |
@@ -37,33 +35,12 @@ Her projeye seed sırasında hazır entity'ler açılır ve **id'leri her kurulu
 | `permissions` · `role_permissions` | `01917ede-a457-…` · `01917ede-d450-…` | yetki matrisi |
 | `files` · `folders` | `0191dbf2-39c4-…` · `0191df94-f635-…` | Drive; `FILE` alanları buraya bağlanır (`entity_list`'te GİZLİ) |
 | `audit_trails` · `audit_trail_values` | `01961f53-25c3-…` · `01961f53-3552-…` | denetim izi |
-| `organization_units` · `organization_unit_closure` | `01a0a05e-1c9a-7022-a0c7-6b8320756a4c` · `01a0a05e-1ca3-7b6a-9f1b-7f1633f7f05a` | **Organizasyon ağacı** (yalnız okunur, aşağıda): birimler — `parent_id` · `unit_type` (holding/company/branch/region/department/team/other) · `function_code` · `name` · `code` · `manager_position_id` · `origin` · `is_active` — ve ata/torun kapanışı |
-| `organization_positions` · `organization_position_closure` | `01a0a05e-1ca3-700f-95c6-18fe1e30079c` · `01a0a05e-1ca4-7b73-b90e-4aa7d8eeeeef` | birimdeki koltuklar — `unit_id` · `parent_position_id` (idari hat) · `functional_parent_position_id` (işlevsel hat) · `role_id` · `name` · `code`; kapanışta `line_type` |
-| `user_positions` | `01a0a05e-1ca4-7841-b6b3-45c5892d5501` | kullanıcı ↔ pozisyon — `user_id` · `position_id` · `is_primary` · `assignment_type` · `starts_at` · `ends_at` |
 
 **`users` gerçek bir entity'dir**, sahte bir sistem tablosu değil: `entity_get` alanlarını verir,
 `RELATION` alanı hedef alabilir, table step / microservice okur, `row_create` yazar, kendi default
 DTO'su vardır. Auth middleware tarifi zaten bunu okur — `ngapps://examples/middleware-authenticate`
 `entityId` olarak `users`'ı kullanır.
 
-### Organizasyon ağacı tabloları — okunur, genel yolla YAZILMAZ (ORG-001 · ORG-002)
-
-Beş organizasyon tablosu **her projede vardır**; basit projede boştur, kompleks projede
-(`project_create` `accessModel: 'complex'`) organizasyonun rol yönetim şemasının kopyasını taşır.
-
-- **Yazma kapalı (ORG-001, block).** `row_create` / `row_update` / `row_delete`, table kaynaklı uç
-  ve table step bu tablolara platformda `400 SystemEntityWriteNotAllowed` alır; gateway isteği hiç
-  göndermez. Ağaç organizasyon şemasından **senkronla** gelir (yönetim konsolunda yayın → abone
-  projenin her ortamı); projeye özel birim/pozisyon ve kullanıcı ataması Studio › Organizasyon
-  ekranındadır — MCP'de bu yazma yolu bilinçli olarak yoktur: projede yapı değişikliği aboneliği
-  kapatır (`receiveUpdates = false`) ve dal ortamında 409 döner.
-- **Kompleks proje yayınlı son şemayla doğar (ORG-002).** Organizasyonda yayın yoksa tablolar boş
-  kalır; önce `organization_schema_get` ile `publishedVersion`'a bak. Abonelik ve özelleştirme
-  durumu `project_get` → `organizationSchema`.
-- **Okuma serbest:** `row_list('organization_units')`, pozisyonlar için `row_list('organization_positions')`.
-  Alt ağaç sorusu (bir birimin bütün torunları) kapanış tablosundan `ancestor_id` filtresiyle
-  okunur; `depth` 0 düğümün kendisidir.
-
 ### Neden gözden kaçıyor
 
 `entity_list`'i **`applicationId` ile** çağırdığında hazır entity'ler listede **görünmez**: seed
@@ -117,12 +94,6 @@ yapıyorsan devam et).
 uygulamanın rol açması/düzenlemesi gerekiyorsa yol her domain tablosuyla aynıdır: entity + kendi
 microservice ucun + sayfa. `role_list` yalnız okur.
 
-> **Kompleks projede roller organizasyon şemasından gelir** (`roles.origin = 'organization'`;
-> `role_list` bu alanı döndürmez, `row_list('roles')` okur). Şemadan gelen rol MCP'den yazılmaz,
-> yönetim konsolunda düzenlenir; yetki `page.roleIds` ile değil erişim politikasıyla verilir.
-> Aşağıdaki reçete basit proje içindir — kompleks projede kendi rolünü açan uç yine uyarı alır
-> (ROL-002 warn), dikey çözümün açtığı rol projeye özgü kalır.
-
 `roles` entity'sinin açtığı alanlar — fiziksel tabloda ayrıca `template_*` kolonları var, hepsi
 nullable, gateway'den görünmez:
 
@@ -163,15 +134,6 @@ Rol açma reçetesi:
 `permissions` / `role_permissions` **Studio'nun yetki matrisidir**, uygulama sayfasının yetkisi
 değil; uygulama tarafında yetkiyi `page.roleIds` ve middleware ifadesi kurar.
 
-## Veri koruma — maskeli, şifreli ve türetilmiş alan
-
-TCKN, telefon gibi alanlar `fields[].protection` ile maskeli ve/veya şifreli saklanır; telefonun
-operatör kodu gibi sorgulanabilir parça `derivedFromFieldId` + `derivationRule` ile türetilmiş alan
-olur. Koruma yalnız düz metin alana konur (display, birincil anahtar, ilişki, çok dilli değil —
-PROT-003), korumalı alanda metin araması ve sıralama yoktur (PROT-001, PROT-002). Modlar, maske
-türleri, dolu kolonda geçiş ve hatalar: `platform_guide('access')` §'Alan koruması'. Satırları bir
-bileşene bağlamak (liste, dropdown, grafik) akış değil `connect_data_bind`: `platform_guide('page')` §Kural 1c-3.
-
 ## Alan tipleri (dbType + commonType İKİSİ birden verilir)
 
 | dbType (BÜYÜK HARF zorunlu) | commonType |
@@ -197,9 +159,6 @@ bileşene bağlamak (liste, dropdown, grafik) akış değil `connect_data_bind`:
   `description`'a yaz: para → `INT8` kuruş (`*_minor`), süre → `INT4` dakika, yüzde →
   `INT4` ×100, puan → `INT4` ×10.
 - `commonType`'sız `UUID`/`BOOL` "isn't a supported database type" hatasıyla reddedilir.
-- Birincil anahtar `properties.generationType` taşımak ZORUNDADIR: `properties` hiç verilmezse create
-  `Please select a valid generation type for 'id'` ile düşer (38/U-14). `0` (Always) ve `1` (ByDefault) ikisi de
-  geçerlidir — `UUID` anahtarda ikisiyle de satır id'si üretildi (ölçüldü 2026-09-21, 39/05 D-15).
 - **Katalogu okumak gerekiyorsa** (bu datasource'ta hangi `dbType` var, hangisi varsayılan, tip
   hangi seçenekleri kabul ediyor, hangi tipe dönüştürülebilir) `datasource_configuration_options`
   çağır: varsayılan yanıt ~5 KB'lık **özettir**; 816 kayıtlık collation DEĞER listesi yalnız
@@ -721,13 +680,12 @@ orada `undefined` alır.
   > `Sequence contains no **elements**` (satır yok — genelde preview rollback'i) **farklı**
   > sorunlardır; karıştırmak teşhisi saptırır.
 
-- **Audit izi ne zaman gerçekten yazılır?** Tek koşul `isAuditTrailActive: true`. Bayrak açık ve
-  `auditTrailType` boş gelirse **`simple`** yazılır (TB-101, 2026-09-20 — eskiden bayrak tek başına
-  hiçbir şey yazmıyordu, sessiz tuzaktı); okuma yolunda da tipsiz ama açık entity `simple` sayılır.
-  Üç tip, aynı satır başlığını yazar, farkları okumada: `simple` yalnız "kim oluşturdu / kim
-  güncelledi" meta'sını besler (geçmiş listesi dönmez) · `basic` geçmiş listesini döndürür, değişen
-  alanları döndürmez · `detailed` değişen alanları da yazar. Enum yalnız bu üç değeri tanır
-  (`AuditTrailType.cs`); `advanced` diye bir değer **yoktur**, gönderirsen bağlama hatası alırsın.
+- **Audit izi ne zaman gerçekten yazılır?** `CreateAuditTrailCommandHandler` şu üç durumda
+  **hiç kayıt açmaz**: `IsAuditTrailActive == false`, `AuditTrailType == null`, ya da
+  `AuditTrailType == simple`. Yani iz tutulması için `isAuditTrailActive: true` **ve**
+  `auditTrailType: "basic" | "detailed"` birlikte gerekir. Enum yalnız üç değer tanır —
+  `simple` · `basic` · `detailed` (`AuditTrailType.cs`); `advanced` diye bir değer **yoktur**,
+  gönderirsen bağlama hatası alırsın.
 - **Audit izi IP adresi tutar.** `audit_trails.IpAddress`, isteğin
   `HttpContext.Connection.RemoteIpAddress` değerinden doldurulur (`UserContext.cs`) ve satır
   olaylarıyla (`Row.Created/Updated/Deleted` → `UserIpAddress`) audit consumer'a taşınır; kullanıcı

package/dist/resources/guides/getting-started.md

@@ -5,10 +5,7 @@
 Bağımlılıklar bu sırayı zorunlu kılar; atlama:
 
 ```
-1. project_create        (ÖNCE TÜRÜ SEÇ: accessModel 'simple' | 'complex' — aşağıdaki
-                          'Basit mi kompleks mi?' tablosu; sonradan değiştirmek ayrı bir dönüşüm
-                          işidir.
-                          application zorunlu: ilk application projeyle birlikte açılır;
+1. project_create        (application zorunlu: ilk application projeyle birlikte açılır;
                           application slug'ı ORG GENELİNDE tekildir — 'web' büyük olasılıkla
                           doludur, 409'da project_list ile mevcut slug'ları tara.
                           DİL: gateway create'ten sonra projenin dillerini kurar — verirsen
@@ -71,8 +68,6 @@ Bağımlılıklar bu sırayı zorunlu kılar; atlama:
 13. application_update   (homepageId — ana sayfa sayfadan değil application'dan seçilir)
 ```
 
-Onay zinciri, görev kutusu, SLA gibi insanı bekleyen işler workflow'a sıkıştırılmaz: entity ve (gerekiyorsa) servis workflow'ları hazır olduktan sonra süreç tanımı yazılır — `platform_guide('bpm')`.
-
 ## İlk kullanıcıyı kim açar? (tavuk-yumurta kilidi)
 
 Kimlik kurulmuş yeni bir projede **giriş yapabilecek hiç kimse yoktur** ve zincir kendi kendini
@@ -124,38 +119,6 @@ Middleware bir kontrol listesi maddesi değil; **ihtiyaca** kurulur:
 `middlewareIds` ile bağlı olmalı. Bir-iki uca bağlayıp gerisini açık bırakmak, hiç kurmamaktan
 kötüdür — sistem güvenli görünür, değildir.
 
-## Basit mi kompleks mi? (proje türü)
-
-Tür `project_create` `accessModel` ile proje açılırken seçilir; varsayılan `simple`'dır.
-
-| Durum | Tür |
-|---|---|
-| Kimlik ve yetki uygulamanın kendi işi; birkaç rol yeter, satır kapsamı elle yazılan `user.id` filtresi | **simple** — bugünkü davranış, aşağıdaki middleware tablosu geçerli |
-| Kurumun birim/pozisyon ağacı var (holding → şirket → bölge → departman), "müdür ekibinin kayıtlarını görür", maskeli/şifreli alan (TCKN) | **complex** |
-
-Kompleks projede fark edilmesi gerekenler:
-
-- Proje organizasyonun **yayınlı son** rol şemasının kopyasıyla doğar; yayın yoksa organizasyon
-  tabloları boştur (ORG-002). Açmadan önce `organization_schema_get` → `publishedVersion`.
-- Ağaç tabloları (`organization_units`, `organization_positions`, `user_positions`) yalnız
-  okunur; `row_*` ile yazılmaz (ORG-001).
-- Abonelik `project_get` → `organizationSchema`: `customizedAt` görünüyorsa proje ayrışmıştır ve
-  yeni sürümler artık gelmez.
-
-### Kompleks projede ilk kullanıcı
-
-`users` kompleks projede de boş doğar ve yukarıdaki bootstrap deseni **`enforce` ortamda çalışmaz**:
-anonim uç işareti olmadığı için oturumsuz her microservice isteği — bootstrap ucu da — `401` döner.
-Yeni kompleks proje `enforce` başlar. Sıra:
-
-1. Kullanıcıya söyle: development ortamının zorlama modu Studio › Ayarlar › Ortamlar'dan geçici olarak
-   `shadow` yapılsın (insan işi, ACC-007; production'a dokunulmaz). `shadow` engellemez.
-2. Bootstrap desenini uygula (geçici uç → kullanıcı → ucu hemen sil).
-3. Kullanıcının koltuğu Studio › Organizasyon ekranında atanır (`user_positions`); politika pozisyona ya da
-   role atanmışsa yetki buradan gelir.
-4. Mod `enforce`'a döner; `access_session_create` ile giriş yap, `asUser` ile uçları sına, reddi
-   `access_preview` ile açıkla (`platform_guide('access')`).
-
 ## Örnek arama davranışı
 
 Örnek gövde için **mevcut projeleri taramak yerine** önce şunlara bak:

package/dist/resources/guides/merge.md

@@ -39,16 +39,6 @@ trail tabloları hariç, dış datasource'lara dokunulmaz). Kayıt taşıması a
 (`promote`) kuralıdır ve orada aynen geçerlidir. **Satırlar merge'de geri taşınmaz** — merge yalnız
 tanım işidir.
 
-Tanım sayılan ve merge'in taşıdığı üç şey 2026-09-25'ten beri listede: **çeviriler**
-(translation kalemi, adı çeviri anahtarı), **microfunction'lar** (kod ve arşiv; hedefte **taslak**
-kalır, yayını kullanıcı yapar) ve zamanlanmış işin **duraklatma durumu**. Öncesinde dalda
-eklenen çeviri ve microfunction development'a hiç gelmiyordu.
-
-- Aynı çeviri anahtarını (uygulama, dil, anahtar) dal da development da kendi başına eklediyse plan
-  yalnız dalınkini `add` gösterir; apply development'ın satırına **dalın değerini** yazar.
-- Microfunction **runtime**'ı merge'de taşınmaz (kimlik bilgisi taşır). Dalda yeni bir runtime kurup
-  microfunction'ı ona bağlarsanız apply `23503` ile düşer — runtime'ı önce development'ta kurun.
-
 Dalda `page_screenshot` **çalışır** (2026-09-09'dan beri); ayrıntısı bir sonraki bölümde.
 
 ## Dalda görsel doğrulama
@@ -95,7 +85,7 @@ değişkenler, çözülen ref'ler) kareyi tamamlar: kare ne çizildiğini, bu ik
 - `derivedFromKey`: kalem OTOMATİK ÜRETİLMİŞ bir kayıtsa (varsayılan DTO) kaynağının anahtarı
 - `elements[]`: `path`, `kind`, `base`, `source` (dal), `target` (development), `resolution`
 
-`dataRisk` bir **uyarıdır, apply'ı bloklamaz**; dört sebepten biriyle doğrudur:
+`dataRisk` bir **uyarıdır, apply'ı bloklamaz**; üç sebepten biriyle doğrudur:
 
 | `dataRiskReasons` | Ne demek |
 |---|---|
@@ -103,32 +93,8 @@ değişkenler, çözülen ref'ler) kareyi tamamlar: kare ne çizildiğini, bu ik
 | `field-narrowed` | Tip / `nullable` / `unique` daraltılıyor |
 | `not-null-without-default-on-populated-table` | **Hedefte satır varken** varsayılansız zorunlu alan ekleniyor — bu apply'ı DDL aşamasında düşürür. Alanı `nullable` yapın ya da `defaultValueType: "default-value"` + `defaultValue` verin |
 
-| `table-removed` | **Hedefte satırı olan** tablo siliniyor; boş tablo riskli sayılmaz |
-
-`not-null-…` satırı 2026-09-09'da eklendi; öncesinde bu durum `dataRisk: 0` diyordu ve risk ancak
-apply denenerek öğreniliyordu. Hedef tablo **boşsa** aynı alan riskli sayılmaz.
-
-Aynı denetimin sert hâli promote'tadır: deploy başlamadan production verisine karşı koşar ve veri
-bozacak değişikliği 400 ile reddeder (`deployment_start` açıklaması).
-
-### Silinen kaydın yeni bağımlısı: `dependents[]`
-
-Dal bir kaydı sildi, development ise dal açıldıktan **sonra** o kaydı kullanmaya başladıysa
-(bir sayfa sorguyu bağladı, bir akış servisi çağırdı) silme `delete` olarak değil **`conflict`**
-olarak gelir ve kalemde `dependents[]` (`{ id, name, module }`) dolar:
-
-- `choice: "target"` kaydı ve bağımlısını korur,
-- `choice: "source"` siler — bağımlı FK ile düşebilir ya da kırık bağla kalır.
-
-Sorgunun çıktı DTO'su ve alanları **aynı çakışma grubundadır**: biri çözülünce diğerleri de o
-tarafa gider. Dal açılmadan önce var olan ve development'ta değişmeyen bağımlı çakışma üretmez —
-onu dal zaten görmüştü.
-
-### Süreç kenarlarında çakışma
-
-`versions[…].model.edges` listesinde iki taraf **aynı geçidin** çıkışlarına dokunduysa tek bir
-çakışma gelir, yolu `versions[id=…].model.edges{from=<düğüm>}` biçimindedir — o geçidin bütün
-çıkışları bir karar olarak çözülür. Farklı geçitlere yapılan değişiklikler kendiliğinden birleşir.
+Son satır 2026-09-09'da eklendi; öncesinde bu durum `dataRisk: 0` diyordu ve risk ancak apply
+denenerek öğreniliyordu. Hedef tablo **boşsa** aynı alan riskli sayılmaz.
 
 `derivedFromKey` dolu olan kalemi ayrıca çözmeye çalışmayın: kaynağını (entity ya da query)
 çözdüğünüzde aynı yoldaki çakışması **kendiliğinden** aynı tarafa çözülür. Entity adını değiştiren

package/dist/resources/guides/microservice.md

@@ -344,25 +344,6 @@ kart doğru sütuna geçer, başlığı ve sorumlusu silinir.
 > ifadeden gelir ve `undefined` dönen ifade de `null` yazar —
 > `platform_guide('workflow')` §"Table update adımı".
 
-### Toplu güncelleme FİLTREYLE kurulmaz
-
-"Bekleyen bütün başvuruları onayla" bir table-source `update` ucuyla YAZILAMAZ. `update`
-operasyonu tam olarak **bir tekil alan filtresi** ister: birden çok filtre
-`InvalidFilterCountException`, tekil olmayan alanla filtre `FilterFieldMustUniqueException`
-döndürür (ölçüldü 2026-09-20, S2-22). Yani hedef kümeyi bir KOŞUL belirleyemez, yalnız bir ANAHTAR
-belirler. İki doğru yol var:
-
-| Ne istiyorsun | Yol |
-|---|---|
-| Anahtarlar elinde, hepsi ya hep ya hiç yazılsın | **`bulk-update` ucu** — gövde satır dizisi, filtre yok, tek çağrı, tek transaction (yukarıdaki §"Toplu yazma"). En fazla 1000 satır; bir satır düşerse hiçbiri yazılmaz |
-| Satır başına SONUÇ ve satır başına YETKİ kararı gerekiyor | **İş akışı + döngü** (BK-05 deseni): liste ucunu çağır → her satır için `microservice` adımı → sayaçları topla → özet döndür |
-
-Kapsam ve politika koşulu her iki yolda da satır satır uygulanır; fark sonucun şeklidir. Toplu
-onay gibi işlerde ikinci yol tercih edilir çünkü yetkisi yetmeyen satır ötekileri geri almaz:
-çağıran "N onaylandı · M reddedildi" özetini alır (ölçülen koşu: iki satır da 403 ile reddedildi,
-akış "0 onaylandı · 2 reddedildi" döndürdü). Döngüdeki uç, çağıranın kimliğiyle denetlenir —
-akış içinden yazmak yetki YÜKSELTMEZ.
-
 ## İlişki alanı: `row_list` NESNE döner, uç/step JOIN'siz DÜZ FK döner
 
 Aynı alan iki yoldan farklı şekilde gelir ve bu fark sessizce yanlış sonuç üretir:
@@ -704,20 +685,6 @@ Rol listesini **değiştirmek** için yukarıdaki §"Patch belgesi OKUMA şeklid
 > rota `/{project}/m/{application}/{microservice SLUG'ı}`'dır ( `url` alanı rotaya GİRMEZ) ve
 > `Host: <org>.<suffix>` + `X-Environment` başlıkları zorunludur.
 
-### Kompleks projede
-
-- `enforce` ortamda **anonim uç yoktur**: oturumsuz her istek `401 AppSessionRequired` döner; yukarıdaki
-  anonim veri toplama deseni kompleks projede kurulamaz. Uç izni erişim politikasıyla gelir
-  (`microservice.execute`); platform `roleIds`'i hiçbir modda karar için kullanmaz.
-- `middlewareIds`'e bağlı middleware **her modda koşar** ve reddedebilir; set-user adımı ya da yanıttaki
-  `user` platformun doldurduğu `user`'ı ezer. Kimlik middleware'ini uçtan çıkarın (ACC-006).
-- Table kaynaklı uç satırları kapsamla SQL'de süzer (kapsam dışı id 404), gizli alanı çıkarır, korumalı
-  alanı `__protected` ile işaretler; yetkisiz alana yazma ya da filtre 403.
-- Query kaynaklı uç kapsamlı ya da korumalı tabloya dokunuyorsa sorgu `isUnrestricted` olmadıkça
-  `403 AccessQueryNotScoped` (ACC-005).
-- Sınama: `access_session_create` → `asUser`; ret nedeni `access_preview` ve `microservice_debug`
-  yanıtındaki `accessDecision`. Kurallar: `platform_guide('access')`.
-
 ## Alias nerede geçerli
 
 Alias bir **SQL tablo takma adıdır**: yalnız okunan tarafta anlamı vardır. Sözleşme iki ayrı
@@ -738,29 +705,6 @@ Yazma alanına `alias` koyarsan istek **hata vermez**, alan model bağlamada dü
 istek gitmeden gövdeden çıkarır ve `gatewayNormalized` ile bildirir — böylece `silentlyDropped`
 listesi yalnız gerçek kayıpları gösterir.
 
-### Kök filtrenin alias'ı entity SLUG'ı olmak zorundadır (MS-023)
-
-`filters[].alias` runtime'da iki şeyden birine eşlenir: **ana entity'nin slug'ı** ya da bir **join
-alias'ı** (`PostgreSqlRelationHandler.GetField`). Üçüncü bir seçenek yoktur — `sourceParameters.alias`
-alanına yazdığın kök takma ad da dâhil. Eşleşmeyen alias'lı **zorunlu** filtre isteği 400
-`FilterFieldNotResolvedException` ile düşürür ve parametreyi hangi adla gönderirsen gönder değişmez.
-
-Çağrı parametresinin adı aynı kuraldan çıkar:
-
-| Filtrenin alias'ı | Çağrı parametresi (`parameterScheme[].name`) | Çalışır mı |
-|---|---|---|
-| entity slug'ı (`kredi_basvurusu`) | `id` — **nitelenmemiş** alan slug'ı | evet |
-| join alias'ı (`musteri`) | `musteri.id` | evet |
-| başka bir şey (`kredi`) | `kredi.id` | **hayır** — 400 `FilterFieldNotResolvedException` |
-
-Yani şemadaki ad, uç çalışabildiği sürece runtime'ın beklediği addır; nitelikli bir ad görüyorsan
-alias'ın bir JOIN alias'ı olduğundan emin ol. `microservice_get` join olmayan nitelikli adı
-**MS-023** uyarısıyla işaretler. Düzeltme:
-`microservice_patch { op: 'replace', path: '/sourceParameters/filters/0/alias', value: '<entity slug>' }`.
-
-Ölçüldü 2026-09-20 (`rehber-basit/tb119-get`, entity slug `tb119_urun`): alias `u` → parametre
-`u.kod`, çağrı 400; alias `tb119_urun` → parametre `kod`, çağrı 200.
-
 ## Zamanlanmış iş (`type: 'schedule-job'`) — `typeParameters.schedule`
 
 Zamanlama tek bir tanımdır; `cronExpression` tek başına verilirse **UTC cron** sayılır (eski gövde).
@@ -876,25 +820,3 @@ Dört gerçek daha:
   (`{ "op": "add", "path": "/description", "value": "…" }`). Patch yanıtındaki `silentlyDropped`
   alanı, gönderilen ama kaydedilmeyen alanları listeler — boş değilse platform bir alanı yutmuş
   demektir.
-
-## Connect Data kaynağı olarak uç
-
-Okuyan bir uç prop'a **akışsız** bağlanabilir (`connect_data_bind`, `platform_guide('page')` §Kural 1c-3). Şartlar
-(ölçüldü 2026-09-21, koşu 38):
-
-- Uç **okur** (GET tablo `get`, query ya da view kaynağı), **middleware'siz** ve **dönüş şeması** vardır; yazan tablo/sistem
-  ucu, middleware'li uç ve şemasız uç `connect_data_describe`'da 422 `ConnectDataSourceUnsupported`.
-  **Middleware'li uç bilinçli olarak dışarıda (karar 2026-10-02, qm madde 5C):** connectData yolu ucun middleware
-  zincirini koşmaz; kaynak olarak kabul edilseydi ucun korumaları (kimlik, rol, setter değişkenleri) atlanırdı.
-  Korumalı ucu listeye bağlamanın yolu **akıştır**: bileşenin `mount` (ve arama/sayfa) akışında microservice adımı
-  ucu çağırır — middleware'ler koşar —, setter dönen satırları `rows`'a yazar. Uç projedeki başka bir uygulamada
-  olabilir (microservice adımı servisin kendi uygulamasının adresine gider). Middleware'i kaldırıp ucu açmak çözüm
-  değildir.
-- **Tablo ucunda `enableDynamicFilters: true`** alanları `canFilter`/`sortable` yapar (kullanıcı filtresi tanım filtresiyle
-  AND'lenir); `sort`/`limit` query-string parametreleri offset sayfalama açar. Dinamik filtresiz ya da query kaynaklı uç
-  `pageMode: client` kalır (CD-007) ve süzmez.
-- Uç parametreleri bağlantının `params`'ından gelir (`source.parameters`; CD-013).
-- `connect_data_convert` bir bağlantıyı `source: connectData` bir uca çevirir: `m/{app}/{slug}` `POST { op: 'list' }` aynı
-  kabiliyet damgalı `{ data, meta, errors }` zarfını döner. Kompleks projede `microservice_execute { asUserId }` ile
-  kullanıcı gözüyle doğrulayın; `microservice_preview` Studio ucudur (ROLLBACK'li, kapıları koşmaz).
-- Örnekler: `ngapps://examples/connect-data-workflow-microservice`, `ngapps://examples/connect-data-convert-verify`.

package/dist/resources/guides/middleware.md

@@ -19,16 +19,6 @@ kavramı olmayan bir üründe auth middleware'i, ayar tablosu olmayan bir ürün
 kur** — giriş sayfası + korunacak her uç ve her sayfa `middlewareIds`'e bağlı. Kısmi koruma,
 sistemi güvenli gösterip açık bırakır.
 
-> **Kompleks projede (`accessModel: 'complex'`) kimlik tarifleri gerekmez — bağlı kalırsa da etkisiz
-> değildir.** Platform uygulama oturumunu kendisi yönetir (`POST /{proje}/runtime/{app}/auth/sign-in`), uç
-> yolunda `user` değişkenini güvenilir özneyle önceden doldurur ve yetkiyi erişim politikasıyla verir. Bağlı
-> middleware'ler ise zorlama modundan bağımsız **her modda koşar** ve reddedebilir; set-user adımı ya da
-> yanıttaki `user` platformun `user`'ını **ezer**. Kimlik middleware'ini uçların ve sayfaların
-> `middlewareIds`'inden çıkarın (ACC-006, warn). Rol listesini (`microservice.roles`, `page.roleIds`)
-> platform hiçbir modda karar için kullanmaz; yalnız `Authorized(user.roles)` çağıran middleware okur.
-> Kompleks projenin yolu `platform_guide('access')` §Runtime; bu rehberin tarifleri basit projede aynen
-> geçerlidir.
-
 ## Açıklama zorunlu
 
 Middleware de bir workflow'dur: her adımı ve middleware'in kendisi `description` taşımak
@@ -68,12 +58,7 @@ cevabı adımın ifadesinde gizlidir. Ayrıntı ve yazım ölçütü: `platform_
 4. **`input` YOKTUR.** Middleware girdisini HTTP bağlamından okur: `cookie`, `header`,
    `queryString`, `body`, `triggerSource` (hangi microservice/sayfa tetikledi: type, id, name,
    slug, roles, pathAndQuery — emekliye ayrılacak) ve `context` (type, name, roles, path,
-   **impersonatedUserId**, language). `context.path` isteği yapan sayfanın adresidir
-   (`/view|dev|branch/{ortam}/{proje}/{uygulama}/{sayfa}`): mobil runtime onu `X-Page-Path`
-   başlığıyla yollar, web'de tarayıcının `Referer`'ından okunur. Doğrudan API çağrısında,
-   zamanlanmış/otomasyon koşusunda ve sayfası olmayan istekte **`null`'dır** — `split` gibi bir
-   metot çağırmadan önce koru: `(context.path || '').split('/')[1]`. İstemci beyanıdır, yetki kararı
-   için okunmaz. Kimlik devri **yalnız `context.impersonatedUserId`**'dedir;
+   **impersonatedUserId**, language). Kimlik devri **yalnız `context.impersonatedUserId`**'dedir;
    `triggerSource.impersonatedUserId` diye bir alan yoktur, hep `undefined` okunur (MW-006).
    `context.impersonatedUserId` ve start adımının `impersonation` dalı yalnız Studio önizlemesinde
    seçilen uygulama kullanıcısı için dolar; kimlik devrini yalnız super-admin yapabilir, anonim ya da
@@ -281,29 +266,12 @@ kurulur.** Her projenin ayar middleware'ine ihtiyacı yoktur; okunmayan bir `set
 sadece fazladan parça demektir. Karar tablosu: `platform_guide('getting-started')`.
 
 ```
-start → settings [table get: ayarlar tablosu]
-      → setPrivate [variable name:'settingsPrivate', expression: '{ ...settings.data }',
-                    dataTransferObjectId: <ayarlar DTO>, isPrivate: true]
-      → setPublic  [variable name:'settings',
-                    expression: '({ app_name: settings.data.app_name, theme: settings.data.theme })']
+start → settings [table get: ayarlar tablosu] → setVar [variable name:'settings',
+        expression: '{ ...settings.data }', dataTransferObjectId: <ayarlar DTO>]
 ```
 
 Response yok — tek işi değişken kurmak; bağlandığı her uçta `settings.<alan>` okunur.
 
-**Sayfaya bağlanan middleware'in değişkeni istemciye gider.** Sayfa yanıtı middleware
-değişkenlerini `Page.variables` olarak taşır; tarayıcıda ve cihazda okunur. Bu yüzden:
-
-- Gizli değer taşıyan (şifre, `client_secret`, API anahtarı) ya da bütün bir kaydı yayan değişkene
-  **`rule.isPrivate: true`** ver (Studio: "Sunucuda tut"). Aynı istekteki sonraki middleware'ler
-  onu okumaya devam eder; istemciye gitmez. Sayfanın akışları istemcide koşar ve `Page.variables`'ı
-  okur — işaretli değişken orada `undefined`'dır; akışın ihtiyaç duyduğu alanı işaretleme.
-- İstemcinin gerçekten ihtiyaç duyduğu alanları ayrı, işaretsiz bir değişkende **izin listesiyle**
-  kur (yukarıdaki `settings`). Aynı ad sonra işaretsiz bir adımla yeniden yazılırsa istemciye açılır.
-- Yalnız microservice uçlarına bağlı middleware'de değişken yanıtla dönmez; işaret yine de zararsızdır.
-- Lint: `MW-007` (işaretsiz değişken bir kaydı yayıyor ya da gizli değer adı taşıyor → warn).
-  Ölçüm: qm `[SY] Settings Setter` `{ ...settings.data }` ile `sso_client_secret`'ı istemciye
-  veriyordu (2026-10-02).
-
 ## Tarif 3 — Kimlik kapsaması: "sadece benim kayıtlarım" ucu
 
 Kullanıcıya özel veri dönen uçlarda kimliği **istemci parametresinden alma** (sahtelenir);