@appaflytech/zeyrek-ai-mcp 0.0.33 → 0.0.35

package/dist/knowledge/rules.js

@@ -5,7 +5,6 @@ import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
 import { themePolicyRules } from './themeRules.js';
-import { mobileStorePolicyRules } from './mobileStore.js';
 const terminalStepTypes = new Set(['response', 'convert', 'revert']);
 const DESCRIPTION_EXEMPT_STEPS = new Set(['start']);
 const stepKindMatrix = {
@@ -147,21 +146,13 @@ export function readsBeforeGuard(source, root) {
  * code.ts:49). Eşleşme yoksa flow-engine.ts:79 sessizce durur. Studio tarafında da zincir
  * `sourceBranch === 'always'` ile çizilir (EventActionsStart.svelte:47, EventActionsItem.svelte:298).
  * condition dalları rule id'sidir (serbest), microservice'te 'success' yalnız eski şema için
- * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
- * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
- * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
- * geriye dönük zararsızdır.
+ * yaşatılır (microservice.ts:144).
  */
 const flowBranchNames = {
     start: ['always'],
-    microservice: ['always', 'success', 'error'],
+    microservice: ['always', 'success'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
-    haptic: ['always'],
-    location: ['always', 'error'],
-    'notification-permission': ['always'],
-    'notification-schedule': ['always', 'error'],
-    'notification-cancel': ['always'],
     end: []
 };
 /**
@@ -172,16 +163,8 @@ const flowBranchNames = {
  */
 export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
-    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
-    'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel'
+    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function'
 ]);
-/**
- * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
- * `HAPTIC_STYLES`/`LOCATION_ACCURACIES`'in aynası (`test/flow-step-parity.test.ts` bağlar); backend
- * `FlowDtoValidator` aynı kümeyle 400 döner. Kök `docs/adr/0003-cihaz-yetenegi-adimlari.md`.
- */
-export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
-export const locationAccuracies = new Set(['low', 'balanced', 'high']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -193,17 +176,16 @@ const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}
 // Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
 const flowLiteralTextFields = new Map([
     ['alert', ['message', 'description']],
-    ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
-    ['share', ['title']],
-    ['notification-schedule', ['name', 'title', 'path']],
-    ['notification-cancel', ['name']]
+    ['confirm', ['message', 'title', 'confirmText', 'cancelText']]
 ]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
-// Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
-// `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
-// koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
-// ve barındırıcı sözlüğü `platform/*.ts`'tedir (`profile.steps`); mobil farkları orada `MOB-005`
-// olarak konuşulur (`platform/lint.ts`). Yeni mobil runtime `confirm`/`download`'ı kaydeder.
+// Barındırıcıya özel tipler (`navigate` web'de, `confirm`/`download` mobilde register edilmez)
+// BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten `redirect`e çeviriyor
+// (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da koşar, yani vaka
+// uyarılmaz, ORTADAN KALKAR. Geriye kalan `confirm`/`download` tek başına kusur değildir: sayfa
+// tek bir uygulamaya aittir (`Page.ApplicationId`), uygulamanın tipi web ya da mobile'dır
+// (`ApplicationType.cs`) ve gateway hangisi olduğunu bilmez. Mobil ayağı uygulama tarafında
+// kapanır (`ScreenRuntime.tsx`), lint'te değil.
 const flowUnregisteredStepTypes = new Set(['end', 'query']);
 const flowSetterIterateeTypes = new Set(['change', 'fill']);
 function flowStepList(value) {
@@ -323,71 +305,25 @@ function writesRolesWithoutSlug(entityId, parameters) {
 }
 const rolesSlugMessage = "Built-in 'roles' entity'sine slug YAZMADAN rol satırı ÜRETİLİYOR (operation create/upsert). Insert 200 döner, satır role_list'te görünür ve page.roleIds ile bağlanır — ama yetkilendirme SLUG karşılaştırır: platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir ve Authorized(user.roles) o rol için hiçbir zaman tutmaz. fields'a slug'ı ekleyin ('super-admin' slug'ını vermeyin — platform süper yöneticiyi o slug ile arar). Upsert'te slug'ı İFADEYLE üretmeyin: UPDATE yolunda ifade yeniden değerlendirilir ve var olan rolün slug'ı sessizce değişir (MS-016) — üretilen slug'ı yalnız create ucunda yazın. Rolü kullanıcıya bağlamak ayrı bir user_roles satırıdır.";
 const contractKeys = ['returnDtoId', 'parameterDtoId', 'returnBehavior', 'parameterBehavior'];
-/**
- * Filtre işleci sözlüğü — backend `OperatorType` enum'u (paketlenmiş `Filter` şeması; eşitliği
- * `test/filter-operators.test.ts` kilitler). Studio filtre ARAYÜZÜNÜN sözlüğü (`notContains`, `between`…,
- * `componentCatalog.ts`) ayrı bir kavramdır: arayüz onları bu işleçlere çevirir.
- */
-export const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
-/** Ajanların sık yazdığı yanlış adlar → doğru işleç. Yalnız ÖNERİLİR, sessizce çevrilmez. */
-const filterOperatorSuggestions = {
-    ne: 'neq', '!=': 'neq', '<>': 'neq', noteq: 'neq', notequal: 'neq', notequals: 'neq', not_eq: 'neq',
-    '=': 'eq', '==': 'eq', equal: 'eq', equals: 'eq',
-    '<': 'lt', '<=': 'lte', '>': 'gt', '>=': 'gte',
-    like: 'contains', ilike: 'icontains', nin: 'notin', 'not in': 'notin', not_in: 'notin'
-};
+const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
 function flattenFilterTree(filters) {
     return filters
         .filter((filter) => Boolean(filter) && typeof filter === 'object')
         .flatMap(filter => [filter, ...flattenFilterTree(asArray(filter.children))]);
 }
-/**
- * Bilinmeyen işleçler, öneriyle: `status: 'ne' (neq mı demek istedin?)`. Grup çocukları da okunur. Ad
- * büyük/küçük harfe DUYARLI eşlenir — backend de öyle eşler (`GetValueFromDescription` `==`); `NEQ`
- * bilinmeyendir ve küçük harfli adı önerilir.
- */
-function unknownFilterOperators(filters) {
-    return flattenFilterTree(filters)
-        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator)))
-        .map(filter => {
-        const operator = String(filter.operator);
-        const lower = operator.toLowerCase();
-        const suggestion = filterOperators.has(lower) ? lower : filterOperatorSuggestions[lower];
-        return `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${operator}'${suggestion ? ` (${suggestion} mı demek istedin?)` : ''}`;
-    });
-}
-const unknownOperatorConsequence = "Bilinmeyen işleç yola ve backend sürümüne göre ya 400 alır ya sessizce 'eq'e düşer ve sorgu yanlış sonuç döner (2026-09-27'den sonraki backend uç çağrısının `filters` parametresini 400 ile reddeder; workflow tablo adımı hâlâ sessizce 'eq' yapar); ad büyük/küçük harfe duyarlıdır — doğru işleci yazın";
 function unknownOperatorFindings(ruleId, owner, filters) {
-    const unknownOperators = unknownFilterOperators(filters);
+    const unknownOperators = flattenFilterTree(filters)
+        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator).toLowerCase()))
+        .map(filter => `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${String(filter.operator)}'`);
     return unknownOperators.length > 0
         ? [{
                 ruleId,
                 severity: 'block',
-                message: `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
+                message: `${owner}: bilinmeyen filtre operatörü — ${unknownOperators.join(', ')}. Platform bilinmeyen operatörü 400 ile REDDETMEZ, sessizce 'eq'e düşürür (EnumExtensions.GetValueFromDescription null → default) ve uç testten geçip yanlış çalışır. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
                 guide: 'ngapps://guides/microservice'
             }]
         : [];
 }
-/**
- * Çalışma anında gelen filtre (`row_list.filters`, `microservice_execute` `filters` parametresi): dizi ya
- * da JSON dizesi. Bilinmeyen işleç varsa hata METNİ döner — araç isteği göndermeden 400 verir
- * (plans/mobil-plantcare-acigi g-03). Ayrıştırılamayan değer backend'e bırakılır.
- */
-export function filterOperatorError(owner, filters) {
-    let parsed = filters;
-    if (typeof filters === 'string') {
-        try {
-            parsed = JSON.parse(filters);
-        }
-        catch {
-            return undefined;
-        }
-    }
-    const unknownOperators = Array.isArray(parsed) ? unknownFilterOperators(parsed) : [];
-    return unknownOperators.length > 0
-        ? `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. İstek GÖNDERİLMEDİ. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')}.`
-        : undefined;
-}
 function isReadOperation(parameters) {
     const operation = String(parameters?.operation ?? '').toLowerCase();
     return !writeOperations.has(operation);
@@ -2315,48 +2251,6 @@ export const policyRules = [
                 }];
         })
     },
-    {
-        id: 'FLOW-028',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Yetki şablonu (access.json 1.7.0) 33 kod adımında platformun oturum uçlarına ham fetch atıyordu ('/api/' + project + '/runtime/' + application + '/auth/me' ve '/auth/sign-in'). Ham istek ng-apps-flow/src/api/instance.ts'in yaptıklarını atlar: X-Environment çözümü (resolveRuntimeEnvironment; elle ayrıştırma /preview şeridinde index -1 verir), CSRF başlığı (çerezli POST 403 CsrfTokenMismatchException — S2-37 · S3-7), 401'de tek refresh + yeniden deneme, ve ExecuteMicroserviceBehavior'ın microservice.execute kararı ile gölge günlüğü. Düzeltme 2026-09-22: giriş ve oturum bilgisi access.session.create / access.session.get system operation'larına taşındı (backend ADR 0004); çıkış 2026-10-01'de access.session.delete ile eklendi. Dış API'ye fetch meşrudur; kural yalnız göreli platform yollarını (/api/, /m/, /runtime/) görür",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'code')
-            .flatMap((step) => {
-            const body = String((step.args ?? {}).value ?? '');
-            if (!/\bfetch\s*\(|XMLHttpRequest/.test(body) || !/['"`]\/(api|m|runtime)\/|\/runtime\//.test(body))
-                return [];
-            return [{
-                    ruleId: 'FLOW-028',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' code adımı platformun kendi ucuna ham istek atıyor. Bu yol runtime'ın istek katmanını atlar: X-Environment elle kurulur, CSRF başlığı yoktur (çerezli POST 403 CsrfTokenMismatchException), 401'de oturum yenilenmez ve istek microservice.execute kararını ve gölge günlüğünü hiç görmez. Platform davranışını çağırmanın yolu microservice adımıdır: karşılığı olan bir system operation varsa (microservice_system_operation_list — giriş için access.session.create, oturumdaki kullanıcı için access.session.get, çıkış için access.session.delete) source:'system' bir uç açın ve akışa type:'microservice' adımı koyun; sonuç Steps.<adım>.data'dadır, kod adımı yalnız onu biçimler.`,
-                    guide: 'ngapps://guides/page'
-                }];
-        })
-    },
-    {
-        id: 'FLOW-037',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "mobile-qm koşusu 2026-10-01: çıkış akışı oturumu storage adımları (ZY_App_qm/ZY_AppRefresh_qm/ZY_Csrf_qm = '') ve kod adımında cookie.remove ile kapatmaya çalıştı. Platformun oturum çerezleri (AppSessionConstants: ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) sunucunun HttpOnly Set-Cookie'sidir: web'de document.cookie onları göremez, mobilde akışın cookie/storage deposu Keychain/kv-store'dur ve iOS NSHTTPCookieStorage'a ulaşmaz. Refresh ailesi sunucuda iptal edilmediği için kapat-aç sonrası auth/refresh oturumu yeniden yazdı (kullanıcı girişli açıldı). Çıkış access.session.delete system operation'ıdır (guard 2026-10-01'den beri session: süresi dolmuş jetonda 401, runtime yenileyip tekrarlar; uç isAnonymous:true kalır): aileyi iptal eder, üç çerezi yanıtla siler",
-        check: definition => flowAllSteps(definition)
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const name = String(args.name ?? '');
-            const body = String(args.value ?? '');
-            const touchesSessionCookie = (step.type === 'storage' || step.type === 'setcookie')
-                ? /^ZY_(App|AppRefresh|Csrf)_/.test(name)
-                : step.type === 'code' && /\bcookie\s*\.\s*(remove|set)\s*\(/.test(body) && /['"`]ZY_(App|AppRefresh|Csrf)_/.test(body);
-            if (!touchesSessionCookie)
-                return [];
-            return [{
-                    ruleId: 'FLOW-037',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' adımı platformun oturum çerezine (ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) akıştan dokunuyor. Bu çerezler sunucunun HttpOnly çerezleridir: akışın cookie/storage deposu onlara ulaşmaz (mobilde Keychain/kv-store, web'de document.cookie) ve refresh ailesi sunucuda açık kaldığı için kullanıcı kapat-aç sonrası yeniden girişli olur. Çıkış için source:'system', systemOperation:'access.session.delete', isAnonymous:true bir uç açın ve akışa type:'microservice' adımı koyun, ardından redirect ile giriş sayfasına gidin — uç refresh ailesini iptal eder ve üç çerezi yanıtla siler. Uygulamanın kendi değerleri (ör. 'beni hatırla' bayrağı) storage'da kalabilir.`,
-                    guide: 'ngapps://guides/access'
-                }];
-        })
-    },
     {
         id: 'FLOW-020',
         module: 'flow',
@@ -2480,7 +2374,7 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
+        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu)",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
@@ -2493,164 +2387,16 @@ export const policyRules = [
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: type.startsWith('notification-')
-                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
-                    : type === 'share'
-                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
-                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
                 guide: 'ngapps://guides/page'
             }));
         })
     },
-    {
-        id: 'FLOW-027',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "share adımının argümanı StepManagementArgument'ın Title/Message/Path alanlarında saklanır (StepType.cs `share`, kök docs/adr/0001-share-akis-adimi.md); url/link/text gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım hiçbir şey paylaşmadan akış sürer. `message` ve `path` İFADEDİR (@ng-apps/flow resolveShareContent → runCode): tırnaksız 'https://…' JS'te etiket + yorumdur, undefined döner",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'share')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const filled = (key) => typeof args[key] === 'string' && String(args[key]).trim().length > 0;
-            const findings = [];
-            const strayLinks = ['url', 'link', 'href'].filter(filled);
-            const strayTexts = ['text', 'body', 'content'].filter(filled);
-            if (strayLinks.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-027',
-                    severity: filled('path') ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' share adımının bağlantısı args.${strayLinks.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım bağlantısız kalır. Bağlantıyı args.path'e ifade olarak yazın — ör. "'https://ornek.app/urun/' + Page.queryParams.id".`,
-                    guide: 'ngapps://guides/page'
-                });
-            }
-            if (strayTexts.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-027',
-                    severity: filled('message') ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' share adımının metni args.${strayTexts.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu sessizce düşürür. Metni args.message'a ifade olarak yazın — ör. "'Şuna bak: ' + Page.properties.name".`,
-                    guide: 'ngapps://guides/page'
-                });
-            }
-            for (const key of ['message', 'path']) {
-                const value = typeof args[key] === 'string' ? String(args[key]).trim() : '';
-                if (/^[a-z][a-z\d+\-.]*:\/\//i.test(value)) {
-                    findings.push({
-                        ruleId: 'FLOW-027',
-                        severity: 'block',
-                        message: `'${flowStepLabel(step)}' share adımının '${key}' alanı tırnaksız bir adres: '${value}'. Bu alan İFADEDİR — tırnaksız adres JS'te etiket + yorumdur, undefined döner ve hiçbir şey paylaşılmaz. Dize olarak yazın: "'${value}'".`,
-                        guide: 'ngapps://guides/page'
-                    });
-                }
-            }
-            return findings;
-        })
-    },
-    {
-        id: 'FLOW-029',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Cihaz yeteneği adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): haptic.value = stil, location.value = doğruluk, location.isRaw = adres çözülmesin. İkisi de DÜZ METİNDİR (@ng-apps/flow hapticStyle/locationAccuracy), kümede olmayan değer backend FlowDtoValidator'da 400 alır; style/accuracy/reverseGeocode gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım varsayılanla (medium / balanced / adresli) koşar",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'haptic' || step.type === 'location')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            // Backend (FlowDtoValidator) yalnız tamamen boşluk olanı boş sayar; kümeyle karşılaştırmayı kırpmadan yapar.
-            const raw = typeof args.value === 'string' ? args.value : '';
-            const value = raw.trim() ? raw : '';
-            const haptic = step.type === 'haptic';
-            const allowed = haptic ? hapticStyles : locationAccuracies;
-            const field = haptic ? 'stil' : 'doğruluk';
-            const findings = [];
-            const stray = (haptic ? ['style', 'type', 'feedback'] : ['accuracy', 'precision'])
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
-            if (value && !allowed.has(value)) {
-                const unquoted = value.replace(/^['"`](.*)['"`]$/, '$1');
-                const trimmed = value.trim();
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: 'block',
-                    message: allowed.has(unquoted)
-                        ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri tırnaklı yazılmış: ${value}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`
-                        : allowed.has(trimmed)
-                            ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değerinin çevresinde boşluk var: '${value}'. Platform kırpmadan karşılaştırır ve 400 döner — args.value: '${trimmed}' yazın.`
-                            : `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri '${value}' tanınmıyor; platform 400 döner. Kullanılabilir: ${[...allowed].join(', ')} (boş → ${haptic ? 'medium' : 'balanced'}).`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (stray.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: value ? 'warn' : 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri args.${stray.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım varsayılanla (${haptic ? 'medium' : 'balanced'}) koşar. Değeri args.value'ya düz metin olarak yazın — ör. args.value: '${haptic ? 'success' : 'high'}'.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (!haptic && ['reverseGeocode', 'address', 'geocode'].some(key => args[key] !== undefined)) {
-                findings.push({
-                    ruleId: 'FLOW-029',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' location adımında adres anahtarı sözleşmede YOK ve sessizce düşer. Adres varsayılan olarak çözülür (cihazda; web'de hep null); kapatmak için args.isRaw: true yazın.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            return findings;
-        })
-    },
-    {
-        id: 'FLOW-030',
-        module: 'flow',
-        appliesTo: ['create', 'update'],
-        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
-        check: definition => flowAllSteps(definition)
-            .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
-            .flatMap((step) => {
-            const args = (step.args ?? {});
-            const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
-            const findings = [];
-            const schedule = step.type === 'notification-schedule';
-            const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
-            if (!text('name')) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (schedule && !text('value')) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı yok: args.value bir İFADEDİR ve sonucu 'HH:mm' (her gün), { weekday: 1-7, time: 'HH:mm' } (her hafta, 1 = Pazartesi) ya da ISO tarih-saattir (bir kez) — ör. "tp_saat.value" ya da "'08:30'".`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            const literal = /^'([^']*)'$/.exec(text('value'))?.[1];
-            if (schedule && literal !== undefined && !/^([01]?\d|2[0-3]):[0-5]\d$/.test(literal) && Number.isNaN(Date.parse(literal))) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'block',
-                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı '${literal}' okunamaz: 'HH:mm' (00:00–23:59), ISO tarih-saat ya da { weekday, time } nesnesi yazın. Çalışmada adım error dalına düşer (status: 'invalid').`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            if (stray.length > 0) {
-                findings.push({
-                    ruleId: 'FLOW-030',
-                    severity: 'warn',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımında args.${stray.join('/args.')} sözleşmede YOK ve platform onu sessizce düşürür. Kimlik args.name, zaman args.value (ifade), metin args.message (ifade), başlık args.title.`,
-                    guide: 'ngapps://guides/mobile'
-                });
-            }
-            return findings;
-        })
-    },
     {
         id: 'FLOW-023',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil @ng-apps/ui-native runtime-tasks.ts alert·confirm·redirect·navigate·storage·setcookie·download ekler. navigate web'de YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
+        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil ScreenRuntime.tsx alert·redirect·navigate·storage·setcookie ekler. navigate web'de, confirm/download mobilde YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', confirm/download 'web'; End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
         check: definition => {
             const steps = flowAllSteps(definition);
             // Studio her akış tuvaline dekoratif bir End düğümü koyar ve onu sildirmez; zararlı olan
@@ -2976,6 +2722,29 @@ export const policyRules = [
             return findings;
         })
     },
+    {
+        id: 'FLOW-027',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "2026-10-01 kanban ölçüm turu: steps ve errorSteps'te AYNI stepId ('start') flow_create'te 500 `An item with the same key has already been added. Key: start [ArgumentException]` verdi — platform adımları tek sözlüğe stepId anahtarıyla koyuyor, hata mesajı çakışmanın stepId olduğunu söylemiyor",
+        check: definition => {
+            const counts = new Map();
+            for (const step of flowAllSteps(definition)) {
+                if (!step.stepId)
+                    continue;
+                counts.set(step.stepId, (counts.get(step.stepId) ?? 0) + 1);
+            }
+            const repeated = [...counts].filter(([, count]) => count > 1).map(([stepId]) => stepId);
+            return repeated.length === 0
+                ? []
+                : [{
+                        ruleId: 'FLOW-027',
+                        severity: 'block',
+                        message: `stepId'ler akışta (steps + errorSteps birlikte) benzersiz olmalı; tekrar edenler: ${repeated.map(id => `'${id}'`).join(', ')}. Platform bunları tek sözlüğe anahtar olarak koyar ve "An item with the same key has already been added" ile 500 verir (mesaj stepId'den söz etmez). errorSteps'te de kendi 'start' adımı gerekiyorsa ona farklı bir stepId verin (örn. 'err_start').`,
+                        guide: 'ngapps://guides/page'
+                    }];
+        }
+    },
     {
         id: 'MS-013',
         module: 'microservice',
@@ -3217,27 +2986,9 @@ export const policyRules = [
                     }];
         }
     },
-    {
-        id: 'MW-006',
-        module: 'workflow',
-        appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "Kimlik devri değeri triggerSource'ta DEĞİL context'te durur: WorkflowContext.SetTriggerSource triggerSource'a { type, id, name, slug, roles, pathAndQuery }, context'e { type, name, roles, path, impersonatedUserId, language } yazar (WorkflowContext.cs:216-235). triggerSource.impersonatedUserId her zaman undefined okunur ve önizleme hep jeton yoluna düşer (ZM-22, koşu 37)",
-        check: (definition) => {
-            const readers = workflowSteps(definition).filter(step => /\btriggerSource\s*\.\s*impersonatedUserId\b/.test(JSON.stringify(step.rule ?? {})));
-            return readers.length === 0
-                ? []
-                : [{
-                        ruleId: 'MW-006',
-                        severity: 'warn',
-                        message: `'${readers.map(stepLabel).join(', ')}' kimlik devrini triggerSource.impersonatedUserId'den okuyor; bu alan yok, değer hep undefined gelir. Doğrusu context.impersonatedUserId — ve yalnız start adımının impersonation dalında: değer yalnız doğrulanmış Studio önizlemesinde dolar, başka yerde yetki kararı için kullanılmaz (platform_guide('middleware') Tarif 1c).`,
-                        guide: 'ngapps://guides/middleware'
-                    }];
-        }
-    },
     // Backend doğrulayıcılarının aynası (ENT-015…018, MS-017, WF-026, QRY/VIEW/DTO/ROW/DS/PRJ/TR/FLD/FILE/EXT):
     // tek liste `backendConstraints.ts`'te durur, buradan yalnız politika motoruna katılır.
     ...themePolicyRules,
-    ...mobileStorePolicyRules,
     ...backendPolicyRules()
 ];
 /**

package/dist/knowledge/styleResolve.js

@@ -154,24 +154,6 @@ const resolveShadow = (shadow) => {
         return undefined;
     return SHADOW_VALUES[shadow] ?? String(shadow);
 };
-/**
- * Döndür / ölçekle / kaydır alanlarının kabul aralığı — frontend `style-groups/transform-fields.ts`
- * `TRANSFORM_RANGES`'in kopyası (altın vakalar kilitler). Aralık dışı ve birimli değer yazılmaz.
- */
-export const TRANSFORM_RANGES = {
-    rotate: [-360, 360],
-    scale: [10, 500],
-    translateX: [-1000, 1000],
-    translateY: [-1000, 1000]
-};
-/** Sayı ya da sayısal metin, aralığın içinde; aksi `undefined` — frontend `transformValue`. */
-export const transformValue = (value, field) => {
-    if (typeof value !== 'number' && (typeof value !== 'string' || value.trim() === ''))
-        return undefined;
-    const parsed = Number(value);
-    const [min, max] = TRANSFORM_RANGES[field];
-    return Number.isFinite(parsed) && parsed >= min && parsed <= max ? parsed : undefined;
-};
 /**
  * Grupların alan listeleri — frontend `style-groups/style-group-schemas.ts`
  * `STYLE_GROUP_FIELDS`'in kopyası. Parite testi `components.json`'daki gerçek
@@ -188,11 +170,7 @@ export const STYLE_GROUP_FIELDS = {
         'borderLeft',
         'shadow',
         'contentOverflow',
-        'opacity',
-        'rotate',
-        'scale',
-        'translateX',
-        'translateY'
+        'opacity'
     ],
     typographyStyle: [
         'textColor',
@@ -242,21 +220,6 @@ export function composeTypedStyle(input, ext) {
         if (opacity !== undefined && opacity >= 0 && opacity < 100) {
             groups.opacity = String(opacity / 100);
         }
-        // Döndür / ölçekle / kaydır (ADR 0005): kaydır → döndür → ölçekle, köken merkez;
-        // ölçek yüzdedir, nötr değer ve aralık dışı yazılmaz — frontend `composeSurfaceTransform`.
-        const transform = [];
-        const x = transformValue(surface.translateX, 'translateX') ?? 0;
-        const y = transformValue(surface.translateY, 'translateY') ?? 0;
-        if (x !== 0 || y !== 0)
-            transform.push(`translate(${x}px, ${y}px)`);
-        const rotate = transformValue(surface.rotate, 'rotate');
-        if (rotate !== undefined && rotate !== 0)
-            transform.push(`rotate(${rotate}deg)`);
-        const scale = transformValue(surface.scale, 'scale');
-        if (scale !== undefined && scale !== 100)
-            transform.push(`scale(${scale / 100})`);
-        if (transform.length)
-            groups.transform = transform.join(' ');
         // `ROOT_TARGET` (`&`) kökün kendisidir: kendi derleyicisi olmayan kaplarda
         // yüzey düğüm kutusuna yazılır ve kaydırılan da odur.
         if (isSet(surface.contentOverflow) && ext?.overflowTarget) {
@@ -288,10 +251,8 @@ export function composeTypedStyle(input, ext) {
         assign(rules, 'borderColor', hover.borderColor);
         assign(rules, 'boxShadow', resolveShadow(hover.shadow));
         const lift = asDimension(hover.lift);
-        // Kaldırma düğümün kendi transform'unu ezmez, önüne eklenir.
-        if (lift !== undefined) {
-            rules.transform = `translateY(calc(-1 * ${lift}))${typeof groups.transform === 'string' ? ` ${groups.transform}` : ''}`;
-        }
+        if (lift !== undefined)
+            rules.transform = `translateY(calc(-1 * ${lift}))`;
         if (Object.keys(rules).length) {
             const duration = asNumber(hover.transitionMs) ?? 160;
             groups.transition = `background-color ${duration}ms ease, border-color ${duration}ms ease, box-shadow ${duration}ms ease, transform ${duration}ms ease`;
@@ -434,7 +395,9 @@ const STATCARD_FLEX_ALIGN = {
     left: 'flex-start',
     center: 'center',
     right: 'flex-end',
-    justify: 'stretch'
+    justify: 'stretch',
+    start: 'flex-start',
+    end: 'flex-end'
 };
 function composeStatCardParts(input, root) {
     const value = input.valueStyle;
@@ -502,6 +465,51 @@ export const TYPED_STYLE_COMPONENTS = {
         groups: ['surfaceStyle'],
         ext: { overflowTarget: '&__body' }
     },
+    layout: {
+        // Kabuk zeminini `.ng-layout` KÖKÜNDE çizer; düğüm kutusuna yazılan zemin
+        // onun altında kalıyordu (LAYOUT-006, 2026-09-29). Yüzey ve taşma köke.
+        // navigationStyle menüye gider, resolvedStyle'a girmez.
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    'layout-shell': {
+        // Aynı kök: zemin `.ng-layout-shell` KÖKÜNDE (SHELL-006, 2026-09-29).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    'layout-region': {
+        // Zemin `.ng-layout-region` KÖKÜNDE, taşma kaydırılan gövdede (REG-002, 2026-09-29).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: '&__body' }
+    },
+    'auth-layout': {
+        // Zemin `.ng-auth` KÖKÜNDE (AUTH-006, 2026-09-29); yüzey ve taşma köke.
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    header: {
+        // Şeridin zemini ve alt çizgisi kökte (HDR-007, 2026-09-29).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    sidebar: {
+        // Yan menünün zemini ve sağ çizgisi kökte (SB-004, 2026-09-29).
+        // navigationStyle menüye gider, resolvedStyle'a girmez.
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    modal: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (modal ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
+    drawer: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (drawer ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET }
+    },
     icon: {
         // Yalnız hover: surface çipin (chipShape/chipColor), typography da boyutun
         // (size) ve rengin (color) çift kanalı olurdu — görsel kararlar semantik
@@ -523,8 +531,6 @@ export const NODE_SURFACE_TYPES = new Set([
     'table',
     'datatable',
     'collapsible-container',
-    'drawer',
-    'modal',
     'popover',
     'tabs',
     'stepper',
@@ -532,20 +538,9 @@ export const NODE_SURFACE_TYPES = new Set([
     'html',
     'file-viewer',
     'document-editor',
-    'layout',
-    'layout-region',
-    'layout-shell',
     'qm-content',
-    'qm-sidebar',
-    'auth-layout'
+    'qm-sidebar'
 ]);
-/**
- * `style`'ı kendi içeriğinin CSS'i olarak alan tipler: `html`in `style`'ı uzun metindir ve yazarın
- * işaretlemesine kapsamlı girer — web'de emotion sınıfı (`html.functions.ts` `resolveHtmlStyleClass`),
- * mobilde korumalı belgenin stil bloğu (plans/mobil-plantcare-acigi f-20). "Düz CSS string style"
- * (PAGE-014) ve "ham CSS çizilmez" (MOB-002) uyarıları bu tiplerde yanlıştır.
- */
-export const DOCUMENT_STYLE_TYPES = new Set(['html']);
 const NODE_SURFACE_EXTENSION = { overflowTarget: ROOT_TARGET };
 /** Düğüm kutusuna inen yüzey; kap tipi değilse ya da grup boşsa yok. */
 export function composeNodeSurfaceStyle(type, surfaceStyle) {
@@ -585,7 +580,7 @@ const unwrapProp = (value) => {
         result[key] = unwrapProp(item);
     return result;
 };
-export const rawProp = (props, name) => {
+const rawProp = (props, name) => {
     const prop = props?.[name];
     // İfadeye bağlı prop'un değeri çalışma anında oluşur, burada çözülemez.
     return prop && typeof prop === 'object' && 'data' in prop ? unwrapProp(prop.data) : undefined;