@appaflytech/zeyrek-ai-mcp 0.0.35 → 0.0.37

package/dist/knowledge/rules.js

@@ -4,7 +4,10 @@ import { reservedTenantTables } from './reservedTables.js';
 import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
+import { accessPolicyRules } from './access.js';
 import { themePolicyRules } from './themeRules.js';
+import { processPolicyRules } from './process.js';
+import { mobileStorePolicyRules } from './mobileStore.js';
 const terminalStepTypes = new Set(['response', 'convert', 'revert']);
 const DESCRIPTION_EXEMPT_STEPS = new Set(['start']);
 const stepKindMatrix = {
@@ -19,6 +22,7 @@ const stepKindMatrix = {
     email: ['workflow', 'automation', 'middleware'],
     'file-upload': ['workflow', 'automation', 'middleware'],
     microfunction: ['workflow', 'automation', 'middleware'],
+    process: ['workflow', 'automation'],
     variable: ['middleware'],
     'set-user': ['middleware'],
     setcookie: ['middleware'],
@@ -146,13 +150,24 @@ export function readsBeforeGuard(source, root) {
  * code.ts:49). Eşleşme yoksa flow-engine.ts:79 sessizce durur. Studio tarafında da zincir
  * `sourceBranch === 'always'` ile çizilir (EventActionsStart.svelte:47, EventActionsItem.svelte:298).
  * condition dalları rule id'sidir (serbest), microservice'te 'success' yalnız eski şema için
- * yaşatılır (microservice.ts:144).
+ * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
+ * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
+ * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
+ * geriye dönük zararsızdır.
  */
 const flowBranchNames = {
     start: ['always'],
-    microservice: ['always', 'success'],
+    microservice: ['always', 'success', 'error'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
+    haptic: ['always'],
+    location: ['always', 'error'],
+    'notification-permission': ['always'],
+    'notification-schedule': ['always', 'error'],
+    'notification-cancel': ['always'],
+    bpm: ['always', 'success', 'fail'],
+    permission: ['always'],
+    'open-settings': ['always'],
     end: []
 };
 /**
@@ -163,8 +178,19 @@ const flowBranchNames = {
  */
 export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
-    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function'
+    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
+    'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm',
+    'permission', 'open-settings'
 ]);
+/**
+ * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
+ * `HAPTIC_STYLES`/`LOCATION_ACCURACIES`'in aynası (`test/flow-step-parity.test.ts` bağlar); backend
+ * `FlowDtoValidator` aynı kümeyle 400 döner. Kök `docs/adr/0003-cihaz-yetenegi-adimlari.md`.
+ */
+export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
+export const locationAccuracies = new Set(['low', 'balanced', 'high']);
+/** `permission` adımının kipleri — `@ng-apps/flow` `PERMISSION_MODES`'un aynası (kök ADR 0010); tür adını gateway bilmez, backend doğrular. */
+export const permissionStepModes = new Set(['request', 'check']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -176,16 +202,17 @@ const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}
 // Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
 const flowLiteralTextFields = new Map([
     ['alert', ['message', 'description']],
-    ['confirm', ['message', 'title', 'confirmText', 'cancelText']]
+    ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
+    ['share', ['title']],
+    ['notification-schedule', ['name', 'title', 'path']],
+    ['notification-cancel', ['name']]
 ]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
-// Barındırıcıya özel tipler (`navigate` web'de, `confirm`/`download` mobilde register edilmez)
-// BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten `redirect`e çeviriyor
-// (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da koşar, yani vaka
-// uyarılmaz, ORTADAN KALKAR. Geriye kalan `confirm`/`download` tek başına kusur değildir: sayfa
-// tek bir uygulamaya aittir (`Page.ApplicationId`), uygulamanın tipi web ya da mobile'dır
-// (`ApplicationType.cs`) ve gateway hangisi olduğunu bilmez. Mobil ayağı uygulama tarafında
-// kapanır (`ScreenRuntime.tsx`), lint'te değil.
+// Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
+// `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
+// koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
+// ve barındırıcı sözlüğü `platform/*.ts`'tedir (`profile.steps`); mobil farkları orada `MOB-005`
+// olarak konuşulur (`platform/lint.ts`). Yeni mobil runtime `confirm`/`download`'ı kaydeder.
 const flowUnregisteredStepTypes = new Set(['end', 'query']);
 const flowSetterIterateeTypes = new Set(['change', 'fill']);
 function flowStepList(value) {
@@ -305,25 +332,71 @@ function writesRolesWithoutSlug(entityId, parameters) {
 }
 const rolesSlugMessage = "Built-in 'roles' entity'sine slug YAZMADAN rol satırı ÜRETİLİYOR (operation create/upsert). Insert 200 döner, satır role_list'te görünür ve page.roleIds ile bağlanır — ama yetkilendirme SLUG karşılaştırır: platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir ve Authorized(user.roles) o rol için hiçbir zaman tutmaz. fields'a slug'ı ekleyin ('super-admin' slug'ını vermeyin — platform süper yöneticiyi o slug ile arar). Upsert'te slug'ı İFADEYLE üretmeyin: UPDATE yolunda ifade yeniden değerlendirilir ve var olan rolün slug'ı sessizce değişir (MS-016) — üretilen slug'ı yalnız create ucunda yazın. Rolü kullanıcıya bağlamak ayrı bir user_roles satırıdır.";
 const contractKeys = ['returnDtoId', 'parameterDtoId', 'returnBehavior', 'parameterBehavior'];
-const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/**
+ * Filtre işleci sözlüğü — backend `OperatorType` enum'u (paketlenmiş `Filter` şeması; eşitliği
+ * `test/filter-operators.test.ts` kilitler). Studio filtre ARAYÜZÜNÜN sözlüğü (`notContains`, `between`…,
+ * `componentCatalog.ts`) ayrı bir kavramdır: arayüz onları bu işleçlere çevirir.
+ */
+export const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/** Ajanların sık yazdığı yanlış adlar → doğru işleç. Yalnız ÖNERİLİR, sessizce çevrilmez. */
+const filterOperatorSuggestions = {
+    ne: 'neq', '!=': 'neq', '<>': 'neq', noteq: 'neq', notequal: 'neq', notequals: 'neq', not_eq: 'neq',
+    '=': 'eq', '==': 'eq', equal: 'eq', equals: 'eq',
+    '<': 'lt', '<=': 'lte', '>': 'gt', '>=': 'gte',
+    like: 'contains', ilike: 'icontains', nin: 'notin', 'not in': 'notin', not_in: 'notin'
+};
 function flattenFilterTree(filters) {
     return filters
         .filter((filter) => Boolean(filter) && typeof filter === 'object')
         .flatMap(filter => [filter, ...flattenFilterTree(asArray(filter.children))]);
 }
+/**
+ * Bilinmeyen işleçler, öneriyle: `status: 'ne' (neq mı demek istedin?)`. Grup çocukları da okunur. Ad
+ * büyük/küçük harfe DUYARLI eşlenir — backend de öyle eşler (`GetValueFromDescription` `==`); `NEQ`
+ * bilinmeyendir ve küçük harfli adı önerilir.
+ */
+function unknownFilterOperators(filters) {
+    return flattenFilterTree(filters)
+        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator)))
+        .map(filter => {
+        const operator = String(filter.operator);
+        const lower = operator.toLowerCase();
+        const suggestion = filterOperators.has(lower) ? lower : filterOperatorSuggestions[lower];
+        return `${String(filter.field ?? filter.fieldSlug ?? filter.fieldId ?? '?')}: '${operator}'${suggestion ? ` (${suggestion} mı demek istedin?)` : ''}`;
+    });
+}
+const unknownOperatorConsequence = "Bilinmeyen işleç yola ve backend sürümüne göre ya 400 alır ya sessizce 'eq'e düşer ve sorgu yanlış sonuç döner (2026-09-27'den sonraki backend uç çağrısının `filters` parametresini 400 ile reddeder; workflow tablo adımı hâlâ sessizce 'eq' yapar); ad büyük/küçük harfe duyarlıdır — doğru işleci yazın";
 function unknownOperatorFindings(ruleId, owner, filters) {
-    const unknownOperators = flattenFilterTree(filters)
-        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator).toLowerCase()))
-        .map(filter => `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${String(filter.operator)}'`);
+    const unknownOperators = unknownFilterOperators(filters);
     return unknownOperators.length > 0
         ? [{
                 ruleId,
                 severity: 'block',
-                message: `${owner}: bilinmeyen filtre operatörü — ${unknownOperators.join(', ')}. Platform bilinmeyen operatörü 400 ile REDDETMEZ, sessizce 'eq'e düşürür (EnumExtensions.GetValueFromDescription null → default) ve uç testten geçip yanlış çalışır. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
+                message: `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
                 guide: 'ngapps://guides/microservice'
             }]
         : [];
 }
+/**
+ * Çalışma anında gelen filtre (`row_list.filters`, `microservice_execute` `filters` parametresi): dizi ya
+ * da JSON dizesi. Bilinmeyen işleç varsa hata METNİ döner — araç isteği göndermeden 400 verir
+ * (plans/mobil-plantcare-acigi g-03). Ayrıştırılamayan değer backend'e bırakılır.
+ */
+export function filterOperatorError(owner, filters) {
+    let parsed = filters;
+    if (typeof filters === 'string') {
+        try {
+            parsed = JSON.parse(filters);
+        }
+        catch {
+            return undefined;
+        }
+    }
+    const unknownOperators = Array.isArray(parsed) ? unknownFilterOperators(parsed) : [];
+    return unknownOperators.length > 0
+        ? `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. İstek GÖNDERİLMEDİ. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')}.`
+        : undefined;
+}
 function isReadOperation(parameters) {
     const operation = String(parameters?.operation ?? '').toLowerCase();
     return !writeOperations.has(operation);
@@ -433,6 +506,27 @@ const isRecord = (value) => Boolean(value) && typeof value === 'object' && !Arra
 const functionsGuide = 'ngapps://guides/functions';
 /** FN-006: bu kadar dolu satırdan uzun gövde yorumsuz kalmaz; tek satırlık `return` yorum istemez. */
 const FUNCTION_COMMENT_MIN_LINES = 5;
+/**
+ * BPM-022: `process.*` sistem işlemi karşılığı olan `Page.bpm` üyeleri (backend
+ * `SystemOperationConstants`, zeyrek-backend/docs/bpm/sablon-paketleri.md §Sistem işlemleri).
+ * `start`, `cases`, `documents`, `analytics`, `exportLog`, `offline`, `legalHold(s)` karşılıksızdır;
+ * onları kullanan akışa uyarı vermek yol gösteremeyen gürültüdür.
+ */
+const PAGE_BPM_SYSTEM_MEMBERS = new Set([
+    'definitions', 'users', 'directory', 'tasks', 'task', 'instances', 'instance', 'timeline', 'signal',
+    'batch', 'batchOperation', 'delegations', 'delegate', 'delegation', 'handover', 'notifications',
+    'notification', 'preferences', 'override', 'report'
+]);
+/**
+ * BPM-022: karşılığı olan üyenin sistem işlemi OLMAYAN alt çağrıları (bpm.runtime.ts). Bunlar ve
+ * `batch('start', …)` eski yolda kalır; taze bağlam incelemesi (2026-09-23) üye düzeyindeki bakışın
+ * `instance(id).exportLedger()` gibi rehberin kendi önerdiği çağrıları uyardığını buldu.
+ */
+const PAGE_BPM_UNMAPPED_CALLS = new Set([
+    'tasks.calendar', 'task.comment', 'task.workedMinutes', 'task.assistant', 'instance.exportLedger',
+    'instance.watch', 'instance.unwatch', 'instance.comments', 'handover.history', 'override.conflicts',
+    'batchOperation.get'
+]);
 export const policyRules = [
     {
         id: 'MS-001',
@@ -712,7 +806,7 @@ export const policyRules = [
                 return [{
                         ruleId: 'WF-005',
                         severity: 'block',
-                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware.`,
+                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware; process workflow+automation.`,
                         guide: 'ngapps://guides/workflow'
                     }];
             });
@@ -2251,6 +2345,48 @@ export const policyRules = [
                 }];
         })
     },
+    {
+        id: 'FLOW-028',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yetki şablonu (access.json 1.7.0) 33 kod adımında platformun oturum uçlarına ham fetch atıyordu ('/api/' + project + '/runtime/' + application + '/auth/me' ve '/auth/sign-in'). Ham istek ng-apps-flow/src/api/instance.ts'in yaptıklarını atlar: X-Environment çözümü (resolveRuntimeEnvironment; elle ayrıştırma /preview şeridinde index -1 verir), CSRF başlığı (çerezli POST 403 CsrfTokenMismatchException — S2-37 · S3-7), 401'de tek refresh + yeniden deneme, ve ExecuteMicroserviceBehavior'ın microservice.execute kararı ile gölge günlüğü. Düzeltme 2026-09-22: giriş ve oturum bilgisi access.session.create / access.session.get system operation'larına taşındı (backend ADR 0004); çıkış 2026-10-01'de access.session.delete ile eklendi. Dış API'ye fetch meşrudur; kural yalnız göreli platform yollarını (/api/, /m/, /runtime/) görür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'code')
+            .flatMap((step) => {
+            const body = String((step.args ?? {}).value ?? '');
+            if (!/\bfetch\s*\(|XMLHttpRequest/.test(body) || !/['"`]\/(api|m|runtime)\/|\/runtime\//.test(body))
+                return [];
+            return [{
+                    ruleId: 'FLOW-028',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' code adımı platformun kendi ucuna ham istek atıyor. Bu yol runtime'ın istek katmanını atlar: X-Environment elle kurulur, CSRF başlığı yoktur (çerezli POST 403 CsrfTokenMismatchException), 401'de oturum yenilenmez ve istek microservice.execute kararını ve gölge günlüğünü hiç görmez. Platform davranışını çağırmanın yolu microservice adımıdır: karşılığı olan bir system operation varsa (microservice_system_operation_list — giriş için access.session.create, oturumdaki kullanıcı için access.session.get, çıkış için access.session.delete) source:'system' bir uç açın ve akışa type:'microservice' adımı koyun; sonuç Steps.<adım>.data'dadır, kod adımı yalnız onu biçimler.`,
+                    guide: 'ngapps://guides/page'
+                }];
+        })
+    },
+    {
+        id: 'FLOW-037',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "mobile-qm koşusu 2026-10-01: çıkış akışı oturumu storage adımları (ZY_App_qm/ZY_AppRefresh_qm/ZY_Csrf_qm = '') ve kod adımında cookie.remove ile kapatmaya çalıştı. Platformun oturum çerezleri (AppSessionConstants: ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) sunucunun HttpOnly Set-Cookie'sidir: web'de document.cookie onları göremez, mobilde akışın cookie/storage deposu Keychain/kv-store'dur ve iOS NSHTTPCookieStorage'a ulaşmaz. Refresh ailesi sunucuda iptal edilmediği için kapat-aç sonrası auth/refresh oturumu yeniden yazdı (kullanıcı girişli açıldı). Çıkış access.session.delete system operation'ıdır (guard 2026-10-01'den beri session: süresi dolmuş jetonda 401, runtime yenileyip tekrarlar; uç isAnonymous:true kalır): aileyi iptal eder, üç çerezi yanıtla siler",
+        check: definition => flowAllSteps(definition)
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const name = String(args.name ?? '');
+            const body = String(args.value ?? '');
+            const touchesSessionCookie = (step.type === 'storage' || step.type === 'setcookie')
+                ? /^ZY_(App|AppRefresh|Csrf)_/.test(name)
+                : step.type === 'code' && /\bcookie\s*\.\s*(remove|set)\s*\(/.test(body) && /['"`]ZY_(App|AppRefresh|Csrf)_/.test(body);
+            if (!touchesSessionCookie)
+                return [];
+            return [{
+                    ruleId: 'FLOW-037',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' adımı platformun oturum çerezine (ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) akıştan dokunuyor. Bu çerezler sunucunun HttpOnly çerezleridir: akışın cookie/storage deposu onlara ulaşmaz (mobilde Keychain/kv-store, web'de document.cookie) ve refresh ailesi sunucuda açık kaldığı için kullanıcı kapat-aç sonrası yeniden girişli olur. Çıkış için source:'system', systemOperation:'access.session.delete', isAnonymous:true bir uç açın ve akışa type:'microservice' adımı koyun, ardından redirect ile giriş sayfasına gidin — uç refresh ailesini iptal eder ve üç çerezi yanıtla siler. Uygulamanın kendi değerleri (ör. 'beni hatırla' bayrağı) storage'da kalabilir.`,
+                    guide: 'ngapps://guides/access'
+                }];
+        })
+    },
     {
         id: 'FLOW-020',
         module: 'flow',
@@ -2374,7 +2510,7 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu)",
+        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
@@ -2387,16 +2523,221 @@ export const policyRules = [
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: type.startsWith('notification-')
+                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
+                    : type === 'share'
+                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
+                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
                 guide: 'ngapps://guides/page'
             }));
         })
     },
+    {
+        id: 'FLOW-035',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "share adımının argümanı StepManagementArgument'ın Title/Message/Path alanlarında saklanır (StepType.cs `share`, kök docs/adr/0001-share-akis-adimi.md); url/link/text gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım hiçbir şey paylaşmadan akış sürer. `message` ve `path` İFADEDİR (@ng-apps/flow resolveShareContent → runCode): tırnaksız 'https://…' JS'te etiket + yorumdur, undefined döner",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'share')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const filled = (key) => typeof args[key] === 'string' && String(args[key]).trim().length > 0;
+            const findings = [];
+            const strayLinks = ['url', 'link', 'href'].filter(filled);
+            const strayTexts = ['text', 'body', 'content'].filter(filled);
+            if (strayLinks.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('path') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının bağlantısı args.${strayLinks.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım bağlantısız kalır. Bağlantıyı args.path'e ifade olarak yazın — ör. "'https://ornek.app/urun/' + Page.queryParams.id".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            if (strayTexts.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('message') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının metni args.${strayTexts.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu sessizce düşürür. Metni args.message'a ifade olarak yazın — ör. "'Şuna bak: ' + Page.properties.name".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            for (const key of ['message', 'path']) {
+                const value = typeof args[key] === 'string' ? String(args[key]).trim() : '';
+                if (/^[a-z][a-z\d+\-.]*:\/\//i.test(value)) {
+                    findings.push({
+                        ruleId: 'FLOW-035',
+                        severity: 'block',
+                        message: `'${flowStepLabel(step)}' share adımının '${key}' alanı tırnaksız bir adres: '${value}'. Bu alan İFADEDİR — tırnaksız adres JS'te etiket + yorumdur, undefined döner ve hiçbir şey paylaşılmaz. Dize olarak yazın: "'${value}'".`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-029',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Cihaz yeteneği adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): haptic.value = stil, location.value = doğruluk, location.isRaw = adres çözülmesin. İkisi de DÜZ METİNDİR (@ng-apps/flow hapticStyle/locationAccuracy), kümede olmayan değer backend FlowDtoValidator'da 400 alır; style/accuracy/reverseGeocode gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım varsayılanla (medium / balanced / adresli) koşar",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'haptic' || step.type === 'location')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            // Backend (FlowDtoValidator) yalnız tamamen boşluk olanı boş sayar; kümeyle karşılaştırmayı kırpmadan yapar.
+            const raw = typeof args.value === 'string' ? args.value : '';
+            const value = raw.trim() ? raw : '';
+            const haptic = step.type === 'haptic';
+            const allowed = haptic ? hapticStyles : locationAccuracies;
+            const field = haptic ? 'stil' : 'doğruluk';
+            const findings = [];
+            const stray = (haptic ? ['style', 'type', 'feedback'] : ['accuracy', 'precision'])
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (value && !allowed.has(value)) {
+                const unquoted = value.replace(/^['"`](.*)['"`]$/, '$1');
+                const trimmed = value.trim();
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'block',
+                    message: allowed.has(unquoted)
+                        ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri tırnaklı yazılmış: ${value}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`
+                        : allowed.has(trimmed)
+                            ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değerinin çevresinde boşluk var: '${value}'. Platform kırpmadan karşılaştırır ve 400 döner — args.value: '${trimmed}' yazın.`
+                            : `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri '${value}' tanınmıyor; platform 400 döner. Kullanılabilir: ${[...allowed].join(', ')} (boş → ${haptic ? 'medium' : 'balanced'}).`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: value ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri args.${stray.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım varsayılanla (${haptic ? 'medium' : 'balanced'}) koşar. Değeri args.value'ya düz metin olarak yazın — ör. args.value: '${haptic ? 'success' : 'high'}'.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (!haptic && ['reverseGeocode', 'address', 'geocode'].some(key => args[key] !== undefined)) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' location adımında adres anahtarı sözleşmede YOK ve sessizce düşer. Adres varsayılan olarak çözülür (cihazda; web'de hep null); kapatmak için args.isRaw: true yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-038',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "İzin adımının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0010-izin-katalogu-tarama-ve-derlemede-budama.md): permission.value = izin türü (katalog anahtarı, DÜZ METİN — ifade değil: backend kullanım taramasında bu değeri yazılı okur ve mağaza derlemesinin taşıdığı izinleri ondan hesaplar), permission.name = kip (@ng-apps/flow PERMISSION_MODES; boş = request). Türü ya da kipi geçersiz adım backend FlowDtoValidator'da 422 alır; kind/mode/permission gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür. Hangi türlerin desteklendiğini gateway bilmez: mobile_store_get { detail: ['permissions'] }",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'permission')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const kind = typeof args.value === 'string' ? args.value : '';
+            const mode = typeof args.name === 'string' ? args.name : '';
+            const stray = ['kind', 'mode', 'permission', 'type'].filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            const findings = [];
+            const unquoted = kind.replace(/^['"`](.*)['"`]$/, '$1');
+            if (!kind.trim()) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü yok: args.value izin anahtarını ister (varsayılanı yoktur; platform 422 döner). Uygulamanın isteyebileceği izinler: mobile_store_get { detail: ['permissions'] } — support: 'supported' satırlarının key'i.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (unquoted !== kind) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü tırnaklı yazılmış: ${kind}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (flowExpressionLooking.test(kind) || /\{\{/.test(kind) || !/^[a-z][A-Za-z0-9]*$/.test(kind)) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü yazılı bir izin anahtarı değil: '${kind}'. Tür İFADE olamaz — mağaza derlemesinin hangi izni taşıyacağı bu değerden, akış koşmadan hesaplanır. Türe göre dallanmak için condition adımıyla her tür için ayrı bir permission adımı kurun.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (mode.trim() && !permissionStepModes.has(mode)) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının kipi '${mode}' tanınmıyor; platform 422 döner. Kullanılabilir: ${[...permissionStepModes].join(', ')} (boş → request). check yalnız okur, sistem penceresi açmaz.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: kind.trim() ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' permission adımında args.${stray.join('/args.')} alanı var: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür. Tür args.value'ya, kip args.name'e düz metin olarak yazılır — ör. args: { value: '<izin anahtarı>', name: 'check' }.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-030',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
+            const findings = [];
+            const schedule = step.type === 'notification-schedule';
+            const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (!text('name')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (schedule && !text('value')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı yok: args.value bir İFADEDİR ve sonucu 'HH:mm' (her gün), { weekday: 1-7, time: 'HH:mm' } (her hafta, 1 = Pazartesi) ya da ISO tarih-saattir (bir kez) — ör. "tp_saat.value" ya da "'08:30'".`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            const literal = /^'([^']*)'$/.exec(text('value'))?.[1];
+            if (schedule && literal !== undefined && !/^([01]?\d|2[0-3]):[0-5]\d$/.test(literal) && Number.isNaN(Date.parse(literal))) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı '${literal}' okunamaz: 'HH:mm' (00:00–23:59), ISO tarih-saat ya da { weekday, time } nesnesi yazın. Çalışmada adım error dalına düşer (status: 'invalid').`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımında args.${stray.join('/args.')} sözleşmede YOK ve platform onu sessizce düşürür. Kimlik args.name, zaman args.value (ifade), metin args.message (ifade), başlık args.title.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
     {
         id: 'FLOW-023',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil ScreenRuntime.tsx alert·redirect·navigate·storage·setcookie ekler. navigate web'de, confirm/download mobilde YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', confirm/download 'web'; End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
+        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil @ng-apps/ui-native runtime-tasks.ts alert·confirm·redirect·navigate·storage·setcookie·download ekler. navigate web'de YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
         check: definition => {
             const steps = flowAllSteps(definition);
             // Studio her akış tuvaline dekoratif bir End düğümü koyar ve onu sildirmez; zararlı olan
@@ -2723,27 +3064,27 @@ export const policyRules = [
         })
     },
     {
-        id: 'FLOW-027',
+        id: 'BPM-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "2026-10-01 kanban ölçüm turu: steps ve errorSteps'te AYNI stepId ('start') flow_create'te 500 `An item with the same key has already been added. Key: start [ArgumentException]` verdi — platform adımları tek sözlüğe stepId anahtarıyla koyuyor, hata mesajı çakışmanın stepId olduğunu söylemiyor",
-        check: definition => {
-            const counts = new Map();
-            for (const step of flowAllSteps(definition)) {
-                if (!step.stepId)
-                    continue;
-                counts.set(step.stepId, (counts.get(step.stepId) ?? 0) + 1);
-            }
-            const repeated = [...counts].filter(([, count]) => count > 1).map(([stepId]) => stepId);
-            return repeated.length === 0
+        sourceRef: "bpm-management 1.1.0 sayfaları süreç çalışma zamanına yalnız source: system mikroservislerle gider (plans/bpm-sistem-mikroservis D-1 a, ADR-0004); Page.bpm aynı uçlara mikroservissiz gider, rehberi okuyan ajanlar yine de yazdı (plans/bpm/demo koşuları)",
+        check: definition => flowAllSteps(definition).flatMap((step) => {
+            const calls = [...new Set(flowExpressionSites(step)
+                    .flatMap(site => [...site.expression.matchAll(/\bPage\s*\.\s*bpm\b(?:\s*\.\s*([A-Za-z_$][\w$]*))?(\s*\((?:[^()]|\([^()]*\))*\))?(?:\s*\.\s*([A-Za-z_$][\w$]*))?/g)])
+                    .filter(([, member = '', callArguments = '', subCall]) => member === ''
+                    || (PAGE_BPM_SYSTEM_MEMBERS.has(member)
+                        && !(subCall && PAGE_BPM_UNMAPPED_CALLS.has(`${member}.${subCall}`))
+                        && !(member === 'batch' && /^\s*\(\s*['"]start['"]/.test(callArguments))))
+                    .map(([, member, , subCall]) => (member ? `Page.bpm.${member}${subCall ? `(…).${subCall}` : ''}` : 'Page.bpm')))];
+            return calls.length === 0
                 ? []
                 : [{
-                        ruleId: 'FLOW-027',
-                        severity: 'block',
-                        message: `stepId'ler akışta (steps + errorSteps birlikte) benzersiz olmalı; tekrar edenler: ${repeated.map(id => `'${id}'`).join(', ')}. Platform bunları tek sözlüğe anahtar olarak koyar ve "An item with the same key has already been added" ile 500 verir (mesaj stepId'den söz etmez). errorSteps'te de kendi 'start' adımı gerekiyorsa ona farklı bir stepId verin (örn. 'err_start').`,
-                        guide: 'ngapps://guides/page'
+                        ruleId: 'BPM-022',
+                        severity: 'warn',
+                        message: `'${flowStepLabel(step)}' adımı Page.bpm çağırıyor (${calls.join(', ')}). Sayfa akışı süreç çalışma zamanıyla source: system mikroservis üzerinden konuşur: microservice_system_operation_list ile process.* işlemini seçin, microservice_create { source: 'system', systemOperation } ile ucu kurun ve çağrıyı bir microservice adımına taşıyın; sonucu okuyan code adımı Steps.<adım>.data / .error'dan okur. Page.bpm eski yoldur — izin ve görünürlük kararı sistem işleminde aynı servisten gelir, uç Studio'da ve microservice_execute ile görünür.`,
+                        guide: 'ngapps://guides/bpm'
                     }];
-        }
+        })
     },
     {
         id: 'MS-013',
@@ -2986,10 +3327,55 @@ export const policyRules = [
                     }];
         }
     },
+    {
+        id: 'MW-006',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "Kimlik devri değeri triggerSource'ta DEĞİL context'te durur: WorkflowContext.SetTriggerSource triggerSource'a { type, id, name, slug, roles, pathAndQuery }, context'e { type, name, roles, path, impersonatedUserId, language } yazar (WorkflowContext.cs:216-235). triggerSource.impersonatedUserId her zaman undefined okunur ve önizleme hep jeton yoluna düşer (ZM-22, koşu 37)",
+        check: (definition) => {
+            const readers = workflowSteps(definition).filter(step => /\btriggerSource\s*\.\s*impersonatedUserId\b/.test(JSON.stringify(step.rule ?? {})));
+            return readers.length === 0
+                ? []
+                : [{
+                        ruleId: 'MW-006',
+                        severity: 'warn',
+                        message: `'${readers.map(stepLabel).join(', ')}' kimlik devrini triggerSource.impersonatedUserId'den okuyor; bu alan yok, değer hep undefined gelir. Doğrusu context.impersonatedUserId — ve yalnız start adımının impersonation dalında: değer yalnız doğrulanmış Studio önizlemesinde dolar, başka yerde yetki kararı için kullanılmaz (platform_guide('middleware') Tarif 1c).`,
+                        guide: 'ngapps://guides/middleware'
+                    }];
+        }
+    },
+    {
+        id: 'MW-007',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "Sayfa middleware'inin variable adımı WorkflowContext değişkenine yazar ve sayfa yanıtı bu değişkenleri Page.variables olarak istemciye taşır (GetPageBySlugQuery → PageAppDto.Map(workflowContext.ClientVariables), önbellek isabetinde ExecutePageBehavior). rule.isPrivate işaretli değişken sunucuda kalır (WorkflowContext.AddPrivateVariable). qm '[SY] Settings Setter' { ...settings.data } ile sso_client_secret'ı istemciye verdi (2026-10-02)",
+        check: (definition, context) => {
+            if (context.workflowKind !== 'middleware')
+                return [];
+            const exposing = workflowSteps(definition).filter(step => {
+                if (step.type !== 'variable' || step.rule?.isPrivate === true)
+                    return false;
+                const expression = String(step.rule?.expression ?? '');
+                return /\.\.\.\s*[A-Za-z_$]/.test(expression) || /secret|password|passwd|api_?key|private_?key/i.test(expression);
+            });
+            return exposing.length === 0
+                ? []
+                : [{
+                        ruleId: 'MW-007',
+                        severity: 'warn',
+                        message: `'${exposing.map(stepLabel).join(', ')}' değişkeni bütün bir kaydı yayıyor ya da gizli değer adı taşıyor. Bu middleware bir SAYFAYA bağlanırsa değişken Page.variables ile istemciye gider (tarayıcıda/cihazda okunur). Gizli değer taşıyan değişkene rule.isPrivate: true verin — aynı istekteki sonraki middleware'ler okumaya devam eder, istemciye gitmez (sayfanın akışları istemcide koşar ve Page.variables'ı okur: işaretli değişken orada undefined'dır); istemcinin gerçekten ihtiyaç duyduğu alanları ayrı bir değişkende izin listesiyle kurun: '({ app_name: settings.data.app_name })' (platform_guide('middleware') Tarif 2). Yalnız microservice uçlarına bağlı middleware'de değişken istemciye dönmez.`,
+                        guide: 'ngapps://guides/middleware'
+                    }];
+        }
+    },
     // Backend doğrulayıcılarının aynası (ENT-015…018, MS-017, WF-026, QRY/VIEW/DTO/ROW/DS/PRJ/TR/FLD/FILE/EXT):
     // tek liste `backendConstraints.ts`'te durur, buradan yalnız politika motoruna katılır.
     ...themePolicyRules,
-    ...backendPolicyRules()
+    ...mobileStorePolicyRules,
+    ...backendPolicyRules(),
+    // Organizasyon şeması, erişim politikası ve alan koruması (ORG/ACC/PROT) — `access.ts`.
+    ...accessPolicyRules(),
+    ...processPolicyRules()
 ];
 /**
  * WF-MF-001'in ikinci yarısı. Bir adımın koşup koşmayacağı yalnız GÖVDEDEN anlaşılamaz: karar