@appaflytech/zeyrek-ai-mcp 0.0.35 → 0.0.37

package/dist/server.js

@@ -39,6 +39,20 @@ import { registerMergeTools } from "./tools/merges.js";
 import { registerRevisionTools } from "./tools/revisions.js";
 import { registerActivityTools } from "./tools/activities.js";
 import { registerDtoTools } from "./tools/dtos.js";
+import { registerConnectDataTools } from "./tools/connectData.js";
+import { registerBpmTools } from "./tools/bpm.js";
+import { registerBpmRuntimeTools } from "./tools/bpmRuntime.js";
+import { registerBpmOperationsTools } from "./tools/bpmOperations.js";
+import { registerBpmRoutingTools } from "./tools/bpmRouting.js";
+import { registerBpmGovernanceTools } from "./tools/bpmGovernance.js";
+import { registerDecisionTools } from "./tools/decisions.js";
+import { registerCaseRuntimeTools } from "./tools/caseRuntime.js";
+import { registerCaseTools } from "./tools/case.js";
+import { registerConnectorTools } from "./tools/connectors.js";
+import { registerBpmReportingTools } from "./tools/bpmReporting.js";
+import { registerModuleTools } from "./tools/modules.js";
+import { registerMobileTools } from "./tools/mobile.js";
+import { registerMobileStoreTools } from "./tools/mobileStore.js";
 const moduleRegistrations = {
     platform: registerPlatformTools,
     project: registerProjectTools,
@@ -80,9 +94,25 @@ const moduleRegistrations = {
     merge: registerMergeTools,
     activity: registerActivityTools,
     revision: registerRevisionTools,
+    connectData: registerConnectDataTools,
+    bpm: registerBpmTools,
+    bpmRuntime: registerBpmRuntimeTools,
+    bpmOperations: registerBpmOperationsTools,
+    bpmRouting: registerBpmRoutingTools,
+    bpmGovernance: registerBpmGovernanceTools,
+    decision: registerDecisionTools,
+    connector: registerConnectorTools,
+    bpmReporting: registerBpmReportingTools,
+    case: registerCaseTools,
+    caseRuntime: registerCaseRuntimeTools,
+    module: registerModuleTools,
+    mobile: (server, platform) => {
+        registerMobileTools(server, platform);
+        registerMobileStoreTools(server, platform);
+    },
 };
 export function createGatewayServer(platform) {
-    const server = rejectUnknownArguments(instrumentServer(new McpServer({ name: "ngapps", version: "0.1.0" }), platform.config));
+    const server = rejectUnknownArguments(instrumentServer(new McpServer({ name: "ngapps", version: "0.1.0" }), platform.config), platform);
     for (const moduleName of platform.config.modules) {
         moduleRegistrations[moduleName](server, platform);
     }

package/dist/tools/access.js

@@ -1,11 +1,81 @@
-import { projectParam, environmentParam, pagingParams, readOnly } from './common.js';
+import { guid, projectParam, environmentParam, pagingParams, readOnly, writes, updates, destructive } from './common.js';
+import { PlatformApiError } from '../platform/errors.js';
 import { handle } from '../platform/responses.js';
+import { registerOrganizationStructureTools } from './organizationStructure.js';
+import { registerAccessOperationTools } from './accessOperations.js';
+import { registerAccessPolicyTools } from './accessPolicies.js';
+import { registerAccessRuntimeTools } from './accessRuntime.js';
+import { randomUUID } from 'node:crypto';
 import { z } from 'zod';
+function count(value) {
+    return Array.isArray(value) ? value.length : 0;
+}
+/**
+ * Gateway'in jetonu organizasyonu yalnız SLUG olarak taşır (`UserService.SignInAsync` claim'i
+ * `organization`) ve `/connect/userinfo` organizasyon id'si döndürmez; şema uçları ise id ister.
+ * Id `ORGANIZATION` ayarındaki slug ile organizasyon listesinden bulunur.
+ */
+export async function currentOrganizationId(platform, tool = 'organization_schema_get') {
+    const slug = platform.config.organization;
+    // Üç tuzak (OrganizationRepository.FilterAsync + OrganizationDto, canlı ölçüm 2026-09-15):
+    // `includeDefault` olmadan liste varsayılan organizasyonu GİZLER — yerel kurulumun organizasyonu
+    // tam da odur —, `searchTerm` adda arar ve DTO'da `slug` yoktur: `ORGANIZATION` host'un alt
+    // alan adıdır (`subDomain`). Arama terimi gönderilmez, eşleşme `subDomain` ile yapılır.
+    // Liste ucu `organization.read` ister (OrganizationsController.Get), şema ucu yalnız
+    // `organization.schema.read`: şemayı okuyabilen kullanıcı listeyi okuyamayabilir.
+    const payload = await platform.org('GET', '/organizations', { query: { pageLength: 200, includeDefault: true } }).catch((error) => {
+        if (error instanceof PlatformApiError && error.status === 403) {
+            throw new PlatformApiError(`${tool}: organizasyon id'si bulunamadı — gateway id'yi GET /organizations listesinden okur, o uç 'organization.read' izni ister ve bu kullanıcıda yok (şema ucu yalnız 'organization.schema.read' ister). organizationId'yi açıkça verin.`, 403, error.code);
+        }
+        throw error;
+    });
+    const found = (payload?.data ?? []).find(entry => entry.subDomain === slug || entry.slug === slug);
+    if (typeof found?.id !== 'string') {
+        throw new PlatformApiError(`${tool}: '${slug}' slug'lı organizasyon listede bulunamadı (GET /organizations). organizationId'yi açıkça verin.`, 404);
+    }
+    return found.id;
+}
+const unitTypes = ['holding', 'company', 'branch', 'region', 'department', 'team', 'other'];
+const draftWriteNote = "Yazma YALNIZ TASLAĞA gider (PUT /organizations/{id}/schema); hiçbir projeye inmez ve production'a dokunmaz. Abone projeler ancak organization_schema_publish ile güncellenir ve o çağrı production'a yazdığı için AI'ın işi değildir — taslağı AI yazar, YAYINI İNSAN yapar. Farkı yayından önce organization_schema_diff ile okuyun: `from` YAYINLANMIŞ bir sürüm (genelde publishedVersion), `to` verilmezse taslakla karşılaştırır. Organizasyonda hiç yayın yoksa taban da yoktur ve diff 404 döner — o durumda taslağı organization_schema_get ile okuyun.";
+function withoutUndefined(input) {
+    return Object.fromEntries(Object.entries(input).filter(([, value]) => value !== undefined));
+}
+function draftList(value) {
+    return Array.isArray(value) ? value : [];
+}
+/**
+ * Taslak tek parça yazılır: platformda düğüm başına uç YOKTUR, yönetim konsolu da üç listeyi
+ * olduğu gibi gönderir (`PUT /organizations/{id}/schema`). Tek düğüm ekleyen araçlar bu yüzden
+ * önce taslağı okur, listeyi değiştirir ve tamamını geri yazar — arada başkası yazdıysa onun
+ * değişikliği ezilir (bilinçli sınır: taslakta eşzamanlılık jetonu yok, TB-104 ile aynı çizgi).
+ */
+async function readSchemaDraft(platform, organizationId) {
+    const payload = await platform.org('GET', `/organizations/${organizationId}/schema`);
+    const data = payload?.data ?? {};
+    return { units: draftList(data.units), positions: draftList(data.positions), roles: draftList(data.roles) };
+}
+async function saveSchemaDraft(platform, organizationId, draft, change, writtenId) {
+    const payload = await platform.org('PUT', `/organizations/${organizationId}/schema`, { body: draft });
+    const data = (payload?.data ?? {});
+    return {
+        ...payload,
+        summary: {
+            organizationId,
+            ...(writtenId === undefined ? {} : { writtenId }),
+            draftVersion: data.draftVersion ?? 0,
+            publishedVersion: data.publishedVersion ?? null,
+            units: draftList(data.units).length,
+            positions: draftList(data.positions).length,
+            roles: draftList(data.roles).length
+        },
+        note: `${change} Değişiklik TASLAKTA durur; abone projelere inmesi için insanın organization_schema_publish çağırması gerekir.`
+    };
+}
 export function registerAccessTools(server, platform) {
     const config = platform.config;
     server.registerTool('role_list', {
         title: 'Rolleri listele',
-        description: "Projenin rollerini listeler. Uç YALNIZ id + name döner (backend RoleDto bu ikisini taşır) — SLUG BURADA YOKTUR ve iki anahtar farklıdır: page_create/page_update ve microservice_create'in roleIds alanı ID ister (microservice_patch'te aynı liste '/roles' yolundadır ve öğeleri { id, name } çiftidir — yamalanan belge okuma şeklidir), buna karşılık Authorized(user.roles) ile middleware'in kurduğu user.roles SLUG karşılaştırır (platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir). Slug'ı built-in 'roles' entity'sinden okuyun (sabit id 01917ede-88a2-72ea-8397-2619e5d5dca0; row_list/microservice). ROL OLUŞTURAN BİR TOOL YOKTUR ve olmamalıdır: roller built-in datasource'taki sıradan bir entity'dir (kolonlar id · name UNIQUE · slug). Uygulamanın rol yönetmesi gerekiyorsa yol entity_get('roles') + kendi microservice ucun (uç + sayfa) ve rolü kullanıcıya bağlayan user_roles satırı — MCP'den doğrudan yazma değil; reçete platform_guide('entity') §'Hazır entity'ler'. Projeyle birlikte gelen roller çoğu senaryoya yeter; önce bu listeye bakın.",
+        description: "Projenin rollerini listeler. Uç YALNIZ id + name döner (backend RoleDto bu ikisini taşır) — SLUG BURADA YOKTUR ve iki anahtar farklıdır: page_create/page_update ve microservice_create'in roleIds alanı ID ister (microservice_patch'te aynı liste '/roles' yolundadır ve öğeleri { id, name } çiftidir — yamalanan belge okuma şeklidir), buna karşılık Authorized(user.roles) ile middleware'in kurduğu user.roles SLUG karşılaştırır (platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir). Slug'ı built-in 'roles' entity'sinden okuyun (sabit id 01917ede-88a2-72ea-8397-2619e5d5dca0; row_list/microservice). ROL OLUŞTURAN BİR TOOL YOKTUR ve olmamalıdır: roller built-in datasource'taki sıradan bir entity'dir (kolonlar id · name UNIQUE · slug · origin). Uygulamanın rol yönetmesi gerekiyorsa yol entity_get('roles') + kendi microservice ucun (uç + sayfa) ve rolü kullanıcıya bağlayan user_roles satırı — MCP'den doğrudan yazma değil; reçete platform_guide('entity') §'Hazır entity'ler'. Projeyle birlikte gelen roller çoğu senaryoya yeter; önce bu listeye bakın. KOMPLEKS PROJEDE roller organizasyon şemasından gelir (roles.origin = 'organization'; bu uç origin'i döndürmez, row_list('roles') ile okuyun): şemadan gelen rol MCP'den yazılmaz, yönetim konsolunda düzenlenir; yetki page.roleIds ile değil access policy ile verilir (organization_schema_get).",
         inputSchema: { project: projectParam, environment: environmentParam },
         annotations: readOnly
     }, handle(config, async ({ project, environment }) => {
@@ -18,10 +88,307 @@ export function registerAccessTools(server, platform) {
         inputSchema: { project: projectParam, environment: environmentParam, searchTerm: z.string().optional(), ...pagingParams },
         annotations: readOnly
     }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/users', { environment, query })));
+    server.registerTool('user_create', {
+        title: 'Proje kullanıcısı oluştur',
+        description: "Projeye kullanıcı açar (POST /{project}/users). Kompleks projede kurulumun ilk adımıdır: kullanıcı önce burada doğar, sonra user_position_replace ile bir POZİSYONA oturtulur — yetkiyi veren koltuktur, buradaki roleIds değil (ACC-008). Kompleks projede doğrudan atanan rol HİÇ sayılmaz: özne rolleri yalnız pozisyondan gelir (S-15, 2026-09-21) — koltuğu olmayan kullanıcı rolsüzdür. Birleşim yalnız basit projede sürer; bkz. platform_guide('access') §Eski rol listeleri. Parola gateway günlüğüne maskeli yazılır ve yanıta girmez.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid.optional().describe('Verilmezse platform üretir'),
+            email: z.string().email(),
+            password: z.string().min(8).describe('En az 8 karakter (platform doğrulaması)'),
+            firstName: z.string().min(1),
+            lastName: z.string().min(1),
+            roleIds: z.array(guid).optional().describe("role_list id'leri; kompleks projede boş bırakın ve yetkiyi pozisyondan verin")
+        },
+        annotations: writes
+    }, handle(config, ({ project, environment, ...body }) => platform.tenant('POST', project, '/users', { environment, body })));
+    server.registerTool('user_update', {
+        title: 'Proje kullanıcısını güncelle',
+        description: "Kullanıcının adını, parolasını ve rollerini değiştirir (PUT /{project}/users/{id}). E-posta DEĞİŞTİRİLEMEZ — gövdede yoktur. roleIds verilirse liste REPLACE edilir; dokunmak istemiyorsanız alanı hiç göndermeyin. KOMPLEKS projede bu liste yetki VERMEZ (S-15): rol pozisyondan gelir, yetkiyi user_position_replace ile verin. Parola boş bırakılırsa değişmez, verilirse en az 8 karakter olmalıdır.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid,
+            firstName: z.string().min(1),
+            lastName: z.string().min(1),
+            password: z.string().min(8).optional().describe('Yalnız değiştirmek istiyorsanız; günlüğe maskeli yazılır'),
+            roleIds: z.array(guid).optional()
+        },
+        annotations: updates
+    }, handle(config, ({ project, environment, id, ...body }) => platform.tenant('PUT', project, `/users/${id}`, { environment, body })));
+    server.registerTool('user_delete', {
+        title: 'Proje kullanıcısını sil',
+        description: "Kullanıcıyı projeden siler (DELETE /{project}/users/{id}). Silme serttir: pozisyon atamaları (koltukları) ve doğrudan politika atamaları kullanıcıyla birlikte düşer — hangi koltukların boşalacağını önceden görmek için user_position_list; ürettiği denetim kayıtları kalır. Sahip olduğu satırlar silinmez, YALNIZ KOMPLEKS projede sahiplikleri çözülür (basit modelde bu adım hiç çalışmaz): transferToUserId verilmezse sys_owner_user_id boşalır, sys_owner_unit_id kalır ve entity başına bir OWNER-RELEASED denetim kaydı yazılır (TB-106). transferToUserId verilirse satırlar devralana geçer — o zaman sys_owner_unit_id de devralanın birincil aktif pozisyonunun birimine yazılır (devralanın aktif pozisyonu yoksa birim hiç değişmez) ve kayıt OWNER-RELEASED değil REASSIGN olur. Sonucu entity_audit_trails gösterir.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid,
+            transferToUserId: guid.optional().describe('Devralan kullanıcı: silinenin satırları boşa düşmek yerine buna geçer; silinen kişinin kendisi olamaz. Devralan yoksa 404 gelir ve o 404 silinecek kullanıcıyı değil DEVRALANI gösteriyor olabilir — kullanıcı silinmemiştir')
+        },
+        annotations: destructive
+    }, handle(config, ({ project, environment, id, transferToUserId }) => platform.tenant('DELETE', project, `/users/${id}`, { environment, query: { transferToUserId } })));
     server.registerTool('org_role_list', {
         title: 'Organizasyon rollerini listele',
         description: 'Organization.API tarafındaki rolleri listeler (platform yönetimi); proje içi yetkilendirme için role_list kullanın. Burada da oluşturma yoktur — organizasyon rolleri platform yönetimine aittir ve uygulamanın rol tablosuyla (built-in roles entity) ilgisi yoktur.',
         inputSchema: {},
         annotations: readOnly
     }, handle(config, () => platform.org('GET', '/roles')));
+    server.registerTool('organization_schema_get', {
+        title: 'Organizasyon şemasını getir',
+        description: "Organizasyonun rol yönetim şemasını (birim · pozisyon · rol ağacı) salt okunur getirir: version verilmezse taslak (draftVersion) + son yayın numarası (publishedVersion), verilirse o yayının anlık görüntüsü. Kompleks proje bu şemanın yayınlı son sürümüyle doğar (ORG-002). TASLAĞA yazmak için organization_schema_unit_create/update ve organization_schema_position_create/update; YAYIN insanın işidir (organization_schema_publish production'a yazar). Projenin kendi kopyası hazır entity'lerdedir — row_list('organization_units').",
+        inputSchema: {
+            organizationId: guid.optional().describe("Verilmezse gateway ORGANIZATION ayarındaki slug'la organizasyon listesinden bulur"),
+            version: z.number().int().min(1).optional().describe('Yayın sürümü (organization_schema_get yanıtındaki publishedVersion ya da project_get organizationSchema.appliedVersion)')
+        },
+        annotations: readOnly
+    }, handle(config, async ({ organizationId, version }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const path = `/organizations/${resolvedId}/schema${version === undefined ? '' : `/versions/${version}`}`;
+        const payload = await platform.org('GET', path);
+        const data = (payload?.data ?? {});
+        const lists = (version === undefined ? data : (data.snapshot ?? {}));
+        const publishedVersion = typeof data.publishedVersion === 'number' ? data.publishedVersion : undefined;
+        return {
+            ...payload,
+            summary: {
+                organizationId: resolvedId,
+                ...(version === undefined
+                    ? { draftVersion: data.draftVersion ?? 0, published: publishedVersion !== undefined, ...(publishedVersion !== undefined ? { publishedVersion } : {}) }
+                    : { version }),
+                units: count(lists.units),
+                positions: count(lists.positions),
+                roles: count(lists.roles)
+            },
+            note: version === undefined
+                ? (publishedVersion === undefined
+                    ? "Organizasyonda yayınlı şema YOK: bu anda açılan kompleks proje boş organizasyon tablolarıyla doğar (ORG-002). Taslak yönetim konsolunda yayınlanmalı."
+                    : "Dönen listeler TASLAKTIR; projelere giden yayınlı sürümün içeriği için version: publishedVersion ile çağırın.")
+                : 'Yayının donmuş anlık görüntüsü (snapshot); abone projeler bu sürümü taşır.'
+        };
+    }));
+    server.registerTool('organization_schema_unit_create', {
+        title: 'Şema taslağına birim ekle',
+        description: `Organizasyon şemasının TASLAĞINA yeni bir birim ekler. ${draftWriteNote} unitType yalnız ETİKETTİR: platform ebeveyn tipini denetlemez (şube doğrudan şirketin altına alınabilir), yalnız döngü ve tek kök denetlenir (TB-111). Şirket sınırı 'company' tipli birimdir ve kapsam hesabında companyIds odur. Taslak düğümün id'si yanıtta döner; pozisyon açarken unitId olarak onu verin.`,
+        inputSchema: {
+            organizationId: guid.optional().describe("Verilmezse gateway ORGANIZATION ayarındaki slug'la bulur"),
+            name: z.string().min(1),
+            code: z.string().min(1).describe('Şemada tekil kısa kod'),
+            unitType: z.enum(unitTypes),
+            parentId: guid.optional().describe("Üst birimin taslaktaki id'si; verilmezse kök"),
+            functionCode: z.string().optional().describe("İşlev etiketi; grant koşulunda { subject: 'functionCodes' } ile eşleşir"),
+            managerPositionId: guid.optional(),
+            sortOrder: z.number().int().optional()
+        },
+        annotations: writes
+    }, handle(config, async ({ organizationId, ...input }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const draft = await readSchemaDraft(platform, resolvedId);
+        const unit = { id: randomUUID(), parentId: null, functionCode: null, managerPositionId: null, sortOrder: 0, ...withoutUndefined(input) };
+        return saveSchemaDraft(platform, resolvedId, { ...draft, units: [...draft.units, unit] }, `Taslağa '${input.name}' birimi eklendi (id ${unit.id}).`, unit.id);
+    }));
+    server.registerTool('organization_schema_unit_update', {
+        title: 'Şema taslağındaki birimi güncelle',
+        description: `Taslaktaki bir birimin alanlarını değiştirir. ${draftWriteNote} Verilmeyen alan KORUNUR (gateway taslağı okur, tek düğümü değiştirir, listeyi geri yazar) — projedeki organization_unit_update'ten farkı budur, o tam gövde ister. parentId vererek düğümü taşıyabilirsiniz; döngü kuran taşıma platformda reddedilir.`,
+        inputSchema: {
+            organizationId: guid.optional(),
+            id: guid.describe("Birimin taslaktaki id'si (organization_schema_get)"),
+            name: z.string().min(1).optional(),
+            code: z.string().min(1).optional(),
+            unitType: z.enum(unitTypes).optional(),
+            parentId: guid.nullable().optional().describe('Yeni üst birim; null kökle eşdeğerdir'),
+            functionCode: z.string().nullable().optional(),
+            managerPositionId: guid.nullable().optional(),
+            sortOrder: z.number().int().optional()
+        },
+        annotations: updates
+    }, handle(config, async ({ organizationId, id, ...input }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const draft = await readSchemaDraft(platform, resolvedId);
+        const existing = draft.units.find(unit => unit.id === id);
+        if (!existing)
+            throw new PlatformApiError(`organization_schema_unit_update: '${id}' taslakta yok. organization_schema_get ile taslaktaki birimleri okuyun.`, 404);
+        const units = draft.units.map(unit => unit.id === id ? { ...unit, ...withoutUndefined(input) } : unit);
+        return saveSchemaDraft(platform, resolvedId, { ...draft, units }, `Taslakta '${existing.code}' birimi güncellendi.`);
+    }));
+    server.registerTool('organization_schema_position_create', {
+        title: 'Şema taslağına pozisyon ekle',
+        description: `Organizasyon şemasının TASLAĞINA yeni bir pozisyon (koltuk) ekler. ${draftWriteNote} Pozisyon şemadaki bir ROLE bağlıdır (roleId — organization_schema_get 'roles'); kullanıcının rolü kompleks projede pozisyonundan gelir. parentPositionId idari, functionalParentPositionId işlevsel hattı kurar ve 'subordinates' kapsamı bu hatlardan yürür.`,
+        inputSchema: {
+            organizationId: guid.optional(),
+            unitId: guid.describe("Pozisyonun bağlı olduğu taslak birimi"),
+            roleId: guid.describe("Şemadaki rolün id'si (organization_schema_get 'roles')"),
+            name: z.string().min(1),
+            code: z.string().min(1).describe('Şemada tekil kısa kod'),
+            parentPositionId: guid.optional().describe('İdari üst pozisyon'),
+            functionalParentPositionId: guid.optional().describe('İşlevsel üst pozisyon'),
+            isMultiSeat: z.boolean().optional().describe('Varsayılan false: koltukta aynı anda tek KALICI kişi oturur')
+        },
+        annotations: writes
+    }, handle(config, async ({ organizationId, ...input }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const draft = await readSchemaDraft(platform, resolvedId);
+        const position = { id: randomUUID(), parentPositionId: null, functionalParentPositionId: null, isMultiSeat: false, ...withoutUndefined(input) };
+        return saveSchemaDraft(platform, resolvedId, { ...draft, positions: [...draft.positions, position] }, `Taslağa '${input.name}' pozisyonu eklendi (id ${position.id}).`, position.id);
+    }));
+    server.registerTool('organization_schema_position_update', {
+        title: 'Şema taslağındaki pozisyonu güncelle',
+        description: `Taslaktaki bir pozisyonun alanlarını değiştirir. ${draftWriteNote} Verilmeyen alan KORUNUR. Rolü değiştirmek yayından sonra o koltuktaki HER kullanıcının yetkisini değiştirir.`,
+        inputSchema: {
+            organizationId: guid.optional(),
+            id: guid.describe("Pozisyonun taslaktaki id'si (organization_schema_get)"),
+            unitId: guid.optional(),
+            roleId: guid.optional(),
+            name: z.string().min(1).optional(),
+            code: z.string().min(1).optional(),
+            parentPositionId: guid.nullable().optional(),
+            functionalParentPositionId: guid.nullable().optional(),
+            isMultiSeat: z.boolean().optional()
+        },
+        annotations: updates
+    }, handle(config, async ({ organizationId, id, ...input }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const draft = await readSchemaDraft(platform, resolvedId);
+        const existing = draft.positions.find(position => position.id === id);
+        if (!existing)
+            throw new PlatformApiError(`organization_schema_position_update: '${id}' taslakta yok. organization_schema_get ile taslaktaki pozisyonları okuyun.`, 404);
+        const positions = draft.positions.map(position => position.id === id ? { ...position, ...withoutUndefined(input) } : position);
+        return saveSchemaDraft(platform, resolvedId, { ...draft, positions }, `Taslakta '${existing.code}' pozisyonu güncellendi.`);
+    }));
+    server.registerTool('organization_schema_versions', {
+        title: 'Şema yayınlarını listele',
+        description: "Organizasyon şemasının yayın geçmişini listeler (GET /organizations/{organizationId}/schema/versions): sürüm numarası, yayın notu, yayınlayan ve tarih. Bir projenin hangi sürümü taşıdığını project_get organizationSchema.appliedVersion söyler; aradaki farkı organization_schema_diff verir.",
+        inputSchema: {
+            organizationId: guid.optional().describe("Verilmezse gateway ORGANIZATION ayarındaki slug'la bulur"),
+            pageIndex: z.number().int().min(0).optional(),
+            pageLength: z.number().int().min(1).max(1000).optional()
+        },
+        annotations: readOnly
+    }, handle(config, async ({ organizationId, ...query }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        return platform.org('GET', `/organizations/${resolvedId}/schema/versions`, { query });
+    }));
+    server.registerTool('organization_schema_diff', {
+        title: 'İki şema yayınını karşılaştır',
+        description: "İki yayın arasındaki birim/pozisyon/rol farkını verir (GET /organizations/{organizationId}/schema/diff): eklenen, silinen ve değişen düğümler. Bir projeyi yeni sürüme almadan önce 'ne değişecek' sorusunun cevabı budur — özellikle silinen birim/pozisyon, o düğüme dayanan grant'leri sahipsiz bırakır.",
+        inputSchema: {
+            organizationId: guid.optional(),
+            from: z.number().int().min(1).describe("Karşılaştırmanın başlangıç sürümü — YAYINLANMIŞ bir sürüm olmalı (sürümler 1'den başlar); yayınlanmamış bir numara 404 döner. Organizasyonda hiç yayın yoksa karşılaştırılacak taban da yoktur: taslağı organization_schema_get ile okuyun"),
+            to: z.number().int().min(1).optional().describe('Karşılaştırmanın bitiş sürümü; VERİLMEZSE yayınlanmamış TASLAKLA karşılaştırır — taslağa yazdıktan sonra "yayın neyi değiştirecek" sorusunun cevabı budur')
+        },
+        annotations: readOnly
+    }, handle(config, async ({ organizationId, from, to }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        return platform.org('GET', `/organizations/${resolvedId}/schema/diff`, { query: { from, ...(to === undefined ? {} : { to }) } });
+    }));
+    server.registerTool('organization_schema_subscribers', {
+        title: 'Şema abonelerini listele',
+        description: "Organizasyon şemasına abone projeleri listeler (GET /organizations/{organizationId}/schema/subscribers): her projenin uyguladığı sürüm, aboneliğinin açık olup olmadığı ve özelleştirilmiş olup olmadığı. Bir yayının nereye ineceğini yayından ÖNCE buradan görürsünüz.",
+        inputSchema: { organizationId: guid.optional() },
+        annotations: readOnly
+    }, handle(config, async ({ organizationId }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        return platform.org('GET', `/organizations/${resolvedId}/schema/subscribers`);
+    }));
+    server.registerTool('organization_schema_publish', {
+        title: 'Şema taslağını yayınla',
+        description: "Organizasyon şemasının TASLAĞINI yeni bir sürüm olarak yayınlar (POST /organizations/{organizationId}/schema/publish). GERİ ALINAMAZ ve GENİŞ ETKİLİDİR: yayın bütün abone projelere senkronize edilir ve abone projenin PRODUCTION şemasına da yazar — deployment beklemez. Yayından önce organization_schema_subscribers ile kimin etkileneceğini, organization_schema_diff ile neyin değişeceğini okuyun. Taslak yönetim konsolunda düzenlenir; bu araç yalnız yayınlar.",
+        inputSchema: {
+            organizationId: guid.optional(),
+            note: z.string().max(1000).optional().describe('Yayın notu (sürüm geçmişinde görünür)')
+        },
+        annotations: writes
+    }, handle(config, async ({ organizationId, note }) => {
+        const resolvedId = organizationId ?? await currentOrganizationId(platform);
+        const payload = await platform.org('POST', `/organizations/${resolvedId}/schema/publish`, { body: note === undefined ? {} : { note } });
+        return { ...payload, note: 'Yayın abone projelere senkronize ediliyor; ilerlemeyi project_organization_schema_tasks ile izleyin.' };
+    }));
+    server.registerTool('project_organization_schema_tasks', {
+        title: 'Projenin şema senkron görevleri',
+        description: "Bir projenin organizasyon şeması senkron görevlerini listeler (GET /projects/{id}/organization-schema/sync-tasks): environment başına sürüm, durum (pending · processing · completed · skipped-customized · error), deneme sayısı ve hata. Yayının o projeye GERÇEKTEN indiğinin kanıtı budur; 'skipped-customized' proje özelleştirildiği için atlandığını söyler (organization_schema_resubscribe gerekir).",
+        inputSchema: { projectId: guid },
+        annotations: readOnly
+    }, handle(config, ({ projectId }) => platform.org('GET', `/projects/${projectId}/organization-schema/sync-tasks`)));
+    server.registerTool('organization_schema_resubscribe_preview', {
+        title: 'Yeniden abonelik önizlemesi',
+        description: "Özelleştirilmiş bir projeyi şemaya yeniden abone etmenin ne yapacağını ÖNCEDEN gösterir (POST /projects/{id}/organization-schema/resubscribe/preview): şemadan gelecek düğümler ve projede elle açılmış (custom) düğümler. Yan etkisizdir; uygulamak için organization_schema_resubscribe.",
+        inputSchema: { projectId: guid },
+        annotations: readOnly
+    }, handle(config, ({ projectId }) => platform.org('POST', `/projects/${projectId}/organization-schema/resubscribe/preview`)));
+    server.registerTool('organization_schema_drift', {
+        title: 'Proje organizasyon sapma raporu',
+        description: "Projenin YEREL organizasyon kopyası ile merkezi şema arasındaki farkı ortam ortam verir (GET /projects/{id}/organization-schema/drift) — 'projede ne değişti, şemada sonradan ne değişti' sorusunun cevabı budur (TB-112). İki ekseni AYIRIR: driftFromApplied = projenin UYGULADIĞI sürüme göre yerel kopyadaki fark (updated = proje bir şema düğümünü yeniden adlandırdı/taşıdı, removed = proje onu ARŞİVLEDİ, added = yerelde olup o sürümde olmayan şema düğümü); newerInSchema = aynı uygulanmış sürümden son YAYIMLANMIŞ sürüme kadar şemada olan değişiklikler. customNodes projede elle açılmış (origin=project) düğümlerdir ve sapma sayılmaz. organization_schema_diff iki YAYIMLANMIŞ sürümü karşılaştırır ve projenin kopyasını hiç görmez; bu uç tam tersine projeye bakar. Yan etkisizdir. Yalnız kompleks projede çalışır (basit projede 400).",
+        inputSchema: { projectId: guid },
+        annotations: readOnly
+    }, handle(config, ({ projectId }) => platform.org('GET', `/projects/${projectId}/organization-schema/drift`)));
+    server.registerTool('organization_schema_resubscribe', {
+        title: 'Projeyi şemaya yeniden abone et',
+        description: "Özelleştirilmiş bir projeyi organizasyon şemasına yeniden abone eder (POST /projects/{id}/organization-schema/resubscribe) ve projenin ağacını yayınlı son sürümle hizalar. customNodePolicy projede elle açılmış düğümlere ne olacağını söyler: 'keep' korur, 'deactivate' pasifleştirir. Etkisini önce organization_schema_resubscribe_preview ile okuyun — hizalama pozisyon silerse o pozisyona bağlı kullanıcı atamaları da düşer.",
+        inputSchema: {
+            projectId: guid,
+            customNodePolicy: z.enum(['keep', 'deactivate']).optional().describe("Projede elle açılmış düğümlerin akıbeti; varsayılan 'keep'")
+        },
+        annotations: updates
+    }, handle(config, ({ projectId, customNodePolicy }) => platform.org('POST', `/projects/${projectId}/organization-schema/resubscribe`, { body: customNodePolicy === undefined ? {} : { customNodePolicy } })));
+    server.registerTool('access_model_preflight', {
+        title: 'Erişim modeli dönüşüm ön denetimi',
+        description: "Bir projeyi basit ↔ kompleks modele çevirmeden ÖNCE ortam ortam ölçüm yapar (POST /projects/{id}/access-model/preflight): entity ve satır sayıları, sahiplik alanı olmayan entity'ler, dış datasource'a bağlı entity'ler, sorgu ve kısıtsız sorgu sayıları, rol sayısı, rezerve tablo adı çakışmaları, sys_created_user_id'den doldurulabilir satır sayısı, middleware'e bağlı uç ve sayfa listesi, pozisyonsuz kullanıcı sayısı ve kapsamlı tabloya dokunan ham SQL sorguları. Yan etkisizdir. slugCollisions BOŞ DEĞİLSE dönüşüm yapılmamalıdır: kompleks model o adlarla sistem tabloları kurar.",
+        inputSchema: { projectId: guid },
+        annotations: readOnly
+    }, handle(config, async ({ projectId }) => {
+        const payload = await platform.org('POST', `/projects/${projectId}/access-model/preflight`);
+        const data = (payload?.data ?? {});
+        const environments = Array.isArray(data.environments) ? data.environments : [];
+        const collisions = environments.flatMap(entry => Array.isArray(entry.slugCollisions) ? entry.slugCollisions : []);
+        const withoutOwner = environments.reduce((total, entry) => total + (typeof entry.entitiesWithoutOwnerFields === 'number' ? entry.entitiesWithoutOwnerFields : 0), 0);
+        const withDirectRoles = environments.reduce((highest, entry) => Math.max(highest, typeof entry.usersWithDirectRoles === 'number' ? entry.usersWithDirectRoles : 0), 0);
+        const directRoleNote = withDirectRoles > 0
+            ? ` AYRICA: bir ortamda ${withDirectRoles} kullanıcının doğrudan rol ataması (user_roles satırı) var. KOMPLEKS modelde doğrudan rol yetki VERMEZ — özne rolleri yalnız pozisyondan gelir (S-15). Sayı koltuğu olanları da kapsar; koltuğu OLMAYANLAR dönüşümden sonra her şeyden reddedilir, önce user_position_replace ile oturtun (kimin koltuksuz olduğu usersWithoutPositions ile çaprazlanır).`
+            : '';
+        return {
+            ...payload,
+            note: (collisions.length > 0
+                ? `Tablo adı çakışması var (${[...new Set(collisions)].join(', ')}): kompleks model bu adlarla kendi sistem tablolarını kurar, dönüşümden ÖNCE bu entity'ler yeniden adlandırılmalıdır.`
+                : withoutOwner > 0
+                    ? `${withoutOwner} entity'de sahiplik alanı yok; dönüşüm bunları arka planda ekler (owner-fields işi) ve satır kapsamları ancak o iş bittikten sonra doğru çalışır.`
+                    : 'Ön denetimde engelleyici bulgu yok. Dönüşüm yine de ortam başına asenkron koşar — access_model_conversion_tasks ile izleyin.') + directRoleNote
+        };
+    }));
+    server.registerTool('access_model_convert', {
+        title: 'Erişim modelini dönüştür',
+        description: "Projeyi basit ↔ kompleks erişim modeline çevirir (POST /projects/{id}/access-model). GENİŞ ETKİLİ: kompleks'e geçişte organizasyon şeması uygulanır, kaynak kataloğu kurulur, geçiş politikası açılır ve sahiplik alanları arka planda doldurulur; basit'e dönüşte kompleks yetkilendirme kapanır. Her aktif environment için ayrı bir dönüşüm görevi açılır ve iş ASENKRON koşar — yanıt 'başladı' demektir, 'bitti' demez. Önce access_model_preflight, sonra access_model_conversion_tasks. enforcementMode 'enforce' olamaz: kompleks'e yeni geçen proje önce shadow'da izlenir.",
+        inputSchema: {
+            projectId: guid,
+            target: z.enum(['simple', 'complex']).describe('Hedef model'),
+            enforcementMode: z.enum(['off', 'shadow']).optional().describe("Kompleks'e geçişte aktif environment'ların zorlama modu; varsayılan 'shadow'")
+        },
+        annotations: writes
+    }, handle(config, async ({ projectId, target, enforcementMode }) => {
+        const payload = await platform.org('POST', `/projects/${projectId}/access-model`, { body: { target, ...(enforcementMode === undefined ? {} : { enforcementMode }) } });
+        return { ...payload, note: 'Dönüşüm ortam başına asenkron koşuyor; durumu access_model_conversion_tasks ile izleyin — görev error ile kapanırsa o ortam DÖNÜŞMEMİŞ kalır.' };
+    }));
+    server.registerTool('access_model_conversion_tasks', {
+        title: 'Dönüşüm görevlerini listele',
+        description: "Projenin erişim modeli dönüşüm görevlerini listeler (GET /projects/{id}/access-model/tasks): environment, hedef model, durum (pending · processing · completed · error), deneme sayısı, hata metni ve başlangıç/bitiş zamanı. Dönüşümün gerçekten bittiğinin tek kanıtı budur; error kalan bir ortam dönüştürülmemiştir ve dönüşüm yeniden tetiklenmelidir.",
+        inputSchema: { projectId: guid },
+        annotations: readOnly
+    }, handle(config, async ({ projectId }) => {
+        const payload = await platform.org('GET', `/projects/${projectId}/access-model/tasks`);
+        const tasks = payload?.data ?? [];
+        const failed = tasks.filter(task => task.status === 'error');
+        const running = tasks.filter(task => task.status === 'pending' || task.status === 'processing');
+        return {
+            ...payload,
+            summary: { total: tasks.length, running: running.length, failed: failed.length },
+            note: failed.length > 0
+                ? `${failed.length} ortamın dönüşümü HATA ile kapandı (${failed.map(task => String(task.environment)).join(', ')}): o ortamlar dönüştürülmemiş durumdadır.`
+                : running.length > 0
+                    ? `${running.length} ortamın dönüşümü sürüyor; bitmeden kompleks yetkilendirme o ortamda eksik çalışır.`
+                    : 'Bütün dönüşüm görevleri tamamlandı.'
+        };
+    }));
+    registerAccessOperationTools(server, platform);
+    registerOrganizationStructureTools(server, platform);
+    registerAccessPolicyTools(server, platform);
+    registerAccessRuntimeTools(server, platform);
 }

package/dist/tools/accessOperations.js

@@ -0,0 +1,135 @@
+import { guid, projectParam, environmentParam, readOnly, writes, updates } from './common.js';
+import { accessResourceTypes } from '../knowledge/access.js';
+import { PlatformApiError } from '../platform/errors.js';
+import { handle } from '../platform/responses.js';
+import { z } from 'zod';
+const enforcementModes = ['off', 'shadow', 'enforce'];
+const isoDate = z.string().min(1)
+    .describe("ISO 8601 zaman damgası (UTC), ör. '2026-09-01T00:00:00Z'");
+function asRecord(value) {
+    return value && typeof value === 'object' && !Array.isArray(value) ? value : {};
+}
+export function registerAccessOperationTools(server, platform) {
+    const config = platform.config;
+    server.registerTool('access_matrix_get', {
+        title: 'Politika matrisini getir',
+        description: "Bir politikanın izin × kaynak matrisini getirir (GET /{project}/access/policies/{id}/matrix): actions sütunları (izin slug'ı + supportsScope/supportsFieldAccess), rows satırları (kaynak) ve her hücrede o politikadaki grant (grantId · effect · scope · fieldAccess · hasCondition). Politikayı grant grant okumaktan farkı: matris kaynak tipini bir tablo olarak gösterir, boş hücre 'grant yok' demektir. access_matrix_save'in şablonudur.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid.describe("Politika id'si (access_policy_list)"),
+            resourceType: z.enum(accessResourceTypes).describe('Matrisin kaynak tipi — zorunlu; her çağrı tek tipi tablolar'),
+            parentId: guid.optional().describe("Katalog satırının id'si (access_resource_list 'id'): o kaynağın çocuklarını tablolar — bir entity'nin alanları için entity katalog satırının id'si")
+        },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, id, resourceType, parentId }) => {
+        const payload = await platform.tenant('GET', project, `/access/policies/${id}/matrix`, { environment, query: { resourceType, ...(parentId ? { parentId } : {}) } });
+        const data = asRecord(payload?.data);
+        const rows = Array.isArray(data.rows) ? data.rows.map(asRecord) : [];
+        return {
+            ...payload,
+            summary: {
+                policyId: data.policyId,
+                resourceType: data.resourceType,
+                actions: Array.isArray(data.actions) ? data.actions.length : 0,
+                rows: rows.length,
+                filledCells: rows.reduce((total, row) => total + (Array.isArray(row.cells) ? row.cells.map(asRecord).filter(cell => cell.grantId !== undefined && cell.grantId !== null).length : 0), 0)
+            }
+        };
+    }));
+    server.registerTool('access_matrix_save', {
+        title: 'Politika matrisini kaydet',
+        description: "Matris üzerinden grant ekler/günceller/siler (PUT /{project}/access/policies/{id}/matrix). 'changes' verdiğiniz grant'leri yazar (id varsa günceller, yoksa açar), 'removedGrantIds' silinecek grant'lerin id'leridir. Politikanın ATAMALARINA dokunmaz — atama access_policy_update'in işidir. access_policy_update'ten farkı: politikanın grant listesinin tamamını göndermek gerekmez, yalnız değişen hücreler gider. Gövde platformun FluentValidation kısıtlarından geçer (deny grant'i ALAN ERİŞİMİ taşımaz; kapsam ve koşul taşıyabilir — o zaman eylemi kesmez, yalnız kapsamındaki satırları süzer, K-10/TB-94). Politikada SÜRESİ DOLMAMIŞ bir kullanıcı istisnası (`overridesDeny`; henüz başlamamış, ileri tarihli olanı da sayılır) varsa grant'lerine dokunmak — ekleme, silme ya da değiştirme — `access.override.manage` iznini ister; izinsiz istek 403 `AccessOverridePermissionRequiredException` döner ve hiçbir şey yazılmaz (ACC-009).",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid.describe("Politika id'si"),
+            resourceType: z.enum(accessResourceTypes).optional().describe('Yanıtta dönecek matrisin kaynak tipi'),
+            parentId: guid.optional().describe('Yanıtta dönecek matrisin katalog kökü'),
+            changes: z.array(z.record(z.unknown())).optional().describe("Yazılacak grant'ler (access_matrix_get hücre biçimi + permission/resourceKey); boş bırakılabilir"),
+            removedGrantIds: z.array(guid).optional().describe("Silinecek grant id'leri")
+        },
+        annotations: updates
+    }, handle(config, ({ project, environment, id, resourceType, parentId, changes, removedGrantIds }) => {
+        if ((changes ?? []).length === 0 && (removedGrantIds ?? []).length === 0) {
+            throw new PlatformApiError("access_matrix_save: ne 'changes' ne 'removedGrantIds' verildi — istek matriste hiçbir şeyi değiştirmezdi, gönderilmedi.", 400);
+        }
+        return platform.tenant('PUT', project, `/access/policies/${id}/matrix`, {
+            environment,
+            body: { changes: changes ?? [], removedGrantIds: removedGrantIds ?? [], ...(resourceType ? { resourceType } : {}), ...(parentId ? { parentId } : {}) }
+        });
+    }));
+    server.registerTool('access_resource_rebuild', {
+        title: 'Kaynak kataloğunu yeniden kur',
+        description: "Kaynak kataloğunu projenin güncel tanımlarından yeniden üretir (POST /{project}/access/resources/rebuild): yeni entity/alan/uç/sayfa katalogda yoksa ya da silinmiş kaynakların satırları (access_policy_list'te orphaned: true) kaldıysa bunu düzeltir. Grant'ler resourceKey ile bağlıdır, anahtar değişmediği sürece rebuild politikaları bozmaz. Katalog yalnız kompleks projede vardır.",
+        inputSchema: { project: projectParam, environment: environmentParam },
+        annotations: writes
+    }, handle(config, async ({ project, environment }) => {
+        const payload = await platform.tenant('POST', project, '/access/resources/rebuild', { environment });
+        return { ...payload, note: "Katalog yeniden kuruldu; grant'lerin bağlandığı anahtarları access_resource_list ile doğrulayın." };
+    }));
+    server.registerTool('access_decision_log_list', {
+        title: 'Erişim karar kayıtlarını listele',
+        description: "Karar kayıtlarını listeler (GET /{project}/access/decision-logs): zaman penceresi, karar, izin, kaynak anahtarı, neden, satır kapsamının metni, istek yolu ve korelasyon id'si. İki tür yalnız gölge modda yazılır — 'would-deny' (zorlama AÇIK OLSAYDI istek reddedilecekti) ve 'would-filter' (istek geçerdi ama satırları kapsam süzerdi); iki tür ise **enforce modda da** yazılır: 'unrestricted' (isUnrestricted sorgu koştu — TB-103) ve 'elevated' (runAs: system koştu — TB-105). enforce'a geçmeden önce okunacak liste budur; geçildikten sonra da yükseltme izi buradadır. Tek tek kayıtlar için bu, toplamlar için access_decision_log_summary, en çok engellenen kullanıcılar için access_decision_log_users.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            from: isoDate,
+            to: isoDate,
+            decision: z.enum(['would-deny', 'would-filter', 'would-mask', 'unrestricted', 'elevated']).optional().describe("Süzgeç; VERİLMEZSE tüm kararlar döner — ölçüldü 2026-09-19: aynı pencerede süzgeçsiz 10, 'would-filter' 7, 'would-deny' 3 kayıt. 'would-deny' = zorlama açık olsaydı istek reddedilirdi, 'would-filter' = istek geçerdi ama satırlar kapsamla süzülürdü (okuma yolunda filteredRowCount kaç satırın düşeceğini yazar), 'would-mask' = alan maskeli ya da gizli dönerdi (permission 'field.read', resourceKey 'field:<entityId>:<fieldId>', reason 'masked'|'hidden'), 'unrestricted' = isUnrestricted bir sorgu koştu (resourceKey entity anahtarı, reason entity slug'ı), 'elevated' = runAs: system bir akış koştu (resourceKey 'workflow:<id>', reason akış slug'ı, rowScopeText 'author:<akisi yazan kullanici>'). Son ikisi enforce modda da yazılır. Platform yalnız bu beşini yazar (AccessDecisionLogKind); tanımadığı bir değeri doğrulamaz, sessizce BOŞ liste döndürür"),
+            pageIndex: z.number().int().min(0).optional(),
+            pageLength: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200')
+        },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, ...query }) => {
+        const payload = await platform.tenant('GET', project, '/access/decision-logs', { environment, query });
+        const rows = Array.isArray(payload?.data) ? payload.data.map(asRecord) : [];
+        return {
+            ...payload,
+            pageSummary: {
+                rows: rows.length,
+                withFilteredRowCount: rows.filter(row => typeof row.filteredRowCount === 'number').length,
+                wouldMask: rows.filter(row => row.decision === 'would-mask').length
+            },
+            note: "Sayımlar YALNIZ dönen sayfayı kapsar (pageSummary), pencerenin tamamını değil — pencere toplamı için access_decision_log_summary. filteredRowCount yalnız OKUMA yolundaki 'would-filter' kayıtlarında doludur (toplam − kapsamlı toplam) ve satırın PENCERE TOPLAMIDIR, istek başına değil: istek başına düşen satır sayısı için filteredRowCount / count (ölçüldü 2026-09-19: count 22, filteredRowCount 352 → istek başına 16). Güncelleme ve silme yolunda null kalır. 'would-mask' istek başına entity başına bir kez ÇÖZÜLÜR, ama maskeli/gizli HER ALAN için bir kayıt düşer ve yalnız sorgu satır döndürdüğünde yazılır."
+        };
+    }));
+    server.registerTool('access_decision_log_summary', {
+        title: 'Karar kayıtlarını özetle',
+        description: "Karar kayıtlarını izin × kaynak × neden kırılımında toplar (GET /{project}/access/decision-logs/summary). Gölge modda 'hangi izin nerede eksik' sorusunun cevabı budur: en çok tekrar eden satır, politikanın en belirgin boşluğudur. Tek tek kayıtlar için access_decision_log_list.",
+        inputSchema: { project: projectParam, environment: environmentParam, from: isoDate, to: isoDate },
+        annotations: readOnly
+    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/decision-logs/summary', { environment, query })));
+    server.registerTool('access_decision_log_users', {
+        title: 'Engellenen kullanıcıları listele',
+        description: "Karar kayıtlarını kullanıcı kırılımında toplar (GET /{project}/access/decision-logs/users): en çok 'reddedilirdi' kaydı üreten kullanıcılar. Bir kullanıcı listenin başındaysa çoğu zaman pozisyonu ya da atanan politikası eksiktir — access_preview ile o kullanıcının tek bir kararını açıklayın.",
+        inputSchema: { project: projectParam, environment: environmentParam, from: isoDate, to: isoDate, limit: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200') },
+        annotations: readOnly
+    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/decision-logs/users', { environment, query })));
+    server.registerTool('access_enforcement_readiness', {
+        title: 'Zorlamaya hazır mı',
+        description: "Son N günün gölge kayıtlarında kaç 'reddedilirdi' olduğunu sayar ve sıfırsa hazır der (POST /{project}/access/enforcement/readiness). enforce'a geçmeden önceki kapı budur: isReady false ise geçiş bugün çalışan bir şeyi kesecek demektir — önce access_decision_log_summary ile boşlukları kapatın. Sayı sıfır olsa bile hiç trafik görmemiş bir uç kanıtlanmış olmaz.",
+        inputSchema: { project: projectParam, environment: environmentParam, days: z.number().int().min(1).max(30).optional().describe('Pencere (gün); varsayılan 7, en çok 30') },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, days }) => {
+        const payload = await platform.tenant('POST', project, '/access/enforcement/readiness', { environment, body: days === undefined ? {} : { days } });
+        const data = asRecord(payload?.data);
+        return {
+            ...payload,
+            note: data.isReady === true
+                ? "Pencerede 'reddedilirdi' kaydı yok. Bu, zorlamanın hiçbir şeyi kesmeyeceğini KANITLAMAZ — yalnız o pencerede denenen yolları kapsar; az kullanılan uçları access_preview ile ayrıca sınayın."
+                : `Pencerede ${String(data.wouldDenyCount ?? '?')} 'reddedilirdi' kaydı var: zorlama açılırsa bunlar kesilir. access_decision_log_summary ile izin/kaynak kırılımına bakın.`
+        };
+    }));
+    server.registerTool('access_enforcement_mode_set', {
+        title: 'Zorlama modunu değiştir',
+        description: "Bir environment'ın zorlama modunu değiştirir (PUT /environments/{projectId}/{environmentId}/enforcement-mode): 'off' karar motoru kapalı, 'shadow' kararlar hesaplanır ve reddedilecekler kaydedilir ama istek kesilmez, 'enforce' kararlar uygulanır. Yalnız kompleks projede anlamlıdır. 'enforce'a geçiş ÜRETİM DAVRANIŞINI DEĞİŞTİRİR: önce access_enforcement_readiness'ı yeşile getirin. Platform iki durumda confirm ister: production ortamında HER değişiklik ve HER ortamda 'off'a geçiş (409 EnforcementOffRequiresConfirmation) — 'off' satır kapsamını kaldırmakla kalmaz, korumalı alanları da herkese açık döndürür (TB-99).",
+        inputSchema: {
+            projectId: guid,
+            environmentId: guid.describe('environment_list çıktısındaki id'),
+            enforcementMode: z.enum(enforcementModes),
+            confirm: z.boolean().optional().describe("Platformun istediği onay: production'da her değişiklik, her ortamda 'off'a geçiş. Bilinçli geçişte true")
+        },
+        annotations: updates
+    }, handle(config, ({ projectId, environmentId, enforcementMode, confirm }) => platform.org('PUT', `/environments/${projectId}/${environmentId}/enforcement-mode`, { body: { enforcementMode, confirm: confirm === true } })));
+}