@appaflytech/zeyrek-ai-mcp 0.0.36 → 0.0.40

package/dist/knowledge/rules.js

@@ -4,7 +4,10 @@ import { reservedTenantTables } from './reservedTables.js';
 import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
+import { accessPolicyRules } from './access.js';
 import { themePolicyRules } from './themeRules.js';
+import { processPolicyRules } from './process.js';
+import { mobileStorePolicyRules } from './mobileStore.js';
 const terminalStepTypes = new Set(['response', 'convert', 'revert']);
 const DESCRIPTION_EXEMPT_STEPS = new Set(['start']);
 const stepKindMatrix = {
@@ -19,6 +22,7 @@ const stepKindMatrix = {
     email: ['workflow', 'automation', 'middleware'],
     'file-upload': ['workflow', 'automation', 'middleware'],
     microfunction: ['workflow', 'automation', 'middleware'],
+    process: ['workflow', 'automation'],
     variable: ['middleware'],
     'set-user': ['middleware'],
     setcookie: ['middleware'],
@@ -146,13 +150,25 @@ export function readsBeforeGuard(source, root) {
  * code.ts:49). Eşleşme yoksa flow-engine.ts:79 sessizce durur. Studio tarafında da zincir
  * `sourceBranch === 'always'` ile çizilir (EventActionsStart.svelte:47, EventActionsItem.svelte:298).
  * condition dalları rule id'sidir (serbest), microservice'te 'success' yalnız eski şema için
- * yaşatılır (microservice.ts:144).
+ * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
+ * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
+ * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
+ * geriye dönük zararsızdır.
  */
 const flowBranchNames = {
     start: ['always'],
-    microservice: ['always', 'success'],
+    microservice: ['always', 'success', 'error'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
+    haptic: ['always'],
+    location: ['always', 'error'],
+    'notification-permission': ['always'],
+    'notification-schedule': ['always', 'error'],
+    'notification-cancel': ['always'],
+    bpm: ['always', 'success', 'fail'],
+    permission: ['always'],
+    'open-settings': ['always'],
+    'ad-show': ['always', 'error'],
     end: []
 };
 /**
@@ -163,8 +179,24 @@ const flowBranchNames = {
  */
 export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
-    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function'
+    'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
+    'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm',
+    'permission', 'open-settings', 'ad-show'
 ]);
+/**
+ * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
+ * `HAPTIC_STYLES`/`LOCATION_ACCURACIES`'in aynası (`test/flow-step-parity.test.ts` bağlar); backend
+ * `FlowDtoValidator` aynı kümeyle 400 döner. Kök `docs/adr/0003-cihaz-yetenegi-adimlari.md`.
+ */
+export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
+export const locationAccuracies = new Set(['low', 'balanced', 'high']);
+/**
+ * Reklam yerleşiminin adı — backend `MobileStoreSettingsValidator.AdUnitNamePattern`'ın aynası (kök ADR 0012); `ad-show.value`
+ * ve `adBanner.unit` bu adla mağaza ayarındaki yerleşimi anar.
+ */
+export const adPlacementNamePattern = /^[a-z][A-Za-z0-9]{0,39}$/;
+/** `permission` adımının kipleri — `@ng-apps/flow` `PERMISSION_MODES`'un aynası (kök ADR 0010); tür adını gateway bilmez, backend doğrular. */
+export const permissionStepModes = new Set(['request', 'check']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -176,16 +208,17 @@ const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}
 // Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
 const flowLiteralTextFields = new Map([
     ['alert', ['message', 'description']],
-    ['confirm', ['message', 'title', 'confirmText', 'cancelText']]
+    ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
+    ['share', ['title']],
+    ['notification-schedule', ['name', 'title', 'path']],
+    ['notification-cancel', ['name']]
 ]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
-// Barındırıcıya özel tipler (`navigate` web'de, `confirm`/`download` mobilde register edilmez)
-// BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten `redirect`e çeviriyor
-// (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da koşar, yani vaka
-// uyarılmaz, ORTADAN KALKAR. Geriye kalan `confirm`/`download` tek başına kusur değildir: sayfa
-// tek bir uygulamaya aittir (`Page.ApplicationId`), uygulamanın tipi web ya da mobile'dır
-// (`ApplicationType.cs`) ve gateway hangisi olduğunu bilmez. Mobil ayağı uygulama tarafında
-// kapanır (`ScreenRuntime.tsx`), lint'te değil.
+// Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
+// `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
+// koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
+// ve barındırıcı sözlüğü `platform/*.ts`'tedir (`profile.steps`); mobil farkları orada `MOB-005`
+// olarak konuşulur (`platform/lint.ts`). Yeni mobil runtime `confirm`/`download`'ı kaydeder.
 const flowUnregisteredStepTypes = new Set(['end', 'query']);
 const flowSetterIterateeTypes = new Set(['change', 'fill']);
 function flowStepList(value) {
@@ -305,25 +338,71 @@ function writesRolesWithoutSlug(entityId, parameters) {
 }
 const rolesSlugMessage = "Built-in 'roles' entity'sine slug YAZMADAN rol satırı ÜRETİLİYOR (operation create/upsert). Insert 200 döner, satır role_list'te görünür ve page.roleIds ile bağlanır — ama yetkilendirme SLUG karşılaştırır: platformun get-user sorgusu roles+user_roles join'inden slug dizisi üretir ve Authorized(user.roles) o rol için hiçbir zaman tutmaz. fields'a slug'ı ekleyin ('super-admin' slug'ını vermeyin — platform süper yöneticiyi o slug ile arar). Upsert'te slug'ı İFADEYLE üretmeyin: UPDATE yolunda ifade yeniden değerlendirilir ve var olan rolün slug'ı sessizce değişir (MS-016) — üretilen slug'ı yalnız create ucunda yazın. Rolü kullanıcıya bağlamak ayrı bir user_roles satırıdır.";
 const contractKeys = ['returnDtoId', 'parameterDtoId', 'returnBehavior', 'parameterBehavior'];
-const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/**
+ * Filtre işleci sözlüğü — backend `OperatorType` enum'u (paketlenmiş `Filter` şeması; eşitliği
+ * `test/filter-operators.test.ts` kilitler). Studio filtre ARAYÜZÜNÜN sözlüğü (`notContains`, `between`…,
+ * `componentCatalog.ts`) ayrı bir kavramdır: arayüz onları bu işleçlere çevirir.
+ */
+export const filterOperators = new Set(['eq', 'neq', 'lt', 'lte', 'gt', 'gte', 'contains', 'icontains', 'in', 'notin', 'startswith', 'endswith', 'istartswith', 'iendswith', 'isnull', 'isnotnull']);
+/** Ajanların sık yazdığı yanlış adlar → doğru işleç. Yalnız ÖNERİLİR, sessizce çevrilmez. */
+const filterOperatorSuggestions = {
+    ne: 'neq', '!=': 'neq', '<>': 'neq', noteq: 'neq', notequal: 'neq', notequals: 'neq', not_eq: 'neq',
+    '=': 'eq', '==': 'eq', equal: 'eq', equals: 'eq',
+    '<': 'lt', '<=': 'lte', '>': 'gt', '>=': 'gte',
+    like: 'contains', ilike: 'icontains', nin: 'notin', 'not in': 'notin', not_in: 'notin'
+};
 function flattenFilterTree(filters) {
     return filters
         .filter((filter) => Boolean(filter) && typeof filter === 'object')
         .flatMap(filter => [filter, ...flattenFilterTree(asArray(filter.children))]);
 }
+/**
+ * Bilinmeyen işleçler, öneriyle: `status: 'ne' (neq mı demek istedin?)`. Grup çocukları da okunur. Ad
+ * büyük/küçük harfe DUYARLI eşlenir — backend de öyle eşler (`GetValueFromDescription` `==`); `NEQ`
+ * bilinmeyendir ve küçük harfli adı önerilir.
+ */
+function unknownFilterOperators(filters) {
+    return flattenFilterTree(filters)
+        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator)))
+        .map(filter => {
+        const operator = String(filter.operator);
+        const lower = operator.toLowerCase();
+        const suggestion = filterOperators.has(lower) ? lower : filterOperatorSuggestions[lower];
+        return `${String(filter.field ?? filter.fieldSlug ?? filter.fieldId ?? '?')}: '${operator}'${suggestion ? ` (${suggestion} mı demek istedin?)` : ''}`;
+    });
+}
+const unknownOperatorConsequence = "Bilinmeyen işleç yola ve backend sürümüne göre ya 400 alır ya sessizce 'eq'e düşer ve sorgu yanlış sonuç döner (2026-09-27'den sonraki backend uç çağrısının `filters` parametresini 400 ile reddeder; workflow tablo adımı hâlâ sessizce 'eq' yapar); ad büyük/küçük harfe duyarlıdır — doğru işleci yazın";
 function unknownOperatorFindings(ruleId, owner, filters) {
-    const unknownOperators = flattenFilterTree(filters)
-        .filter(filter => filter.operator !== undefined && filter.operator !== null && !filterOperators.has(String(filter.operator).toLowerCase()))
-        .map(filter => `${String(filter.fieldSlug ?? filter.fieldId ?? '?')}: '${String(filter.operator)}'`);
+    const unknownOperators = unknownFilterOperators(filters);
     return unknownOperators.length > 0
         ? [{
                 ruleId,
                 severity: 'block',
-                message: `${owner}: bilinmeyen filtre operatörü — ${unknownOperators.join(', ')}. Platform bilinmeyen operatörü 400 ile REDDETMEZ, sessizce 'eq'e düşürür (EnumExtensions.GetValueFromDescription null → default) ve uç testten geçip yanlış çalışır. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
+                message: `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')} ('like' yok — metin araması için 'contains'/'icontains').`,
                 guide: 'ngapps://guides/microservice'
             }]
         : [];
 }
+/**
+ * Çalışma anında gelen filtre (`row_list.filters`, `microservice_execute` `filters` parametresi): dizi ya
+ * da JSON dizesi. Bilinmeyen işleç varsa hata METNİ döner — araç isteği göndermeden 400 verir
+ * (plans/mobil-plantcare-acigi g-03). Ayrıştırılamayan değer backend'e bırakılır.
+ */
+export function filterOperatorError(owner, filters) {
+    let parsed = filters;
+    if (typeof filters === 'string') {
+        try {
+            parsed = JSON.parse(filters);
+        }
+        catch {
+            return undefined;
+        }
+    }
+    const unknownOperators = Array.isArray(parsed) ? unknownFilterOperators(parsed) : [];
+    return unknownOperators.length > 0
+        ? `${owner}: bilinmeyen filtre işleci — ${unknownOperators.join(', ')}. İstek GÖNDERİLMEDİ. ${unknownOperatorConsequence}. Geçerli sözlük: ${[...filterOperators].join(' · ')}.`
+        : undefined;
+}
 function isReadOperation(parameters) {
     const operation = String(parameters?.operation ?? '').toLowerCase();
     return !writeOperations.has(operation);
@@ -433,6 +512,27 @@ const isRecord = (value) => Boolean(value) && typeof value === 'object' && !Arra
 const functionsGuide = 'ngapps://guides/functions';
 /** FN-006: bu kadar dolu satırdan uzun gövde yorumsuz kalmaz; tek satırlık `return` yorum istemez. */
 const FUNCTION_COMMENT_MIN_LINES = 5;
+/**
+ * BPM-022: `process.*` sistem işlemi karşılığı olan `Page.bpm` üyeleri (backend
+ * `SystemOperationConstants`, zeyrek-backend/docs/bpm/sablon-paketleri.md §Sistem işlemleri).
+ * `start`, `cases`, `documents`, `analytics`, `exportLog`, `offline`, `legalHold(s)` karşılıksızdır;
+ * onları kullanan akışa uyarı vermek yol gösteremeyen gürültüdür.
+ */
+const PAGE_BPM_SYSTEM_MEMBERS = new Set([
+    'definitions', 'users', 'directory', 'tasks', 'task', 'instances', 'instance', 'timeline', 'signal',
+    'batch', 'batchOperation', 'delegations', 'delegate', 'delegation', 'handover', 'notifications',
+    'notification', 'preferences', 'override', 'report'
+]);
+/**
+ * BPM-022: karşılığı olan üyenin sistem işlemi OLMAYAN alt çağrıları (bpm.runtime.ts). Bunlar ve
+ * `batch('start', …)` eski yolda kalır; taze bağlam incelemesi (2026-09-23) üye düzeyindeki bakışın
+ * `instance(id).exportLedger()` gibi rehberin kendi önerdiği çağrıları uyardığını buldu.
+ */
+const PAGE_BPM_UNMAPPED_CALLS = new Set([
+    'tasks.calendar', 'task.comment', 'task.workedMinutes', 'task.assistant', 'instance.exportLedger',
+    'instance.watch', 'instance.unwatch', 'instance.comments', 'handover.history', 'override.conflicts',
+    'batchOperation.get'
+]);
 export const policyRules = [
     {
         id: 'MS-001',
@@ -712,7 +812,7 @@ export const policyRules = [
                 return [{
                         ruleId: 'WF-005',
                         severity: 'block',
-                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware.`,
+                        message: `'${stepLabel(step)}' step'i (${step.type}) ${kind} tipinde kullanılamaz. İzin matrisi: variable/set-user/setcookie/redirect yalnız middleware; convert yalnız workflow; revert yalnız automation; response workflow+middleware; process workflow+automation.`,
                         guide: 'ngapps://guides/workflow'
                     }];
             });
@@ -2251,6 +2351,48 @@ export const policyRules = [
                 }];
         })
     },
+    {
+        id: 'FLOW-028',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yetki şablonu (access.json 1.7.0) 33 kod adımında platformun oturum uçlarına ham fetch atıyordu ('/api/' + project + '/runtime/' + application + '/auth/me' ve '/auth/sign-in'). Ham istek ng-apps-flow/src/api/instance.ts'in yaptıklarını atlar: X-Environment çözümü (resolveRuntimeEnvironment; elle ayrıştırma /preview şeridinde index -1 verir), CSRF başlığı (çerezli POST 403 CsrfTokenMismatchException — S2-37 · S3-7), 401'de tek refresh + yeniden deneme, ve ExecuteMicroserviceBehavior'ın microservice.execute kararı ile gölge günlüğü. Düzeltme 2026-09-22: giriş ve oturum bilgisi access.session.create / access.session.get system operation'larına taşındı (backend ADR 0004); çıkış 2026-10-01'de access.session.delete ile eklendi. Dış API'ye fetch meşrudur; kural yalnız göreli platform yollarını (/api/, /m/, /runtime/) görür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'code')
+            .flatMap((step) => {
+            const body = String((step.args ?? {}).value ?? '');
+            if (!/\bfetch\s*\(|XMLHttpRequest/.test(body) || !/['"`]\/(api|m|runtime)\/|\/runtime\//.test(body))
+                return [];
+            return [{
+                    ruleId: 'FLOW-028',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' code adımı platformun kendi ucuna ham istek atıyor. Bu yol runtime'ın istek katmanını atlar: X-Environment elle kurulur, CSRF başlığı yoktur (çerezli POST 403 CsrfTokenMismatchException), 401'de oturum yenilenmez ve istek microservice.execute kararını ve gölge günlüğünü hiç görmez. Platform davranışını çağırmanın yolu microservice adımıdır: karşılığı olan bir system operation varsa (microservice_system_operation_list — giriş için access.session.create, oturumdaki kullanıcı için access.session.get, çıkış için access.session.delete) source:'system' bir uç açın ve akışa type:'microservice' adımı koyun; sonuç Steps.<adım>.data'dadır, kod adımı yalnız onu biçimler.`,
+                    guide: 'ngapps://guides/page'
+                }];
+        })
+    },
+    {
+        id: 'FLOW-037',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "mobile-qm koşusu 2026-10-01: çıkış akışı oturumu storage adımları (ZY_App_qm/ZY_AppRefresh_qm/ZY_Csrf_qm = '') ve kod adımında cookie.remove ile kapatmaya çalıştı. Platformun oturum çerezleri (AppSessionConstants: ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) sunucunun HttpOnly Set-Cookie'sidir: web'de document.cookie onları göremez, mobilde akışın cookie/storage deposu Keychain/kv-store'dur ve iOS NSHTTPCookieStorage'a ulaşmaz. Refresh ailesi sunucuda iptal edilmediği için kapat-aç sonrası auth/refresh oturumu yeniden yazdı (kullanıcı girişli açıldı). Çıkış access.session.delete system operation'ıdır (guard 2026-10-01'den beri session: süresi dolmuş jetonda 401, runtime yenileyip tekrarlar; uç isAnonymous:true kalır): aileyi iptal eder, üç çerezi yanıtla siler",
+        check: definition => flowAllSteps(definition)
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const name = String(args.name ?? '');
+            const body = String(args.value ?? '');
+            const touchesSessionCookie = (step.type === 'storage' || step.type === 'setcookie')
+                ? /^ZY_(App|AppRefresh|Csrf)_/.test(name)
+                : step.type === 'code' && /\bcookie\s*\.\s*(remove|set)\s*\(/.test(body) && /['"`]ZY_(App|AppRefresh|Csrf)_/.test(body);
+            if (!touchesSessionCookie)
+                return [];
+            return [{
+                    ruleId: 'FLOW-037',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' adımı platformun oturum çerezine (ZY_App_ · ZY_AppRefresh_ · ZY_Csrf_) akıştan dokunuyor. Bu çerezler sunucunun HttpOnly çerezleridir: akışın cookie/storage deposu onlara ulaşmaz (mobilde Keychain/kv-store, web'de document.cookie) ve refresh ailesi sunucuda açık kaldığı için kullanıcı kapat-aç sonrası yeniden girişli olur. Çıkış için source:'system', systemOperation:'access.session.delete', isAnonymous:true bir uç açın ve akışa type:'microservice' adımı koyun, ardından redirect ile giriş sayfasına gidin — uç refresh ailesini iptal eder ve üç çerezi yanıtla siler. Uygulamanın kendi değerleri (ör. 'beni hatırla' bayrağı) storage'da kalabilir.`,
+                    guide: 'ngapps://guides/access'
+                }];
+        })
+    },
     {
         id: 'FLOW-020',
         module: 'flow',
@@ -2374,7 +2516,7 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu)",
+        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
@@ -2387,16 +2529,269 @@ export const policyRules = [
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: type.startsWith('notification-')
+                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
+                    : type === 'share'
+                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
+                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
                 guide: 'ngapps://guides/page'
             }));
         })
     },
+    {
+        id: 'FLOW-035',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "share adımının argümanı StepManagementArgument'ın Title/Message/Path alanlarında saklanır (StepType.cs `share`, kök docs/adr/0001-share-akis-adimi.md); url/link/text gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım hiçbir şey paylaşmadan akış sürer. `message` ve `path` İFADEDİR (@ng-apps/flow resolveShareContent → runCode): tırnaksız 'https://…' JS'te etiket + yorumdur, undefined döner",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'share')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const filled = (key) => typeof args[key] === 'string' && String(args[key]).trim().length > 0;
+            const findings = [];
+            const strayLinks = ['url', 'link', 'href'].filter(filled);
+            const strayTexts = ['text', 'body', 'content'].filter(filled);
+            if (strayLinks.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('path') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının bağlantısı args.${strayLinks.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım bağlantısız kalır. Bağlantıyı args.path'e ifade olarak yazın — ör. "'https://ornek.app/urun/' + Page.queryParams.id".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            if (strayTexts.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-035',
+                    severity: filled('message') ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' share adımının metni args.${strayTexts.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu sessizce düşürür. Metni args.message'a ifade olarak yazın — ör. "'Şuna bak: ' + Page.properties.name".`,
+                    guide: 'ngapps://guides/page'
+                });
+            }
+            for (const key of ['message', 'path']) {
+                const value = typeof args[key] === 'string' ? String(args[key]).trim() : '';
+                if (/^[a-z][a-z\d+\-.]*:\/\//i.test(value)) {
+                    findings.push({
+                        ruleId: 'FLOW-035',
+                        severity: 'block',
+                        message: `'${flowStepLabel(step)}' share adımının '${key}' alanı tırnaksız bir adres: '${value}'. Bu alan İFADEDİR — tırnaksız adres JS'te etiket + yorumdur, undefined döner ve hiçbir şey paylaşılmaz. Dize olarak yazın: "'${value}'".`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-029',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Cihaz yeteneği adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): haptic.value = stil, location.value = doğruluk, location.isRaw = adres çözülmesin. İkisi de DÜZ METİNDİR (@ng-apps/flow hapticStyle/locationAccuracy), kümede olmayan değer backend FlowDtoValidator'da 400 alır; style/accuracy/reverseGeocode gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür — adım varsayılanla (medium / balanced / adresli) koşar",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'haptic' || step.type === 'location')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            // Backend (FlowDtoValidator) yalnız tamamen boşluk olanı boş sayar; kümeyle karşılaştırmayı kırpmadan yapar.
+            const raw = typeof args.value === 'string' ? args.value : '';
+            const value = raw.trim() ? raw : '';
+            const haptic = step.type === 'haptic';
+            const allowed = haptic ? hapticStyles : locationAccuracies;
+            const field = haptic ? 'stil' : 'doğruluk';
+            const findings = [];
+            const stray = (haptic ? ['style', 'type', 'feedback'] : ['accuracy', 'precision'])
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (value && !allowed.has(value)) {
+                const unquoted = value.replace(/^['"`](.*)['"`]$/, '$1');
+                const trimmed = value.trim();
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'block',
+                    message: allowed.has(unquoted)
+                        ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri tırnaklı yazılmış: ${value}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`
+                        : allowed.has(trimmed)
+                            ? `'${flowStepLabel(step)}' ${step.type} adımının ${field} değerinin çevresinde boşluk var: '${value}'. Platform kırpmadan karşılaştırır ve 400 döner — args.value: '${trimmed}' yazın.`
+                            : `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri '${value}' tanınmıyor; platform 400 döner. Kullanılabilir: ${[...allowed].join(', ')} (boş → ${haptic ? 'medium' : 'balanced'}).`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: value ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının ${field} değeri args.${stray.join('/args.')} alanında: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür ve adım varsayılanla (${haptic ? 'medium' : 'balanced'}) koşar. Değeri args.value'ya düz metin olarak yazın — ör. args.value: '${haptic ? 'success' : 'high'}'.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (!haptic && ['reverseGeocode', 'address', 'geocode'].some(key => args[key] !== undefined)) {
+                findings.push({
+                    ruleId: 'FLOW-029',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' location adımında adres anahtarı sözleşmede YOK ve sessizce düşer. Adres varsayılan olarak çözülür (cihazda; web'de hep null); kapatmak için args.isRaw: true yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-039',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Tam ekran reklam adımının argümanı StepManagementArgument.value'dur (kök docs/adr/0012-reklam-yerlesimleri-magaza-ayari-ve-kosullu-sdk.md): mağaza ayarındaki reklam yerleşiminin ADI, DÜZ METİN — AdMob birim kimliği değil (kimlik derlemenin platformuna göre manifestten çözülür). Backend FlowDtoValidator HasAdPlacement adı ^[a-z][A-Za-z0-9]{0,39}$ deseniyle denetler, uymayan 422 alır; unit/placement/adUnitId gibi anahtarlar sözleşmede YOKTUR ve 200 ile sessizce düşer. Yerleşimin mağaza ayarında tanımlı olduğu burada denetlenemez: mobile_store_get",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'ad-show')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const unit = typeof args.value === 'string' ? args.value : '';
+            const unquoted = unit.replace(/^['"`](.*)['"`]$/, '$1');
+            const stray = ['unit', 'placement', 'adUnitId', 'unitId', 'format'].filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            const findings = [];
+            if (!unit.trim()) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi yok: args.value mağaza ayarındaki tam ekran yerleşimin ADINI ister (platform 422 döner). Yerleşimler: mobile_store_get — ads.units[] (format interstitial, rewarded ya da rewardedInterstitial).`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (unquoted !== unit) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi tırnaklı yazılmış: ${unit}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (!adPlacementNamePattern.test(unit)) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi bir yerleşim adı değil: '${unit}'. Değer ifade ya da AdMob birim kimliği olamaz; mağaza ayarındaki yerleşimin adıdır (${adPlacementNamePattern.source}). Platform 422 döner. Yerleşimler: mobile_store_get — ads.units[].name.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: unit.trim() ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımında args.${stray.join('/args.')} alanı var: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür. Yerleşimin adı args.value'ya düz metin olarak yazılır — ör. args: { value: '<yerleşim adı>' }.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-038',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "İzin adımının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0010-izin-katalogu-tarama-ve-derlemede-budama.md): permission.value = izin türü (katalog anahtarı, DÜZ METİN — ifade değil: backend kullanım taramasında bu değeri yazılı okur ve mağaza derlemesinin taşıdığı izinleri ondan hesaplar), permission.name = kip (@ng-apps/flow PERMISSION_MODES; boş = request). Türü ya da kipi geçersiz adım backend FlowDtoValidator'da 422 alır; kind/mode/permission gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür. Hangi türlerin desteklendiğini gateway bilmez: mobile_store_get { detail: ['permissions'] }",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'permission')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const kind = typeof args.value === 'string' ? args.value : '';
+            const mode = typeof args.name === 'string' ? args.name : '';
+            const stray = ['kind', 'mode', 'permission', 'type'].filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            const findings = [];
+            const unquoted = kind.replace(/^['"`](.*)['"`]$/, '$1');
+            if (!kind.trim()) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü yok: args.value izin anahtarını ister (varsayılanı yoktur; platform 422 döner). Uygulamanın isteyebileceği izinler: mobile_store_get { detail: ['permissions'] } — support: 'supported' satırlarının key'i.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (unquoted !== kind) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü tırnaklı yazılmış: ${kind}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (flowExpressionLooking.test(kind) || /\{\{/.test(kind) || !/^[a-z][A-Za-z0-9]*$/.test(kind)) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının türü yazılı bir izin anahtarı değil: '${kind}'. Tür İFADE olamaz — mağaza derlemesinin hangi izni taşıyacağı bu değerden, akış koşmadan hesaplanır. Türe göre dallanmak için condition adımıyla her tür için ayrı bir permission adımı kurun.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (mode.trim() && !permissionStepModes.has(mode)) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' permission adımının kipi '${mode}' tanınmıyor; platform 422 döner. Kullanılabilir: ${[...permissionStepModes].join(', ')} (boş → request). check yalnız okur, sistem penceresi açmaz.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-038',
+                    severity: kind.trim() ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' permission adımında args.${stray.join('/args.')} alanı var: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür. Tür args.value'ya, kip args.name'e düz metin olarak yazılır — ör. args: { value: '<izin anahtarı>', name: 'check' }.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-030',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
+            const findings = [];
+            const schedule = step.type === 'notification-schedule';
+            const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            if (!text('name')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (schedule && !text('value')) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı yok: args.value bir İFADEDİR ve sonucu 'HH:mm' (her gün), { weekday: 1-7, time: 'HH:mm' } (her hafta, 1 = Pazartesi) ya da ISO tarih-saattir (bir kez) — ör. "tp_saat.value" ya da "'08:30'".`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            const literal = /^'([^']*)'$/.exec(text('value'))?.[1];
+            if (schedule && literal !== undefined && !/^([01]?\d|2[0-3]):[0-5]\d$/.test(literal) && Number.isNaN(Date.parse(literal))) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' notification-schedule adımının zamanı '${literal}' okunamaz: 'HH:mm' (00:00–23:59), ISO tarih-saat ya da { weekday, time } nesnesi yazın. Çalışmada adım error dalına düşer (status: 'invalid').`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-030',
+                    severity: 'warn',
+                    message: `'${flowStepLabel(step)}' ${step.type} adımında args.${stray.join('/args.')} sözleşmede YOK ve platform onu sessizce düşürür. Kimlik args.name, zaman args.value (ifade), metin args.message (ifade), başlık args.title.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
     {
         id: 'FLOW-023',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil ScreenRuntime.tsx alert·redirect·navigate·storage·setcookie ekler. navigate web'de, confirm/download mobilde YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', confirm/download 'web'; End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
+        sourceRef: "Adım tipi sözlüğü backend'indir (StepType.cs) ama koşan tipler barındırıcıdan gelir: flow-engine.ts start·setter·code·condition·microservice·validation·flow-trigger register eder, web Runtime.svelte alert·confirm·redirect·download·storage·setcookie ekler, mobil @ng-apps/ui-native runtime-tasks.ts alert·confirm·redirect·navigate·storage·setcookie·download ekler. navigate web'de YOKTUR; end ve query hiçbir barındırıcıda yoktur (Studio kataloğu da bunu visibility ile söyler: navigate 'mobile', End eklenebilir adımlar arasında değil — EventActionsAdd.svelte). Register edilmemiş tipe gelen akış SESSİZCE durur: flow-engine.ts process() callback bulamazsa hiçbir şey yapmaz (next yok, completed/stopped yok, hata yok, log yok), run() Promise'i çözülmez ve flowRunFinished() hiç koşmaz — __ngAppsFlowActivity.running sıfıra inmez, page_screenshot'ın hazır bekleyişi her eylemde bütçesini sonuna kadar yakar",
         check: definition => {
             const steps = flowAllSteps(definition);
             // Studio her akış tuvaline dekoratif bir End düğümü koyar ve onu sildirmez; zararlı olan
@@ -2722,6 +3117,29 @@ export const policyRules = [
             return findings;
         })
     },
+    {
+        id: 'BPM-022',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "bpm-management 1.1.0 sayfaları süreç çalışma zamanına yalnız source: system mikroservislerle gider (plans/bpm-sistem-mikroservis D-1 a, ADR-0004); Page.bpm aynı uçlara mikroservissiz gider, rehberi okuyan ajanlar yine de yazdı (plans/bpm/demo koşuları)",
+        check: definition => flowAllSteps(definition).flatMap((step) => {
+            const calls = [...new Set(flowExpressionSites(step)
+                    .flatMap(site => [...site.expression.matchAll(/\bPage\s*\.\s*bpm\b(?:\s*\.\s*([A-Za-z_$][\w$]*))?(\s*\((?:[^()]|\([^()]*\))*\))?(?:\s*\.\s*([A-Za-z_$][\w$]*))?/g)])
+                    .filter(([, member = '', callArguments = '', subCall]) => member === ''
+                    || (PAGE_BPM_SYSTEM_MEMBERS.has(member)
+                        && !(subCall && PAGE_BPM_UNMAPPED_CALLS.has(`${member}.${subCall}`))
+                        && !(member === 'batch' && /^\s*\(\s*['"]start['"]/.test(callArguments))))
+                    .map(([, member, , subCall]) => (member ? `Page.bpm.${member}${subCall ? `(…).${subCall}` : ''}` : 'Page.bpm')))];
+            return calls.length === 0
+                ? []
+                : [{
+                        ruleId: 'BPM-022',
+                        severity: 'warn',
+                        message: `'${flowStepLabel(step)}' adımı Page.bpm çağırıyor (${calls.join(', ')}). Sayfa akışı süreç çalışma zamanıyla source: system mikroservis üzerinden konuşur: microservice_system_operation_list ile process.* işlemini seçin, microservice_create { source: 'system', systemOperation } ile ucu kurun ve çağrıyı bir microservice adımına taşıyın; sonucu okuyan code adımı Steps.<adım>.data / .error'dan okur. Page.bpm eski yoldur — izin ve görünürlük kararı sistem işleminde aynı servisten gelir, uç Studio'da ve microservice_execute ile görünür.`,
+                        guide: 'ngapps://guides/bpm'
+                    }];
+        })
+    },
     {
         id: 'FLOW-027',
         module: 'flow',
@@ -2968,7 +3386,7 @@ export const policyRules = [
         id: 'MW-003',
         module: 'workflow',
         appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "set-user değişkeni istek kapsamındaki WorkflowContext'e yazılır (SetUserStep → AddVariable('user')) ve sonraki middleware'in motoru onu görür (WorkflowRunner her koşuda JavascriptEngineInstance'ı _variables'tan kurar; sıra ExecuteMicroserviceBehavior:96 / ExecutePageBehavior:121 → OrderBy(m => m.Name)). Ama kuran middleware set-user'a ULAŞMADAN biterse (çerez yok, koşul dalı) değişken hiç doğmaz ve okuyan middleware ham 'user is not defined' ile 500 verir — 401 değil (crm koşumu B-3)",
+        sourceRef: "set-user değişkeni istek kapsamındaki WorkflowContext'e yazılır (SetUserStep → AddVariable('user')) ve sonraki middleware'in motoru onu görür (WorkflowRunner her koşuda CreateJavascriptEngine() ile motoru _variables'tan kurar; sıra ExecuteMicroserviceBehavior:96 / ExecutePageBehavior:121 → OrderBy(m => m.Name)). Ama kuran middleware set-user'a ULAŞMADAN biterse (çerez yok, koşul dalı) değişken hiç doğmaz ve okuyan middleware ham 'user is not defined' ile 500 verir — 401 değil (crm koşumu B-3)",
         check: (definition, context) => {
             if (context.workflowKind !== 'middleware')
                 return [];
@@ -2986,10 +3404,55 @@ export const policyRules = [
                     }];
         }
     },
+    {
+        id: 'MW-006',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "Kimlik devri değeri triggerSource'ta DEĞİL context'te durur: WorkflowContext.SetTriggerSource triggerSource'a { type, id, name, slug, roles, pathAndQuery }, context'e { type, name, roles, path, impersonatedUserId, language } yazar (WorkflowContext.cs:216-235). triggerSource.impersonatedUserId her zaman undefined okunur ve önizleme hep jeton yoluna düşer (ZM-22, koşu 37)",
+        check: (definition) => {
+            const readers = workflowSteps(definition).filter(step => /\btriggerSource\s*\.\s*impersonatedUserId\b/.test(JSON.stringify(step.rule ?? {})));
+            return readers.length === 0
+                ? []
+                : [{
+                        ruleId: 'MW-006',
+                        severity: 'warn',
+                        message: `'${readers.map(stepLabel).join(', ')}' kimlik devrini triggerSource.impersonatedUserId'den okuyor; bu alan yok, değer hep undefined gelir. Doğrusu context.impersonatedUserId — ve yalnız start adımının impersonation dalında: değer yalnız doğrulanmış Studio önizlemesinde dolar, başka yerde yetki kararı için kullanılmaz (platform_guide('middleware') Tarif 1c).`,
+                        guide: 'ngapps://guides/middleware'
+                    }];
+        }
+    },
+    {
+        id: 'MW-007',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "Sayfa middleware'inin variable adımı WorkflowContext değişkenine yazar ve sayfa yanıtı bu değişkenleri Page.variables olarak istemciye taşır (GetPageBySlugQuery → PageAppDto.Map(workflowContext.ClientVariables), önbellek isabetinde ExecutePageBehavior). rule.isPrivate işaretli değişken sunucuda kalır (WorkflowContext.AddPrivateVariable). qm '[SY] Settings Setter' { ...settings.data } ile sso_client_secret'ı istemciye verdi (2026-10-02)",
+        check: (definition, context) => {
+            if (context.workflowKind !== 'middleware')
+                return [];
+            const exposing = workflowSteps(definition).filter(step => {
+                if (step.type !== 'variable' || step.rule?.isPrivate === true)
+                    return false;
+                const expression = String(step.rule?.expression ?? '');
+                return /\.\.\.\s*[A-Za-z_$]/.test(expression) || /secret|password|passwd|api_?key|private_?key/i.test(expression);
+            });
+            return exposing.length === 0
+                ? []
+                : [{
+                        ruleId: 'MW-007',
+                        severity: 'warn',
+                        message: `'${exposing.map(stepLabel).join(', ')}' değişkeni bütün bir kaydı yayıyor ya da gizli değer adı taşıyor. Bu middleware bir SAYFAYA bağlanırsa değişken Page.variables ile istemciye gider (tarayıcıda/cihazda okunur). Gizli değer taşıyan değişkene rule.isPrivate: true verin — aynı istekteki sonraki middleware'ler okumaya devam eder, istemciye gitmez (sayfanın akışları istemcide koşar ve Page.variables'ı okur: işaretli değişken orada undefined'dır); istemcinin gerçekten ihtiyaç duyduğu alanları ayrı bir değişkende izin listesiyle kurun: '({ app_name: settings.data.app_name })' (platform_guide('middleware') Tarif 2). Yalnız microservice uçlarına bağlı middleware'de değişken istemciye dönmez.`,
+                        guide: 'ngapps://guides/middleware'
+                    }];
+        }
+    },
     // Backend doğrulayıcılarının aynası (ENT-015…018, MS-017, WF-026, QRY/VIEW/DTO/ROW/DS/PRJ/TR/FLD/FILE/EXT):
     // tek liste `backendConstraints.ts`'te durur, buradan yalnız politika motoruna katılır.
     ...themePolicyRules,
-    ...backendPolicyRules()
+    ...mobileStorePolicyRules,
+    ...backendPolicyRules(),
+    // Organizasyon şeması, erişim politikası ve alan koruması (ORG/ACC/PROT) — `access.ts`.
+    ...accessPolicyRules(),
+    ...processPolicyRules()
 ];
 /**
  * WF-MF-001'in ikinci yarısı. Bir adımın koşup koşmayacağı yalnız GÖVDEDEN anlaşılamaz: karar