@appaflytech/zeyrek-ai-mcp 0.0.36 → 0.0.40

package/dist/tools/accessPolicies.js

@@ -0,0 +1,170 @@
+import { guid, projectParam, environmentParam, readOnly, writes, updates, destructive } from './common.js';
+import { accessPolicyEntityFindings, accessResourceTypes, accessScopes } from '../knowledge/access.js';
+import { evaluatePolicy, enforcePolicy, attachFindings, applyPolicyMode } from '../knowledge/policy.js';
+import { unmappedMembers, withUnmappedMembers } from '../knowledge/schemaGuard.js';
+import { withNormalization } from '../knowledge/normalize.js';
+import { policyRules } from '../knowledge/rules.js';
+import { handle } from '../platform/responses.js';
+import { RefResolver } from '../platform/refs.js';
+import { z } from 'zod';
+const policyOverrideParam = z.boolean().optional()
+    .describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)');
+const grantInput = z.object({
+    id: guid.optional().describe('Var olan grant güncelleniyorsa onun id\'si; yeni grant\'te verilmez'),
+    permission: z.string().min(1).describe("İzin slug'ı (access_permission_list): 'entity.read', 'field.read', 'microservice.execute' …"),
+    resourceKey: z.string().min(1).nullable().optional().describe("Kaynak anahtarı (access_resource_list 'key'): 'entity:<entityId>', 'field:<entityId>:<fieldId>', '<tip>:<id>'; verilmezse iznin tipinin TAMAMI"),
+    effect: z.enum(['allow', 'deny']).describe("Kapsamsız ya da koşulsuz scope: 'all' taşıyan 'deny' eylemi keser (TB-132); daraltıcı kapsamlı (own · unit · unit-tree · subordinates · function · company) ya da scope: 'all' + koşullu 'deny' eylemi kesmez, yalnız kapsamındaki / koşula uyan satırları süzer. 'deny' alan erişimi taşımaz (K-10)"),
+    scope: z.enum(accessScopes).optional().describe('Satır kapsamı; yalnız entity.read/update/delete/export/reveal/reassign'),
+    subordinatesLine: z.enum(['administrative', 'functional', 'both']).optional().describe("Yalnız scope: 'subordinates' ile; varsayılan idari hat"),
+    fieldAccess: z.enum(['hidden', 'masked', 'plain']).optional().describe("Yalnız 'field.read' izninde"),
+    condition: z.record(z.unknown()).optional().describe("Kapsama AND ile eklenen koşul: { all|any: [...] } ya da { field, op, value }; op eq·neq·in·notin·lt·lte·gt·gte·isnull·isnotnull; value sabit, dizi, { subject: 'userId'|'unitIds'|'positionIds'|'companyIds'|'roleSlugs'|'functionCodes' } ya da { now: true }. Derinlik ≤ 5, düğüm ≤ 50")
+});
+const assignmentInput = z.object({
+    id: guid.optional(),
+    subjectType: z.enum(['role', 'position', 'unit', 'user', 'authenticated']),
+    subjectId: guid.describe("roles / organization_positions / organization_units / users satır id'si (row_list)"),
+    includeDescendants: z.boolean().optional().describe("Yalnız subjectType: 'unit' — alt birimleri de kapsar"),
+    startsAt: z.string().optional().describe('ISO tarih; verilmezse şimdi'),
+    endsAt: z.string().optional().describe('ISO tarih; startsAt\'ten sonra'),
+    overridesDeny: z.boolean().optional().describe("Yalnız subjectType: 'user' ve dolu endsAt ile; kapsamlı/kapsamsız bütün deny'leri aşar; yazmak access.override.manage izni ister — 403 alırsanız izni olan hesapla tekrarlayın")
+});
+function compact(value) {
+    return Object.fromEntries(Object.entries(value).filter(([, entry]) => entry !== undefined));
+}
+function grantFromRecord(record) {
+    return compact({
+        id: record.id,
+        permission: String(record.permission ?? ''),
+        resourceKey: (record.resourceKey ?? undefined),
+        effect: record.effect,
+        scope: (record.scope ?? undefined),
+        subordinatesLine: (record.subordinatesLine ?? undefined),
+        fieldAccess: (record.fieldAccess ?? undefined),
+        condition: (record.condition ?? undefined)
+    });
+}
+function assignmentFromRecord(record) {
+    return compact({
+        id: record.id,
+        subjectType: record.subjectType,
+        subjectId: String(record.subjectId ?? ''),
+        includeDescendants: (record.includeDescendants ?? undefined),
+        startsAt: (record.startsAt ?? undefined),
+        endsAt: (record.endsAt ?? undefined),
+        overridesDeny: (record.overridesDeny ?? undefined)
+    });
+}
+async function lintPolicy(platform, project, environment, body, operation, policyOverride, entityBody) {
+    const config = platform.config;
+    const resolver = new RefResolver(platform, project, environment);
+    return [
+        ...enforcePolicy(evaluatePolicy(config, policyRules, 'accessPolicy', body, { operation }, policyOverride)),
+        ...enforcePolicy(applyPolicyMode(config, await accessPolicyEntityFindings(platform, resolver, entityBody), policyOverride))
+    ];
+}
+export function registerAccessPolicyTools(server, platform) {
+    const config = platform.config;
+    server.registerTool('access_permission_list', {
+        title: 'İzin kataloğunu listele',
+        description: "Kompleks projenin izin kataloğunu döner (slug · resourceType · action · supportsScope · supportsFieldAccess) — grant'lerin permission değerinin tek kaynağı. Katalog YALNIZ kompleks projede tohumlanır: boş dizi projenin basit olduğunu söyler.",
+        inputSchema: { project: projectParam, environment: environmentParam },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment }) => {
+        const payload = await platform.tenant('GET', project, '/access/permissions', { environment });
+        const count = Array.isArray(payload?.data) ? payload.data.length : 0;
+        return count > 0
+            ? payload
+            : { ...payload, data: [], complex: false, note: "İzin kataloğu boş: proje KOMPLEKS DEĞİL (katalog yalnız accessModel 'complex' projede tohumlanır). project_get accessModel ile doğrulayın; basit projede yetki middleware ve page.roleIds ile kurulur." };
+    }));
+    server.registerTool('access_resource_list', {
+        title: 'Kaynak kataloğunu listele',
+        description: "Grant'in bağlanabileceği kaynakları (entity, alan, microservice, sayfa …) sayfalı listeler; 'key' grant'in resourceKey'idir (K-31). Türetilmiş alanlar katalogdadır (isDerived), gizli sistem alanları değildir; isProtected korumalı alanı işaretler. parentId bir KATALOG id'sidir (listedeki 'id'), entity id değil — bir entity'nin alanları için önce entity satırının id'sini alın.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            type: z.enum(accessResourceTypes).optional(),
+            parentId: guid.optional().describe("Katalog satırının id'si: o kaynak ve doğrudan çocukları"),
+            search: z.string().optional(),
+            pageIndex: z.number().int().min(0).optional(),
+            pageLength: z.number().int().min(1).max(1000).optional().describe('Platform varsayılanı 200')
+        },
+        annotations: readOnly
+    }, handle(config, ({ project, environment, ...query }) => platform.tenant('GET', project, '/access/resources', { environment, query })));
+    server.registerTool('access_policy_list', {
+        title: 'Erişim politikalarını listele',
+        description: "Projenin erişim politikalarını grant ve atamalarıyla listeler. origin: system · project · runtime (dikey çözümün production'da ayrıştırdığı, deployment dokunmaz) · module; orphaned: true grant'in kaynağı artık yok.",
+        inputSchema: { project: projectParam, environment: environmentParam },
+        annotations: readOnly
+    }, handle(config, ({ project, environment }) => platform.tenant('GET', project, '/access/policies', { environment })));
+    server.registerTool('access_policy_get', {
+        title: 'Erişim politikasını getir',
+        description: 'Tek politikayı grant ve atamalarıyla getirir; access_policy_update için şablondur.',
+        inputSchema: { project: projectParam, environment: environmentParam, id: guid },
+        annotations: readOnly
+    }, handle(config, ({ project, environment, id }) => platform.tenant('GET', project, `/access/policies/${id}`, { environment })));
+    server.registerTool('access_policy_create', {
+        title: 'Erişim politikası oluştur',
+        description: "Kompleks projede politika açar: grant'ler (izin × kaynak × etki × kapsam/koşul/alan erişimi) ve atamalar (rol · pozisyon · birim · kullanıcı) tek gövdede. Gövde istek gitmeden ACC-001 (grant/atama biçimi), ACC-002 (koşulda korumalı alan), ACC-003 (sahiplik alanı olmayan entity'ye kapsam, warn) ve ACC-017 (korumasız alana field.read 'masked' — maske alanın entity_protection_update korumasından gelir, korumasız alanda değer düz döner; warn) kontrolünden geçer. Tasarım eseridir: development'ta (ya da dalda) yazılır, production'a deployment taşır. Kavramlar ve CZA örneği: platform_guide('access').",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            name: z.string().min(1).max(150),
+            slug: z.string().min(1).max(150).describe('Projede tekil (409 AccessPolicySlugDuplicate)'),
+            description: z.string().optional(),
+            grants: z.array(grantInput).optional().describe('Verilmezse boş'),
+            assignments: z.array(assignmentInput).optional().describe('Verilmezse boş — atamasız politika kimseye uygulanmaz'),
+            policyOverride: policyOverrideParam
+        },
+        annotations: writes
+    }, handle(config, async ({ project, environment, name, slug, description, grants, assignments, policyOverride }) => {
+        const body = compact({ name, slug, description, grants: (grants ?? []).map(compact), assignments: (assignments ?? []).map(compact) });
+        const findings = await lintPolicy(platform, project, environment, body, 'create', policyOverride, body);
+        const drift = unmappedMembers('CreateAccessPolicyCommand', body);
+        const payload = await platform.tenant('POST', project, '/access/policies', { environment, body });
+        return attachFindings(withUnmappedMembers(payload, drift), findings);
+    }));
+    server.registerTool('access_policy_update', {
+        title: 'Erişim politikasını güncelle',
+        description: "Politikayı günceller (platform ucu tam değiştirmedir). Gateway kaydı önce okur: VERİLMEYEN alan mevcut değeriyle taşınır ve bu gatewayNormalized ile söylenir. grants / assignments VERİLİRSE TAM LİSTEDİR — listede olmayan grant ya da atama SİLİNİR; var olanı değiştirmek için id'sini koruyun. Yetim anahtarlı var olan grant PUT'u düşürmez, yeni gelen bilinmeyen anahtar 400 AccessResourceUnknown. Aynı ACC-001…003 ve ACC-017 kontrolü (yalnız bu çağrıda verilen grant'lere) uygulanır.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            id: guid,
+            name: z.string().min(1).max(150).optional(),
+            slug: z.string().min(1).max(150).optional(),
+            description: z.string().optional(),
+            grants: z.array(grantInput).optional().describe('TAM liste; verilmezse mevcut grant\'ler taşınır'),
+            assignments: z.array(assignmentInput).optional().describe('TAM liste; verilmezse mevcut atamalar taşınır'),
+            policyOverride: policyOverrideParam
+        },
+        annotations: updates
+    }, handle(config, async ({ project, environment, id, name, slug, description, grants, assignments, policyOverride }) => {
+        const current = ((await platform.tenant('GET', project, `/access/policies/${id}`, { environment }))?.data ?? {});
+        const carried = [
+            ...(name === undefined ? ['name'] : []),
+            ...(slug === undefined ? ['slug'] : []),
+            ...(description === undefined && typeof current.description === 'string' ? ['description'] : []),
+            ...(grants === undefined ? ['grants'] : []),
+            ...(assignments === undefined ? ['assignments'] : [])
+        ];
+        const body = compact({
+            name: name ?? String(current.name ?? ''),
+            slug: slug ?? String(current.slug ?? ''),
+            description: description ?? (typeof current.description === 'string' ? current.description : undefined),
+            grants: grants !== undefined ? grants.map(compact) : (Array.isArray(current.grants) ? current.grants : []).map(entry => grantFromRecord(entry)),
+            assignments: assignments !== undefined ? assignments.map(compact) : (Array.isArray(current.assignments) ? current.assignments : []).map(entry => assignmentFromRecord(entry))
+        });
+        // Taşınan grant'ler platformda zaten geçerli; entity okuması yalnız bu çağrıda VERİLEN grant'ler için yapılır.
+        const findings = await lintPolicy(platform, project, environment, body, 'update', policyOverride, { grants: grants ?? [] });
+        const drift = unmappedMembers('UpdateAccessPolicyCommand', body);
+        const payload = await platform.tenant('PUT', project, `/access/policies/${id}`, { environment, body });
+        const notes = carried.length > 0 ? [`Verilmeyen alanlar mevcut kayıttan taşındı: ${carried.join(', ')}.`] : [];
+        return attachFindings(withUnmappedMembers(withNormalization(payload, notes), drift), findings);
+    }));
+    server.registerTool('access_policy_delete', {
+        title: 'Erişim politikasını sil',
+        description: 'Politikayı grant ve atamalarıyla birlikte siler; etkisi erişim sürümü artınca runtime kararlarına yansır.',
+        inputSchema: { project: projectParam, environment: environmentParam, id: guid },
+        annotations: destructive
+    }, handle(config, ({ project, environment, id }) => platform.tenant('DELETE', project, `/access/policies/${id}`, { environment })));
+}

package/dist/tools/accessRuntime.js

@@ -0,0 +1,203 @@
+import { guid, projectParam, environmentParam, readOnly, writes } from './common.js';
+import { identityHeaders } from '../platform/tokenVault.js';
+import { resourceKeyProblem } from '../knowledge/access.js';
+import { enforcePolicy, attachFindings, applyPolicyMode } from '../knowledge/policy.js';
+import { PlatformApiError } from '../platform/errors.js';
+import { handle } from '../platform/responses.js';
+import { z } from 'zod';
+function asRecord(value) {
+    return value && typeof value === 'object' && !Array.isArray(value) ? value : {};
+}
+function previewNote(data) {
+    const trace = Array.isArray(data.trace) ? data.trace.map(asRecord) : [];
+    const rowScoped = trace.some(entry => entry.outcome === 'row-scoped')
+        ? " Kapsamlı deny satır süzer, eylemi kesmez — rowScope metnindeki 'except' parçasına bakın."
+        : '';
+    if (data.reason === 'allowed-by-override') {
+        const endsAt = trace.find(entry => entry.overridesDeny === true && typeof entry.endsAt === 'string')?.endsAt;
+        const scope = typeof data.rowScope === 'string' && data.rowScope !== ''
+            ? ` Satırlar yine şu kapsamla süzülür: ${data.rowScope} — istisna yasağı kaldırır, öteki izinleri daraltmaz.`
+            : '';
+        return `Kullanıcı istisnası deny'leri aştı; iz 'outcome: overridden' satırlarını gösterir${typeof endsAt === 'string' ? `, bitiş ${endsAt}` : ''}.${scope}${rowScoped}`;
+    }
+    if (data.isAllowed === true) {
+        return (typeof data.rowScope === 'string' && data.rowScope !== ''
+            ? `İzin var; satırlar şu kapsamla süzülür: ${data.rowScope}. Kararı getiren grant'ler trace'te.`
+            : "İzin var. Kararı getiren grant'ler trace'te.") + rowScoped;
+    }
+    const cuttingDenies = trace.filter(entry => entry.effect === 'deny' && entry.outcome !== 'row-scoped');
+    if (cuttingDenies.length > 0) {
+        return cuttingDenies.every(entry => entry.scope === 'all')
+            ? "scope: 'all' taşıyan koşulsuz bir deny grant'i kesiyor (trace'te effect 'deny', outcome 'applied'): koşulsuz 'all' daraltıcı bir kapsam değildir, bu yüzden kapsamsız deny gibi bütün allow'ları ezer (TB-132). Yalnız belli satırları dışlamak istiyorsanız deny'a own · unit · unit-tree · subordinates · function · company kapsamlarından birini ya da 'all' ile birlikte bir koşul verin."
+            : "Kapsamsız bir deny grant'i kesiyor (trace'te effect 'deny', outcome 'applied'): kapsamsız deny bütün allow'ları ezer.";
+    }
+    return (trace.length === 0
+        ? "Bu kullanıcıya bu izni getiren hiçbir atama yok. Kullanıcının pozisyonunu/rolünü (row_list('user_positions'), user_list) ve politikanın atamasını (access_policy_get) kontrol edin; kaynak anahtarı grant'teki anahtarla aynı mı bakın."
+        : "Atama var ama eşleşen allow grant'i yok (izin ya da kaynak anahtarı farklı).") + rowScoped;
+}
+/**
+ * The shortest reveal reason THIS environment accepts. A refused attempt is written to the audit
+ * trail and eats the rate limit, so the gateway reads the setting and stops a short reason before
+ * it becomes a record (ACC-010). It is read off the runtime access map rather than off the core
+ * project row: the platform enforces the environment's own copy, and the two can differ while an
+ * environment has not picked the change up. An unreadable map is treated as "no minimum" — the
+ * rule must never turn a working reveal into a gateway error.
+ */
+async function revealReasonMinLength(platform, project, environment, application, asUser) {
+    try {
+        const payload = await platform.tenant('GET', project, `/runtime/${encodeURIComponent(application)}/access`, {
+            environment,
+            headers: identityHeaders(asUser, undefined, undefined)
+        });
+        const minLength = Number(asRecord(payload?.data).revealReasonMinLength);
+        return Number.isFinite(minLength) && minLength > 0 ? minLength : 0;
+    }
+    catch {
+        return 0;
+    }
+}
+const asUserRefParam = z.string().min(1).describe("Uygulama kullanıcısının kimliği: access_session_create yanıtındaki tok_… referansı ya da ham JWT. Gateway'in servis jetonu bir uygulama kullanıcısı DEĞİLDİR — bu alan olmadan uç uygulama kullanıcısı göremez.");
+export function registerAccessRuntimeTools(server, platform) {
+    const config = platform.config;
+    server.registerTool('access_preview', {
+        title: 'Erişim kararını açıkla',
+        description: "Karar motorunun bir uygulama kullanıcısı için vereceği kararı YAN ETKİSİZ açıklar (POST /{project}/access/explain): isAllowed, reason (allowed · allowed-by-override · no-matching-grant · explicit-deny · system), rowScope (satır kapsamının metni; kapsamlı deny 'X except Y' olarak görünür), fieldAccess (alan başına hidden/masked/plain · canWrite · canFilter) ve trace (atama → politika → grant → etki + scope · outcome 'applied'|'row-scoped'|'overridden' · endsAt · overridesDeny). Veri döndürmez, zorlama modunu okumaz ya da değiştirmez. 'Bu kullanıcı neden göremiyor / güncelleyemiyor?' ve gölge moddaki 'reddedilirdi' kayıtlarının cevabı budur. Kavramlar: platform_guide('access') §'Açıklama ve sınama'.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            userId: guid.describe("Uygulama kullanıcısının id'si (users tablosu / user_list)"),
+            permission: z.string().min(1).describe("İzin slug'ı (access_permission_list): 'entity.update', 'microservice.execute' …"),
+            resourceKey: z.string().min(1).describe("'entity:<entityId>' · 'field:<entityId>:<fieldId>' · 'row:<entityId>:<rowId>' · '<tip>:<id>' ya da yalnız tip ('page')"),
+            rowId: z.string().min(1).optional().describe("Satır kapsamını tek bir satır için sınar: satırın cevabı rowInScope ve summary.row'dadır, isAllowed tablonun cevabı olarak kalır")
+        },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, userId, permission, resourceKey, rowId }) => {
+        const problem = resourceKeyProblem(resourceKey);
+        if (problem) {
+            throw new PlatformApiError(`access_preview: ${problem}. Anahtarları access_resource_list verir; istek gönderilmedi.`, 400);
+        }
+        const payload = await platform.tenant('POST', project, '/access/explain', { environment, body: { userId, permission, resourceKey, ...(rowId ? { rowId } : {}) } });
+        const data = asRecord(payload?.data);
+        return {
+            ...payload,
+            summary: {
+                decision: data.isAllowed === true ? 'allow' : 'deny',
+                ...(typeof data.reason === 'string' ? { reason: data.reason } : {}),
+                ...(typeof data.rowScope === 'string' ? { rowScope: data.rowScope } : {}),
+                traceEntries: Array.isArray(data.trace) ? data.trace.length : 0,
+                ...(typeof data.rowInScope === 'boolean' ? { row: data.rowInScope ? 'in-scope' : 'out-of-scope' } : {})
+            },
+            note: data.isAllowed === true && data.rowInScope === false
+                ? `Tabloda izin var ama bu satır kapsam dışında (${typeof data.rowScope === 'string' ? data.rowScope : 'satır kapsamı'}): çalışma zamanında okuma/güncelleme 404 döner. isAllowed tablonun, rowInScope satırın cevabıdır.`
+                : previewNote(data)
+        };
+    }));
+    server.registerTool('access_session_create', {
+        title: 'Uygulama oturumu aç',
+        description: "Kompleks projede uygulama kullanıcısı olarak giriş yapar (POST /{project}/runtime/{application}/auth/sign-in) — korumalı uçları ve sayfaları O KULLANICININ kimliğiyle sınamanın yolu. Erişim jetonu yanıtta maskelenir; tokenRefs'teki tok_… referansını microservice_execute / microservice_debug / page_runtime_get 'asUser' alanına verin (15 dk). Jeton Bearer olarak gider ve platform Bearer'lı isteğe CSRF sormaz; oturum çerezleri gateway'de tutulmaz. Hatalar: 401 AppSessionInvalid (yanlış e-posta/parola), 429 (5 dk'da 10 deneme — tekrar denemeden önce bekleyin). Basit projede giriş uygulamanın kendi microservice ucudur (platform_guide('middleware')).",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            application: z.string().min(1).describe("Application slug'ı"),
+            email: z.string().min(1),
+            password: z.string().min(1).describe('Uygulama kullanıcısının parolası; gateway günlüğüne maskeli yazılır, yanıta girmez'),
+            expectFailure: z.boolean().optional().describe('true: hatalı giriş BEKLENİYOR (kasıtlı negatif test)')
+        },
+        annotations: writes
+    }, handle(config, async ({ project, environment, application, email, password }) => {
+        // anonymous: gateway kendi jetonunu eklemez ve 401'de jeton yenileyip İKİNCİ bir giriş denemesi
+        // yapmaz — yanlış parolanın iki kez sayılması hız sınırını (5 dk'da 10) boşuna tüketirdi.
+        const response = await platform.tenantRaw('POST', project, `/runtime/${encodeURIComponent(application)}/auth/sign-in`, { environment, body: { email, password }, anonymous: true });
+        const body = asRecord(response.body);
+        const data = asRecord(body.data);
+        const ok = response.httpStatus < 400;
+        const code = typeof body.code === 'string' ? body.code : undefined;
+        return {
+            httpStatus: response.httpStatus,
+            body: response.body,
+            ...(ok ? { session: { user: data.user, accessExpiresAt: data.accessTokenExpiresAt, refreshExpiresAt: data.refreshTokenExpiresAt } } : {}),
+            note: ok
+                ? "Oturum açıldı. tokenRefs içindeki 'body.data.accessToken' referansını asUser olarak verin; 15 dk sonra yeniden giriş gerekir. Kullanıcının yetkisi atamalarından gelir — erişemediği bir şey için access_preview."
+                : code === 'AppSessionRateLimitedException'
+                    ? 'Giriş hız sınırına takıldı (5 dk\'da 10 deneme). Beklemeden tekrar denemeyin.'
+                    : code === 'AppSignInFailedException'
+                        ? "E-posta ya da parola yanlış (ya da kullanıcı bu projenin 'users' tablosunda yok). Yeni projede users boş gelir — platform_guide('getting-started') §'Kompleks projede ilk kullanıcı'."
+                        : 'Giriş reddedildi; gövdedeki code/message nedeni söyler.'
+        };
+    }));
+    server.registerTool('access_runtime_get', {
+        title: 'Uygulama kullanıcısının erişim haritası',
+        description: "Giriş yapmış bir uygulama kullanıcısının O ANDAKİ erişim haritasını getirir (GET /{project}/runtime/{application}/access): zorlama modu, görebildiği sayfa slug'ları, çağırabildiği microservice slug'ları ve entity başına eylemler (read · create · update · delete …) + alan erişimleri (hidden/masked/plain · canWrite · canFilter). Uygulama menüsünü/butonlarını buna göre çizer. access_preview'dan farkı: o TEK bir kararı açıklar, bu kullanıcının bütün yüzeyini verir. asUser ZORUNLUDUR — bu uç gateway'in servis jetonuyla çağrılırsa uygulama kullanıcısı yoktur ve harita boş döner.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            application: z.string().min(1).describe("Application slug'ı"),
+            asUser: asUserRefParam
+        },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, application, asUser }) => {
+        const payload = await platform.tenant('GET', project, `/runtime/${encodeURIComponent(application)}/access`, { environment, headers: identityHeaders(asUser, undefined, undefined) });
+        const data = asRecord(payload?.data);
+        return {
+            ...payload,
+            summary: {
+                mode: data.mode,
+                pages: Array.isArray(data.pages) ? data.pages.length : 0,
+                microservices: Array.isArray(data.microservices) ? data.microservices.length : 0,
+                entities: Array.isArray(data.entities) ? data.entities.length : 0
+            },
+            note: data.mode === 'off'
+                ? "Zorlama KAPALI: harita her şeyi açık gösterir çünkü karar motoru çalışmıyor. Gerçek kapsamı görmek için environment'ı shadow/enforce'a alın (access_enforcement_mode_set)."
+                : "Harita bu kullanıcının o andaki yetkisidir; bir öğe eksikse nedenini access_preview söyler."
+        };
+    }));
+    server.registerTool('access_reveal', {
+        title: 'Maskeli alan değerini aç',
+        description: "Maskelenmiş (korumalı) bir alanın açık değerini TEK BİR SATIR için okur (POST /{project}/runtime/{application}/reveal). Kullanıcının o alanda 'field.reveal' izni olmalıdır; her çağrı GEREKÇESİYLE BİRLİKTE denetim izine yazılır ve hız sınırına tabidir (429). Maskeli değerin açığını okumanın başka yolu yoktur — row_list korumalı alanı maskeli döner. asUser zorunludur: gerekçe ve iz o kullanıcıya yazılır. Projenin revealReasonMinLength ayarı 0'dan büyükse daha kısa bir gerekçe 400 RevealReasonTooShort alır, hız sınırını tüketir ve denetim defterine REVEAL-DENIED düşer — gateway bunu çağrı gitmeden durdurur (ACC-010).",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            application: z.string().min(1).describe("Application slug'ı"),
+            asUser: asUserRefParam,
+            entityId: guid,
+            rowId: z.string().min(1).describe("Satırın birincil anahtar değeri"),
+            fieldSlug: z.string().min(1).describe("Alanın slug'ı (entity_get)"),
+            reason: z.string().min(1).max(1000).describe("Denetim izine yazılacak gerekçe; zorunludur ve boş bırakılamaz. Projenin revealReasonMinLength ayarından kısa olamaz (project_get / access_runtime_get)"),
+            expectFailure: z.boolean().optional().describe('true: reddedilmesi BEKLENİYOR (kasıtlı negatif test) — ACC-010 ön denetimi de atlanır')
+        },
+        annotations: writes
+    }, handle(config, async ({ project, environment, application, asUser, entityId, rowId, fieldSlug, reason, expectFailure }) => {
+        let findings = [];
+        if (expectFailure !== true && config.policyMode !== 'off') {
+            const minLength = await revealReasonMinLength(platform, project, environment, application, asUser);
+            if (reason.trim().length < minLength) {
+                findings = enforcePolicy(applyPolicyMode(config, [{
+                        ruleId: 'ACC-010',
+                        severity: 'block',
+                        message: `Gerekçe ${reason.trim().length} karakter, bu ortam en az ${minLength} istiyor (access_runtime_get → revealReasonMinLength). Platform bunu 400 RevealReasonTooShort ile reddeder, hız sınırını tüketir ve denetim defterine REVEAL-DENIED yazar — istek gönderilmedi. Kasıtlı olumsuz ölçüm yapıyorsanız expectFailure: true verin.`,
+                        guide: 'ngapps://guides/access'
+                    }]), false);
+            }
+        }
+        const response = await platform.tenantRaw('POST', project, `/runtime/${encodeURIComponent(application)}/reveal`, {
+            environment,
+            body: { entityId, rowId, fieldSlug, reason },
+            headers: identityHeaders(asUser, undefined, undefined)
+        });
+        const body = asRecord(response.body);
+        const code = typeof body.code === 'string' ? body.code : undefined;
+        return attachFindings({
+            httpStatus: response.httpStatus,
+            body: response.body,
+            note: response.httpStatus < 400
+                ? 'Değer açıldı ve çağrı denetim izine gerekçesiyle yazıldı.'
+                : code === 'AccessRevealDeniedException'
+                    ? "Kullanıcının bu alanda 'field.reveal' izni yok: grant'i access_matrix_get ile kontrol edin, kararı access_preview açıklar."
+                    : typeof body.message === 'string' && body.message.includes('RevealReasonTooShort')
+                        ? 'Gerekçe projenin asgari uzunluğunun altında (project_get → revealReasonMinLength); deneme REVEAL-DENIED olarak kaydedildi ve hız sınırını tüketti.'
+                        : response.httpStatus === 429
+                            ? 'Açma hız sınırına takıldı; beklemeden tekrar denemeyin.'
+                            : 'Açma reddedildi; gövdedeki code/message nedeni söyler.'
+        }, findings);
+    }));
+}

package/dist/tools/applications.js

@@ -1,6 +1,47 @@
 import { guid, pagingParams, readOnly, writes, updates, destructive } from './common.js';
 import { handle } from '../platform/responses.js';
+import { forgetApplication, readApplicationPlatform, resolveApplication } from '../knowledge/platform/resolve.js';
+import { mobileTabsProblems, readMobileTabs } from '../knowledge/platform/mobileTabs.js';
+import { findingLine } from '../knowledge/platform/profile.js';
+import { listComponents } from './components.js';
 import { z } from 'zod';
+/**
+ * MOB-007 (sekme ayarı) — `properties.mobile.tabs` yazan mobil uygulama çağrısının denetimi. Yazım
+ * platforma YİNE gider (D3; backend `properties`'i doğrulamaz): bulgu `platformWarnings`'e düşer.
+ * Sayfa ve widget listesi okunamazsa o denetimler atlanır, biçim denetimi yine koşar. Widget listesi
+ * `listComponents`'tan gelir: uç `type` verilmezse yalnız web bileşenlerini döner ve mobil widget'ı
+ * gösteren sekme ayarı yanlış MOB-007 alırdı (ARC-245).
+ */
+export async function mobileTabsWarnings(platform, applicationId, projectSlug, homepageId, properties) {
+    const tabs = readMobileTabs(properties);
+    if (tabs === undefined)
+        return [];
+    const pages = applicationId && projectSlug
+        ? await platform.tenant('GET', projectSlug, `/pages/${applicationId}`, { query: { pageIndex: 0, pageLength: 200 } })
+            .then(response => (response?.data ?? []).map(page => ({ id: String(page.id ?? '') })))
+            .catch(() => undefined)
+        : undefined;
+    const widgetIds = applicationId && projectSlug
+        ? await listComponents(platform, projectSlug, undefined, applicationId)
+            .then(components => new Set(components.filter(entry => entry.kind === 'widget').map(entry => String(entry.id ?? ''))))
+            .catch(() => undefined)
+        : undefined;
+    return mobileTabsProblems(tabs, {
+        ...(pages ? { pages } : {}),
+        ...(homepageId ? { homepageId } : {}),
+        ...(widgetIds ? { widgetIds } : {})
+    }).map(message => findingLine({
+        code: 'MOB-007',
+        severity: 'warn',
+        message,
+        guide: "platform_guide('mobile') §Gezinme"
+    }));
+}
+function withPlatformWarnings(response, warnings) {
+    if (warnings.length === 0 || !response || typeof response !== 'object' || Array.isArray(response))
+        return response;
+    return { ...response, platformWarnings: warnings };
+}
 export function registerApplicationTools(server, platform) {
     const config = platform.config;
     server.registerTool('application_list', {
@@ -34,7 +75,14 @@ export function registerApplicationTools(server, platform) {
             notFoundPageId: guid.optional()
         },
         annotations: writes
-    }, handle(config, ({ projectId, ...body }) => platform.org('POST', `/applications/${projectId}`, { body })));
+    }, handle(config, async ({ projectId, ...body }) => {
+        const warnings = readApplicationPlatform(body.type) === 'mobile'
+            ? await mobileTabsWarnings(platform, undefined, undefined, undefined, body.properties)
+            : [];
+        const response = await platform.org('POST', `/applications/${projectId}`, { body });
+        forgetApplication(platform);
+        return withPlatformWarnings(response, warnings);
+    }));
     server.registerTool('application_update', {
         title: 'Application güncelle',
         description: 'Application bilgilerini günceller; homepageId zorunludur (mevcut değeri application_get ile alın).',
@@ -49,11 +97,23 @@ export function registerApplicationTools(server, platform) {
             notFoundPageId: guid.optional()
         },
         annotations: updates
-    }, handle(config, ({ id, ...body }) => platform.org('PUT', `/applications/${id}`, { body })));
+    }, handle(config, async ({ id, ...body }) => {
+        const current = await resolveApplication(platform, id);
+        const warnings = current?.platform === 'mobile'
+            ? await mobileTabsWarnings(platform, id, current.projectSlug, body.homepageId, body.properties)
+            : [];
+        const response = await platform.org('PUT', `/applications/${id}`, { body });
+        forgetApplication(platform, id);
+        return withPlatformWarnings(response, warnings);
+    }));
     server.registerTool('application_delete', {
         title: 'Application sil',
         description: 'Application\'ı kalıcı olarak siler.',
         inputSchema: { id: guid },
         annotations: destructive
-    }, handle(config, args => platform.org('DELETE', `/applications/${args.id}`)));
+    }, handle(config, async (args) => {
+        const response = await platform.org('DELETE', `/applications/${args.id}`);
+        forgetApplication(platform, args.id);
+        return response;
+    }));
 }