@appaflytech/zeyrek-ai-mcp 0.0.36 → 0.0.40

package/dist/tools/dtos.js

@@ -1,5 +1,6 @@
 import { guid, projectParam, environmentParam, definitionParam, pagingParams, readOnly, writes, updates, destructive } from './common.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
+import { withNormalization } from '../knowledge/normalize.js';
 import { handle } from '../platform/responses.js';
 import { z } from 'zod';
 import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
@@ -29,16 +30,46 @@ export function registerDtoTools(server, platform) {
     }, handle(config, ({ project, environment, id }) => platform.tenant('GET', project, `/datatransferobjects/${id}/scheme`, { environment })));
     server.registerTool('dto_create', {
         title: 'DTO oluştur',
-        description: "Yeni DataTransferObject tanımlar (definition = CreateDataTransferObjectCommand). Workflow'un parameterDtoId/returnDtoId sözleşmeleri buradan çıkar; şablon için dto_get kullanın. " + constraintSummary('CreateDataTransferObjectCommand'),
+        description: "Yeni DataTransferObject tanımlar (definition = CreateDataTransferObjectCommand). Workflow'un parameterDtoId/returnDtoId sözleşmeleri buradan çıkar; şablon için dto_get kullanın. ALAN LİSTESİ 'children' alanındadır ve create gövdesinde YAZILIR; eşanlamlı olarak 'fields' de kabul edilir (gateway 'children'a çevirir — komut şemasında 'fields' yoktur ve platform onu sessizce düşürürdü, DTO-003). " + constraintSummary('CreateDataTransferObjectCommand'),
         inputSchema: { project: projectParam, environment: environmentParam, definition: definitionParam, policyOverride: policyOverrideParam },
         annotations: writes
     }, handle(config, async ({ project, environment, definition, policyOverride }) => {
+        const body = { ...definition };
+        const notes = [];
+        // DTO-003 / S2-28 — alan listesi 'fields' adıyla gelirse SESSİZCE kaybolurdu: komut şemasında
+        // öyle bir üye yok, platform bilinmeyen üyeyi atıyor ve yanıt children:[] dönüyor. Ad eşlenir.
+        if (Object.hasOwn(body, 'fields')) {
+            const alias = body.fields;
+            delete body.fields;
+            if (body.children === undefined && alias !== undefined && alias !== null) {
+                body.children = alias;
+                notes.push("'fields' → 'children' olarak yazıldı: create gövdesinde alan listesinin adı 'children'dır, 'fields' sessizce düşerdi (DTO-003)");
+            }
+            else if (alias !== undefined && alias !== null) {
+                notes.push("'fields' yok sayıldı: gövde zaten 'children' taşıyor (DTO-003)");
+            }
+        }
         // G-23: 09-05 koşusunda çocuk alanın `type: "text"` değeri sessizce `object`'e çevrildi ve
         // bu ancak platformun kendi ürettiği bir DTO okunarak fark edildi. Doğrusu `"string"` —
-        // DTO-001 tip sözlüğünü artık istek gitmeden denetler.
-        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'dto', definition, { operation: 'create' }, policyOverride));
-        const payload = await platform.tenant('POST', project, '/datatransferobjects', { environment, body: definition });
-        return attachFindings(withWriteDiff(payload, writeDiff(definition, payload)), findings);
+        // DTO-001 tip sözlüğünü artık istek gitmeden denetler. Denetim eşlemeden SONRA koşar ki
+        // 'fields' ile gelen çocuklar da (slug zorunluluğu dâhil) ilk adımda yakalansın.
+        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'dto', body, { operation: 'create' }, policyOverride));
+        let payload = await platform.tenant('POST', project, '/datatransferobjects', { environment, body });
+        // İkinci adım EMNİYET KEMERİDİR, kural değil: 2026-09-20 ölçümünde create çocukları yazdı.
+        // Yazmayan bir platform sürümünde (ya da bir alt kümeyi düşürdüğünde) gateway aynı yanıt
+        // içinde update ile tamamlar — çağıran iki adımı görmez.
+        const requested = Array.isArray(body.children) ? body.children : [];
+        const created = (payload?.data ?? payload);
+        const savedChildren = created?.children;
+        const createdId = typeof created?.id === 'string' ? created.id : undefined;
+        if (requested.length > 0 && createdId !== undefined && (!Array.isArray(savedChildren) || savedChildren.length < requested.length)) {
+            payload = await platform.tenant('PUT', project, `/datatransferobjects/${createdId}`, {
+                environment,
+                body: { ...body, id: createdId }
+            });
+            notes.push(`alan listesi ikinci adımda update ile yazıldı: create ${requested.length} çocuğun ${Array.isArray(savedChildren) ? savedChildren.length : 0} tanesini kaydetti (DTO-003)`);
+        }
+        return attachFindings(withNormalization(withWriteDiff(payload, writeDiff(body, payload)), notes), findings);
     }));
     server.registerTool('dto_update', {
         title: 'DTO güncelle',

package/dist/tools/entities.js

@@ -1,6 +1,8 @@
 import { guid, entityRef, resolveEntityId, withResolved, projectParam, environmentParam, definitionParam, pagingParams, readOnly, writes, updates, destructive, microOps } from './common.js';
 import { RefResolver, isGuid } from '../platform/refs.js';
-import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
+import { evaluatePolicy, enforcePolicy, attachFindings, applyPolicyMode } from '../knowledge/policy.js';
+import { changedExistingProtections, fieldProtectionFindings, protectionMaskTypes } from '../knowledge/access.js';
+import { PlatformApiError } from '../platform/errors.js';
 import { splitJunctionFields, withNormalization } from '../knowledge/normalize.js';
 import { unmappedMembers, introducedUnmappedMembers, withUnmappedMembers } from '../knowledge/schemaGuard.js';
 import { entityOutline, resolvePart, resolvePatchOperations, patchedSections } from '../knowledge/outlines.js';
@@ -8,10 +10,11 @@ import { patchResult, baseVersionOf } from '../platform/patch.js';
 import { isJunctionField, policyRules } from '../knowledge/rules.js';
 import { handle } from '../platform/responses.js';
 import fastJsonPatch from 'fast-json-patch';
+import { jsonArray } from '../platform/jsonArray.js';
 import { z } from 'zod';
 const policyOverrideParam = z.boolean().optional()
     .describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)');
-const patchOperationsParam = z.array(z.record(z.unknown())).min(1)
+const patchOperationsParam = jsonArray(z.array(z.record(z.unknown())).min(1))
     .describe("RFC 6902 JSON Patch işlemleri; path'leri view:'outline'/'part' ile keşfedin");
 function preserveApplicationBinding(definition) {
     if (Array.isArray(definition.applicationIds))
@@ -113,7 +116,7 @@ export function registerEntityTools(server, platform) {
     }));
     server.registerTool('entity_create', {
         title: 'Entity oluştur',
-        description: "Datasource altında yeni entity oluşturur (definition = CreateEntityCommand: name, fields[], applicationIds, ...). İlişkiler ve alan tipi kararı için platform_guide('entity') okuyun. Gövde politika kontrolünden geçer. applicationIds create'te platformca bağlanır (CreateEntityCommandHandler entityApplications'ı Entity ctor'una geçirir); satır uçları bu bağa İHTİYAÇ DUYMAZ — bağ yalnız Studio'nun application'a göre entity listesini ve bağımlılık sorgularını etkiler. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'. SEÇİM LİSTESİNE (enum) TEK DEĞER: listeyi yeniden göndermeyin — ekleme `{op:'add', path:'/fields[slug=status]/valueOptions/-', value:{value:'Onayda', order:4}}`, silme `{op:'remove', path:'/fields[slug=status]/valueOptions[value=Eski]'}`, yeniden adlandırma `{op:'replace', path:'/fields[slug=status]/valueOptions[value=Eski]/value', value:'Yeni'}`; `isEnum` türetilmiştir, ayrıca yazılmaz. Silme/yeniden adlandırmadan ÖNCE o değeri taşıyan satırları taşıyın — yoksa istek reddedilir ve hiçbir şey yazılmaz ('check constraint … is violated by some row') (platform_guide('entity') §'Alan tipine karar verme').",
+        description: "Datasource altında yeni entity oluşturur (definition = CreateEntityCommand: name, fields[], applicationIds, ...). İlişkiler ve alan tipi kararı için platform_guide('entity') okuyun. Alan koruması (fields[].protection: masked · encrypted · masked-encrypted) ve türetilmiş sorgu alanı (fields[].derivedFromFieldId + derivationRule) aynı gövdede geçirgen gider — korunamayan tip/display (PROT-003) ve geçersiz türetme kuralı (PROT-004) istek gitmeden durur; kurallar platform_guide('access') §'Alan koruması'. Gövde politika kontrolünden geçer. applicationIds create'te platformca bağlanır (CreateEntityCommandHandler entityApplications'ı Entity ctor'una geçirir); satır uçları bu bağa İHTİYAÇ DUYMAZ — bağ yalnız Studio'nun application'a göre entity listesini ve bağımlılık sorgularını etkiler. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'. SEÇİM LİSTESİNE (enum) TEK DEĞER: listeyi yeniden göndermeyin — ekleme `{op:'add', path:'/fields[slug=status]/valueOptions/-', value:{value:'Onayda', order:4}}`, silme `{op:'remove', path:'/fields[slug=status]/valueOptions[value=Eski]'}`, yeniden adlandırma `{op:'replace', path:'/fields[slug=status]/valueOptions[value=Eski]/value', value:'Yeni'}`; `isEnum` türetilmiştir, ayrıca yazılmaz. Silme/yeniden adlandırmadan ÖNCE o değeri taşıyan satırları taşıyın — yoksa istek reddedilir ve hiçbir şey yazılmaz ('check constraint … is violated by some row') (platform_guide('entity') §'Alan tipine karar verme').",
         inputSchema: { project: projectParam, environment: environmentParam, datasourceId: guid, definition: definitionParam, policyOverride: policyOverrideParam },
         annotations: writes
     }, handle(config, async ({ project, environment, datasourceId, definition, policyOverride }) => {
@@ -128,12 +131,28 @@ export function registerEntityTools(server, platform) {
         if (!createdId) {
             throw new Error(`Entity kuruldu ama id okunamadı; m2m alanları (${deferred.map(field => field.slug ?? field.name).join(', ')}) eklenmedi — entity_get ile kaydı bulup entity_patch ile ekleyin.`);
         }
-        const current = await platform.tenant('GET', project, `/entities/${datasourceId}/${createdId}`, { environment });
-        const full = structuredClone((current?.data ?? current));
-        full.fields = [...(Array.isArray(full.fields) ? full.fields : []), ...deferred];
-        preserveApplicationBinding(full);
-        const updated = await platform.tenant('PUT', project, `/entities/${createdId}`, { environment, body: full });
-        const note = `m2m/çoklu alanlar (${deferred.map(field => field.slug ?? field.name).join(', ')}) ayrı bir güncelleme turunda eklendi: create yolu junction kaydını açar ama fiziksel tabloyu kurmaz (platform bug'ı P-01), update yolu kurar.`;
+        // 38/U-15: ertelenen alanlar TEK TEK eklenir. Hepsi tek PUT'ta gidince çoklu enum (VARCHAR + many-to-many +
+        // valueOptions) başka bir junction alanıyla birlikteyken platform 400 RowHasExistingRelation ("Related table:
+        // 'Entities', column: 'Relation Id'") döndü: çoklu enum alanının relationId'si aynı güncellemede açılan değer
+        // entity'sini gösterir ve iki junction'lı yazmada alan kaydı o entity'den önce düşüyor (EntityService.UpdateAsync
+        // fieldRepository.CreateRange → manyToManyFieldProcessor/entityRepository.Create). Ölçüldü 2026-09-21 cdt-mcp:
+        // m2m+dosya-m2m+çoklu enum, dosya-m2m+çoklu enum, çoklu enum×2 düştü; m2m×2 geçti; tek tek hepsi geçti.
+        let updated;
+        for (const field of deferred) {
+            const current = await platform.tenant('GET', project, `/entities/${datasourceId}/${createdId}`, { environment });
+            const full = structuredClone((current?.data ?? current));
+            full.fields = [...(Array.isArray(full.fields) ? full.fields : []), field];
+            preserveApplicationBinding(full);
+            try {
+                updated = await platform.tenant('PUT', project, `/entities/${createdId}`, { environment, body: full });
+            }
+            catch (error) {
+                const added = deferred.slice(0, deferred.indexOf(field)).map(item => item.slug ?? item.name);
+                const missing = deferred.slice(deferred.indexOf(field)).map(item => item.slug ?? item.name);
+                throw new PlatformApiError(`Entity ${createdId} kuruldu${added.length ? `, ${added.join(', ')} eklendi` : ''}; '${String(field.slug ?? field.name)}' eklenirken platform reddetti: ${error instanceof Error ? error.message : String(error)} — eklenmeyen alanlar (${missing.join(', ')}) entity_patch ile tek tek eklenebilir.`, error instanceof PlatformApiError ? error.status : 400, error instanceof PlatformApiError ? error.code : undefined);
+            }
+        }
+        const note = `m2m/çoklu alanlar (${deferred.map(field => field.slug ?? field.name).join(', ')}) ayrı güncelleme turlarında TEK TEK eklendi: create yolu junction kaydını açar ama fiziksel tabloyu kurmaz (platform bug'ı P-01), update yolu kurar; çoklu enum başka bir junction alanıyla aynı güncellemede platformda düşer (38/U-15).`;
         return attachFindings(withUnmappedMembers(withNormalization(updated, [note]), drift), findings);
     }));
     server.registerTool('entity_create_discovered', {
@@ -144,7 +163,7 @@ export function registerEntityTools(server, platform) {
     }, handle(config, ({ project, environment, datasourceId, definition }) => platform.tenant('POST', project, `/entities/${datasourceId}/discovered`, { environment, body: definition })));
     server.registerTool('entity_update', {
         title: 'Entity güncelle',
-        description: "Entity tanımını günceller (tam gövde). Hedefli değişiklik için entity_patch tercih edin. Gövde politika kontrolünden geçer. DİKKAT: gövdede 'indexes' YOKSA platform entity'nin bütün index'lerini siler — gateway alan verilmemişse mevcut index'leri taşır ve bunu bildirir; silmek için 'indexes: []' yazın. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'.",
+        description: "Entity tanımını günceller (tam gövde). VAR OLAN alanın korumasını bu araç değiştiremez (platform 400 ProtectionChangeNotAllowed) — entity_protection_update; yeni alan korumayı gövdeyle alır (PROT-003/PROT-004). Türetilmiş alan eklemek ya da kaynağını/kuralını değiştirmek dolu satırları arka planda dolduran bir derived-fill işi açar (tablo kilitlenmez); bitişi import_history { entityId } ile izleyin. Hedefli değişiklik için entity_patch tercih edin. Gövde politika kontrolünden geçer. DİKKAT: gövdede 'indexes' YOKSA platform entity'nin bütün index'lerini siler — gateway alan verilmemişse mevcut index'leri taşır ve bunu bildirir; silmek için 'indexes: []' yazın. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'.",
         inputSchema: { project: projectParam, environment: environmentParam, datasourceId: guid.optional().describe('Verilmezse gateway datasource ağacından bulur'), id: entityRef, definition: definitionParam, policyOverride: policyOverrideParam },
         annotations: updates
     }, handle(config, async ({ project, environment, datasourceId, id, definition, policyOverride }) => {
@@ -159,7 +178,7 @@ export function registerEntityTools(server, platform) {
     }));
     server.registerTool('entity_patch', {
         title: 'Entity\'ye patch uygula',
-        description: "Tam gövdeyi bağlama almadan hedefli değişiklik: gateway mevcut tanımı okur, yolları çözer ve op'ları platformun PATCH /entities/{id} ucuna `{ baseVersion, ops }` olarak geçirir — tam gövde PUT'u ATILMAZ, yalnız fark yazılır. Yanıt outline özetidir. YOLLARDA SEÇİCİ KULLANIN, indeks değil: '/fields[slug=email]/nullable' — indeksle yazmak alan sırası değişince SESSİZCE yanlış alanı yazar. Gateway seçiciyi indekse çevirir ve hangi kayda indiğini yanıttaki patchTargets ile söyler. `baseVersion` okunan kaydın `version` alanından gelir; kayıt bu arada değiştiyse platform 409 döner ve HİÇBİR op uygulanmaz. 'applications' → 'applicationIds' çevirisini artık platform yapar. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'.",
+        description: "YENİ alanı korumayla ya da türetilmiş alan olarak eklemek için de kullanılır (PROT-003/PROT-004); eklenen ya da kuralı değişen türetilmiş alanı dolu satırlarda derived-fill işi doldurur (tablo kilitlenmez, bitiş import_history { entityId }). VAR OLAN alanın korumasını değiştirmez — platform 400 ProtectionChangeNotAllowed döner, gateway istek göndermeden durdurur ve yol entity_protection_update'tir. Tam gövdeyi bağlama almadan hedefli değişiklik: gateway mevcut tanımı okur, yolları çözer ve op'ları platformun PATCH /entities/{id} ucuna `{ baseVersion, ops }` olarak geçirir — tam gövde PUT'u ATILMAZ, yalnız fark yazılır. Yanıt outline özetidir. YOLLARDA SEÇİCİ KULLANIN, indeks değil: '/fields[slug=email]/nullable' — indeksle yazmak alan sırası değişince SESSİZCE yanlış alanı yazar. Gateway seçiciyi indekse çevirir ve hangi kayda indiğini yanıttaki patchTargets ile söyler. `baseVersion` okunan kaydın `version` alanından gelir; kayıt bu arada değiştiyse platform 409 döner ve HİÇBİR op uygulanmaz. 'applications' → 'applicationIds' çevirisini artık platform yapar. `fields[].isLocalized: true` alanı ana tablodan çıkarıp companion `<slug>_localization` entity'sine taşır (yalnız düz METİN alanı; anahtar/unique/ilişki olamaz) — platform_guide('entity') §'Çoklu dilli alan'.",
         inputSchema: { project: projectParam, environment: environmentParam, datasourceId: guid.optional().describe('Verilmezse gateway datasource ağacından bulur'), id: entityRef, operations: patchOperationsParam.optional(), ops: patchOperationsParam.optional().describe("'operations' ile aynı alan (eşanlamlı) — sayfa micro-op tool'larıyla aynı adı kullanabilmeniz için"), policyOverride: policyOverrideParam },
         annotations: updates
     }, handle(config, async ({ project, environment, datasourceId, id, operations: givenOperations, ops, policyOverride }) => {
@@ -171,6 +190,10 @@ export function registerEntityTools(server, platform) {
         const resolvedOps = resolvePatchOperations(definition, operations, 'entity_get');
         // Politika, yazmadan önce sonucu görmeli; yerel kopya YALNIZ değerlendirme için, gövde olarak gönderilmez.
         const preview = fastJsonPatch.applyPatch(definition, resolvedOps.operations, true, false).newDocument;
+        const protectionChanges = changedExistingProtections(current?.data ?? current, preview);
+        if (protectionChanges.length > 0) {
+            throw new PlatformApiError(`entity_patch: var olan alanın korumasını değiştiriyor (${protectionChanges.join(', ')}) — platform bunu 400 ProtectionChangeNotAllowed ile reddeder, çünkü dolu satırlar arka plan işiyle dönüştürülmelidir. entity_protection_update { entityId, field: '${protectionChanges[0]}', protection } kullanın; istek gönderilmedi. Yeni bir alanı korumayla eklemek entity_patch ile serbesttir.`, 400);
+        }
         const findings = [
             ...enforcePolicy(evaluatePolicy(config, policyRules, 'entity', preview, { operation: 'update' }, policyOverride)),
             ...inPlaceIndexEdits(current?.data ?? current, preview)
@@ -195,6 +218,48 @@ export function registerEntityTools(server, platform) {
             outline: entityOutline(written.data)
         }, resolver.resolved), drift), findings);
     }));
+    server.registerTool('entity_protection_update', {
+        title: 'Alan korumasını değiştir',
+        description: "VAR OLAN bir alanın koruma modunu değiştirir (none · masked · encrypted · masked-encrypted): platform gizli kolonları ekler ve dolu satırları arka plan işiyle dönüştürür — yanıt 202 + jobId; ilerleme import_status { jobId } (aynı DataJobs ucu, tür protection-apply / protection-remove). entity_update / entity_patch var olan alanın korumasını DEĞİŞTİREMEZ (400 ProtectionChangeNotAllowed). İş sürerken aynı entity'ye yazım 409; iş hata verirse AYNI çağrı kaldığı yerden sürdürür. PROT-003 istek gitmeden uygulanır; kurallar platform_guide('access') §'Alan koruması'.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            entityId: entityRef,
+            field: z.string().min(1).describe("Alanın id'si (GUID) ya da slug'ı"),
+            protection: z.object({
+                mode: z.enum(['none', 'masked', 'encrypted', 'masked-encrypted']).describe("'none' korumayı kaldırır"),
+                mask: z.object({
+                    type: z.enum(protectionMaskTypes()),
+                    visible: z.number().int().min(0).optional().describe('last-n / first-n için > 0; phone varsayılanı 2 hane; first-n-last-n\'de baştan görünen karakter sayısı (> 0)'),
+                    visibleEnd: z.number().int().min(0).optional().describe('Yalnız first-n-last-n: sondan görünen karakter sayısı (> 0) — 10000000146, visible 3 + visibleEnd 2 → 100******46'),
+                    char: z.string().length(1).optional().describe("Varsayılan '*'; phone maskesinde ayırıcı ya da boşluk (+-()./) olamaz"),
+                    pattern: z.string().optional().describe("pattern türünde: '#' açık karakter, diğerleri olduğu gibi yazılır")
+                }).optional().describe('masked ve masked-encrypted modunda zorunlu'),
+                exactSearch: z.boolean().optional().describe('Şifreli modda tam eşleşme araması için blind index (HMAC) kolonu'),
+                normalize: z.enum(['none', 'digits', 'lower', 'trim']).optional().describe('Eşleşme ve blind index öncesi değeri normalleştirir (TCKN için digits)')
+            }),
+            policyOverride: z.boolean().optional().describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)')
+        },
+        annotations: updates
+    }, handle(config, async ({ project, environment, entityId, field, protection, policyOverride }) => {
+        const resolver = new RefResolver(platform, project, environment);
+        const entity = await resolver.entity(entityId);
+        const record = await resolver.entityRecord(entity);
+        const fields = (Array.isArray(record.fields) ? record.fields : []);
+        const target = fields.find(entry => entry.id === field || entry.slug === field);
+        if (!target) {
+            throw new PlatformApiError(`entity_protection_update: '${field}' alanı '${entity.slug}' entity'sinde yok. Alanları entity_get view:'outline' ile görün.`, 404);
+        }
+        const findings = config.policyMode === 'off' ? [] : enforcePolicy(applyPolicyMode(config, fieldProtectionFindings([{ ...target, protection }]), policyOverride));
+        const payload = await platform.tenant('POST', project, `/entities/${entity.entityId}/fields/${String(target.id)}/protection`, { environment, body: { protection } });
+        const jobId = payload?.data?.jobId ?? payload?.data?.dataJobId;
+        return attachFindings(withResolved({
+            jobId,
+            field: target.slug,
+            mode: protection.mode,
+            note: `Koruma işi kuyruğa alındı. İlerleme: import_status { jobId: '${String(jobId)}' }. İş bitene kadar '${entity.slug}' entity'sine yazım 409 döner ve okumalar geçiş durumundadır (işlenmiş satırlar maskeli, işlenmemişler düz). Anahtar yapılandırılmamış ortamda iş ProtectionKeyUnavailable ile düşer.`
+        }, resolver.resolved), findings);
+    }));
     server.registerTool('entity_delete', {
         title: 'Entity sil',
         description: 'Entity tanımını siler; önce entity_dependencies ile bağımlılıklarını kontrol edin.',
@@ -237,13 +302,15 @@ export function registerEntityTools(server, platform) {
     }, handle(config, ({ project, environment, id }) => platform.tenant('GET', project, `/entities/${id}/dependencies`, { environment })));
     server.registerTool('entity_audit_trails', {
         title: 'Audit kayıtları',
-        description: 'Entity\'nin satır bazlı audit trail kayıtlarını listeler (audit trail açık olmalı).',
+        description: 'Entity\'nin satır bazlı audit trail kayıtlarını listeler (audit trail açık olmalı). `source: CONNECT_DATA` bağlı bileşenden (connectData ucu) gelen yazmaları süzer.',
         inputSchema: {
             project: projectParam,
             environment: environmentParam,
             entityId: guid,
             rowId: z.string().optional(),
             userId: z.string().optional(),
+            action: z.enum(['CREATE', 'UPDATE', 'DELETE', 'REVEAL', 'UNRESTRICTED-QUERY']).optional(),
+            source: z.enum(['PLATFORM', 'APPLICATION', 'CONNECT_DATA']).optional(),
             ...pagingParams
         },
         annotations: readOnly

package/dist/tools/environments.js

@@ -4,7 +4,7 @@ import { handle } from '../platform/responses.js';
 import { z } from 'zod';
 /** Aggregate kuralının aynası (`Environment` ctor); gerçek koruma backend'dedir. Kural `common.ts`'te. */
 const branchName = z.string().regex(branchNamePattern)
-    .describe("Dal adı: küçük harfle başlar, yalnız küçük harf/rakam/alt çizgi, 3-31 karakter. Bu ad PG şema adı olur.");
+    .describe("Dal adı: küçük harfle başlar; küçük harf/rakam/alt çizgi/tire ve '/' ile ayrılmış parçalar (ör. feature/odeme), 3-31 karakter. Bu ad PG şema adı olur ve değişmez; adres parçası (slug) '/' yerine '-' taşır.");
 function assertBranchName(name) {
     if (isReservedEnvironmentName(name)) {
         throw new PlatformApiError(`environment_create: '${name}' rezerve bir şema adı — dal adı olarak kullanılamaz. Başka bir ad seçin.`, 400);

package/dist/tools/externalComponents.js

@@ -7,6 +7,23 @@ import { z } from 'zod';
 import { evaluatePolicy, enforcePolicy } from '../knowledge/policy.js';
 import { policyRules } from '../knowledge/rules.js';
 import { EXTERNAL_COMPONENT_PROTOCOL_VERSION } from '../knowledge/backendConstraints.js';
+import { resolveProfile } from '../knowledge/platform/resolve.js';
+import { findingLine } from '../knowledge/platform/profile.js';
+/**
+ * MOB-006 — harici bileşen protokolü v1 tarayıcıda koşan `.mjs` custom element'tir; mobil
+ * uygulamanın native çizeri onu yükleyemez (mobil protokol v2 Faz 3). Profil kapalı derse çağrı
+ * platforma GİTMEZ: yüklenen paket hiçbir ekranda çizilmeyecekti.
+ */
+async function assertExternalComponentsAllowed(platform, applicationId, tool) {
+    const resolved = await resolveProfile(platform, applicationId);
+    if (resolved.profile.externalComponents)
+        return;
+    throw new PlatformApiError(`${tool}: ${findingLine({
+        code: 'MOB-006',
+        severity: 'warn',
+        message: "harici bileşen mobil uygulamada desteklenmiyor — protokol v1 tarayıcıda koşan .mjs custom element'tir, native çizer onu yükleyemez (mobil protokol v2 Faz 3). Çağrı platforma gönderilmedi; mobil ekranı katalog bileşenleriyle kurun (component_list). Katalogda karşılığı olmayan küçük görünüm için geçici yol 'html' bileşenidir: içerik korumalı belgede tema değişkenleriyle çizilir, fireEvent/ngApps.emit ile akışa bağlanır (component_get('html'))."
+    })}`, 400);
+}
 /** Platformun köprü protokolü; scaffold ve publish bu sürüme göre üretir/doğrular (backend ExternalComponentRules.CurrentProtocolVersion) */
 const PROTOCOL_VERSION = EXTERNAL_COMPONENT_PROTOCOL_VERSION;
 /** Backend `ExternalComponentRules.MaxBundleSizeBytes` ile aynı sınır */
@@ -199,6 +216,7 @@ export function registerExternalComponentTools(server, platform) {
         },
         annotations: writes
     }, handle(config, async ({ project, environment, applicationId, bundlePath, manifestPath, version }) => {
+        await assertExternalComponentsAllowed(platform, applicationId, 'external_component_publish');
         const manifestFile = resolve(manifestPath);
         const bundleFile = resolve(bundlePath);
         let manifest;
@@ -224,7 +242,7 @@ export function registerExternalComponentTools(server, platform) {
         }
         // EXT-001: protocolVersion, definition.blocks, ayrılmış prop adları ve prop tipleri — kayıt
         // ucu 422 dönmeden manifest'te yakalanır; paket yükleme ikinci istek olduğu için yarım kayıt kalmaz.
-        enforcePolicy(evaluatePolicy(config, policyRules, 'externalComponent', { ...manifest, slug }, { operation: 'create' }));
+        enforcePolicy(evaluatePolicy(config, policyRules, 'externalComponent', { ...manifest, slug }, { operation: 'create' }), false);
         const record = await platform.tenant('POST', project, `/components/${applicationId}/external`, {
             environment,
             body: {
@@ -262,10 +280,13 @@ export function registerExternalComponentTools(server, platform) {
             acknowledgeWarnings: z.boolean().optional().describe('Doğrulama uyarılarını okuyup kabul ettiğinizi bildirir; uyarısı olan sürümlerde zorunlu')
         },
         annotations: updates
-    }, handle(config, ({ project, environment, applicationId, slug, version, acknowledgeWarnings }) => platform.tenant('POST', project, `/components/${applicationId}/external/${slug}/activate`, {
-        environment,
-        body: { version, acknowledgeWarnings: acknowledgeWarnings === true }
-    })));
+    }, handle(config, async ({ project, environment, applicationId, slug, version, acknowledgeWarnings }) => {
+        await assertExternalComponentsAllowed(platform, applicationId, 'external_component_activate');
+        return platform.tenant('POST', project, `/components/${applicationId}/external/${slug}/activate`, {
+            environment,
+            body: { version, acknowledgeWarnings: acknowledgeWarnings === true }
+        });
+    }));
     server.registerTool('external_component_versions', {
         title: 'Paket sürümlerini listele',
         description: 'Bir harici komponentin yayınlanmış paket sürümlerini, hangisinin aktif olduğunu ve her sürümün doğrulama raporunu listeler. Geri alınacak sürümü buradan seçin.',

package/dist/tools/flows.js

@@ -1,6 +1,7 @@
 import { fetchHost, flowPath, hostParam, unwrap } from './screens.js';
 import { guid, projectParam, environmentParam, readOnly, writes, updates, destructive, microOps } from './common.js';
-import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
+import { applyPolicyMode, evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
+import { connectedSetterFindings } from '../knowledge/connectDataDefinition.js';
 import { flowBindings, normalizeFlowSteps, targetlessSetterWarnings, unknownSetterTargetWarnings, withNormalization } from '../knowledge/normalize.js';
 import { flowBodyWarnings } from '../knowledge/coverage.js';
 import { PlatformApiError } from '../platform/errors.js';
@@ -13,6 +14,8 @@ import { policyRules, flowExpressionSites } from '../knowledge/rules.js';
 import { functionCallRefs } from '../knowledge/functionGuards.js';
 import { existingMatch, ifExistsParam, platformRename, withRename } from '../platform/ifExists.js';
 import { randomUUID } from 'node:crypto';
+import { flowProfileWarnings } from './profileWrite.js';
+import { jsonArray } from '../platform/jsonArray.js';
 import { z } from 'zod';
 /**
  * Akış yazması yanıtında gövdeyi geri döndürmüyor, bu yüzden diff için akışı bir kez okuruz.
@@ -34,9 +37,9 @@ async function flowWriteDrops(platform, host, project, environment, applicationI
         return emptyWriteDiff();
     }
 }
-const stepsParam = z.array(z.record(z.unknown())).describe("Adım listesi (StepManagementSchema: { stepId, name, type, kind, args, branches }). DİKKAT: branches[].nextStepId bir GUID değil, hedef adımın stepId STRING'idir; dal ADI motorun anahtarıdır ve start/setter/code/function adımlarında 'always' olmak zorundadır. Tam şablon: ngapps://examples/flow-load-table (ya da flow_get çıktısı); adım tipleri ve setter/parameters şekli platform_guide('page') Kural 1c. Kullanıcı fonksiyonu çağırmak için 'function' adımı: { type:'function', args:{ functionId:'<function_list id>', functionName:'<ad>', parameters:[{ name:'<bildirimdeki ad>', value:{ type:'static'|'property'|'storage'|'state'|'code', ref } }] } } → çıktı Steps.<adımAdı>.data (ngapps://examples/flow-call-function, platform_guide('functions')).");
+const stepsParam = jsonArray(z.array(z.record(z.unknown()))).describe("Adım listesi (StepManagementSchema: { stepId, name, type, kind, args, branches }). DİKKAT: branches[].nextStepId bir GUID değil, hedef adımın stepId STRING'idir; dal ADI motorun anahtarıdır ve start/setter/code/function adımlarında 'always' olmak zorundadır. Tam şablon: ngapps://examples/flow-load-table (ya da flow_get çıktısı); adım tipleri ve setter/parameters şekli platform_guide('page') Kural 1c. Kullanıcı fonksiyonu çağırmak için 'function' adımı: { type:'function', args:{ functionId:'<function_list id>', functionName:'<ad>', parameters:[{ name:'<bildirimdeki ad>', value:{ type:'static'|'property'|'storage'|'state'|'code', ref } }] } } → çıktı Steps.<adımAdı>.data (ngapps://examples/flow-call-function, platform_guide('functions')).");
 const policyOverrideParam = z.boolean().optional();
-const patchOperationsParam = z.array(z.record(z.unknown())).min(1).describe("RFC 6902 JSON Patch işlemleri; yolları flow_get çıktısıyla keşfedin. Dizi öğelerinde indeks yerine seçici kullanılabilir: '/steps[stepId=paint]/args/iteratees[element=tbl_recruiters]/mapping/source' — seçici gövde platforma gitmeden indekse çevrilir, çözülemezse istek hiç gönderilmez.");
+const patchOperationsParam = jsonArray(z.array(z.record(z.unknown())).min(1)).describe("RFC 6902 JSON Patch işlemleri; yolları flow_get çıktısıyla keşfedin. Dizi öğelerinde indeks yerine seçici kullanılabilir: '/steps[stepId=paint]/args/iteratees[element=tbl_recruiters]/mapping/source' — seçici gövde platforma gitmeden indekse çevrilir, çözülemezse istek hiç gönderilmez.");
 const flowIdParam = guid.describe("Akış id'si; şemadaki events[].value bu id'dir");
 function flowSummary(flow) {
     return {
@@ -56,6 +59,27 @@ function hostNodes(record) {
     return record.schema ?? record.views ?? [];
 }
 const BINDINGS_UNAVAILABLE = 'Barındırıcı kaydı okunamadığı için olay bağları hesaplanamadı; akış listesi yine de günceldir.';
+/**
+ * TB-126 / S2-36 — satır aksiyonu taşıyabilen komponentler. Bu tiplerin `actions` prop'unu çoğu
+ * zaman YÜKLEME AKIŞI çalışma zamanında yazar (aksiyon role göre eklenip çıkarılıyorsa başka yolu
+ * da yoktur), yani bağ statik şemada GÖRÜNMEZ. Böyle bir sayfada "bağsız akışları temizle" refleksi
+ * canlı aksiyonu siler; `unboundFlowIds` bu yüzden dürüstçe işaretlenir.
+ */
+const RUNTIME_ACTION_TYPES = new Set(['table', 'datatable']);
+const RUNTIME_BINDING_NOTE = 'Bu barındırıcıda satır aksiyonu taşıyan bir tablo var: satır aksiyonları çalışma zamanında yazılabilir, '
+    + 'silmeden önce doğrulayın — unboundFlowIds statik şemadan hesaplanır ve çalışma zamanı bağını göremez.';
+function hasRuntimeActionHost(nodes) {
+    for (const node of Array.isArray(nodes) ? nodes : []) {
+        if (!node || typeof node !== 'object')
+            continue;
+        const record = node;
+        if (typeof record.type === 'string' && RUNTIME_ACTION_TYPES.has(record.type))
+            return true;
+        if (hasRuntimeActionHost(record.children))
+            return true;
+    }
+    return false;
+}
 /**
  * Akış listesine bağları ekler. `danglingBindings` ters yönü söyler: şemada id'si geçen ama
  * barındırıcıda karşılığı olmayan akış — olay tetiklenir, hiçbir şey koşmaz.
@@ -68,9 +92,12 @@ function flowListResult(flows, record) {
     const danglingBindings = [...bindings.entries()]
         .filter(([flowId]) => !known.has(flowId))
         .flatMap(([flowId, entries]) => entries.map(entry => ({ flowId, ...entry })));
+    const unboundFlowIds = flows.map(flow => String(flow.id)).filter(flowId => !bindings.has(flowId.toLowerCase()));
+    const mayBeBoundAtRuntime = unboundFlowIds.length > 0 && hasRuntimeActionHost(hostNodes(record));
     return {
         flows: flows.map(flow => ({ ...flowSummary(flow), bindings: bindings.get(String(flow.id).toLowerCase()) ?? [] })),
-        unboundFlowIds: flows.map(flow => String(flow.id)).filter(flowId => !bindings.has(flowId.toLowerCase())),
+        unboundFlowIds,
+        ...(mayBeBoundAtRuntime ? { mayBeBoundAtRuntime: true, mayBeBoundAtRuntimeNote: RUNTIME_BINDING_NOTE } : {}),
         ...(danglingBindings.length > 0 ? { danglingBindings } : {})
     };
 }
@@ -274,7 +301,7 @@ async function functionWarnings(platform, host, project, environment, applicatio
         }
         const missing = fn.parameters.filter(parameter => parameter.required && !given.includes(parameter.name)).map(parameter => parameter.name);
         if (missing.length > 0) {
-            warnings.add(`FLOW-024: '${label(step)}' adımında '${fn.name}' fonksiyonunun zorunlu parametresi eksik: ${missing.join(', ')} — çağrı 'Functions.${fn.name}: "${missing[0]}" is required' ile düşer, Steps.${String(step.name ?? label(step))}.error dolar ve akış hata gövdesiyle 'always' dalından devam eder.`);
+            warnings.add(`FLOW-024: '${label(step)}' adımında '${fn.name}' fonksiyonunun zorunlu parametresi eksik: ${missing.join(', ')} — çağrı 'Functions.${fn.name}: "${missing[0]}" is required' ile düşer, Steps.${String(step.name ?? label(step))}.error.message dolar ve .data null'dur; errorSteps yoksa akış 'always' dalından devam eder.`);
         }
     }
     for (const { step, origin, ref } of callSites) {
@@ -295,11 +322,65 @@ async function functionWarnings(platform, host, project, environment, applicatio
     }
     return [...warnings];
 }
+/**
+ * FLOW-038 (g-02, ADR 0004 — ZM-07). `microservice.ts` `.finally` üç yoldan birini dener: adımın
+ * kendi `error` dalı bağlıysa oradan sürer, yoksa flow `errorSteps`'i (`engine.onError`) devralır,
+ * ikisi de yoksa `always` koşar ve storage artık `{ data: null, headers: null, error }`'dır — hata
+ * gövdesi ARTIK `data`'da DEĞİL. İkisi de bağlı değilken bu adımın `.data`'sını okuyan bir
+ * setter/condition varsa hata anında NULL üzerinden koşar ve yazar hiç fark etmez. Aynı yürüyüş
+ * FLOW-024/025'in kullandığı `flowExpressionSites` taramasıdır; setter'ın STORAGE (kod olmayan)
+ * referansı ayrıca kendi düz alanından okunur (FLOW-008/009 deseni, `rowsTargetsByStepName`).
+ */
+function microserviceAlwaysDataWarnings(steps, errorSteps) {
+    const mainSteps = (Array.isArray(steps) ? steps : []).filter(isRecord);
+    const hasErrorFlow = (Array.isArray(errorSteps) ? errorSteps : []).filter(isRecord).some(step => String(step.type ?? '') !== 'start');
+    const label = (step) => String(step.stepId ?? step.name ?? '?');
+    const escapeRegExp = (value) => value.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+    const warnings = new Set();
+    for (const step of mainSteps) {
+        if (String(step.type ?? '') !== 'microservice')
+            continue;
+        const name = String(step.name ?? step.stepId ?? '');
+        if (name === '')
+            continue;
+        const hasErrorBranch = (Array.isArray(step.branches) ? step.branches : [])
+            .filter(isRecord)
+            .some(branch => String(branch.name ?? '') === 'error' && Boolean(branch.nextStepId));
+        if (hasErrorBranch || hasErrorFlow)
+            continue;
+        const pattern = new RegExp(`Steps\\s*(?:\\.\\s*${escapeRegExp(name)}\\b|\\[\\s*['"]${escapeRegExp(name)}['"]\\s*\\])\\s*\\??\\.\\s*data\\b`);
+        const message = (other) => `FLOW-038: '${label(other)}' adımı 'always' dalında '${name}.data' okuyor ama '${name}' adımının ne bağlı bir 'error' dalı ne akışın 'errorSteps'i var — uç hata dönerse bu adımın 'data'sı NULL olur (eskiden hata gövdesiydi, ADR 0004) ve '${label(other)}' boş/null veriyle koşar. '${name}' adımına 'error' dalı bağlayın ya da flow'a errorSteps verin.`;
+        for (const other of mainSteps) {
+            if (other === step)
+                continue;
+            if (String(other.type ?? '') === 'setter') {
+                const iteratees = Array.isArray(other.args?.iteratees)
+                    ? other.args.iteratees.filter(isRecord)
+                    : [];
+                for (const iteratee of iteratees) {
+                    const mapping = (iteratee.mapping ?? {});
+                    const value = (iteratee.value ?? {});
+                    const reference = typeof mapping.source === 'string' && mapping.source.length > 0
+                        ? mapping.source
+                        : typeof value.ref === 'string' ? value.ref : '';
+                    if (value.type === 'storage' && (reference === `${name}.data` || reference.startsWith(`${name}.data.`) || reference.startsWith(`${name}.data[`))) {
+                        warnings.add(message(other));
+                    }
+                }
+            }
+            for (const site of flowExpressionSites(other)) {
+                if (pattern.test(site.expression))
+                    warnings.add(message(other));
+            }
+        }
+    }
+    return [...warnings];
+}
 export function registerFlowTools(server, platform) {
     const config = platform.config;
     server.registerTool('flow_list', {
         title: 'Akışları listele',
-        description: "Barındırıcının olay akışlarını, her birine bağlı olaylarla (bindings: [{ target: elementId | 'page', event }]) listeler. unboundFlowIds hiçbir olaya bağlı olmayan (sahipsiz) akışlardır; danglingBindings şemada id'si geçen ama barındırıcıda olmayan akışlardır. Sayfa ve layout akışları önbelleksiz liste ucundan, widget akışları kaydın kendi gövdesinden okunur; bağlar barındırıcının şemasından hesaplanır.",
+        description: "Barındırıcının olay akışlarını, her birine bağlı olaylarla (bindings: [{ target: elementId | 'page', event }]) listeler. unboundFlowIds hiçbir olaya bağlı olmayan (sahipsiz) akışlardır; danglingBindings şemada id'si geçen ama barındırıcıda olmayan akışlardır. Yanıtta mayBeBoundAtRuntime: true varsa sayfada table/datatable vardır ve satır aksiyonları (actions[].flow) çalışma zamanında yazılmış olabilir: unboundFlowIds o hâlde KESİN DEĞİLDİR, silmeden önce doğrulayın (TB-126). Sayfa ve layout akışları önbelleksiz liste ucundan, widget akışları kaydın kendi gövdesinden okunur; bağlar barındırıcının şemasından hesaplanır.",
         inputSchema: { project: projectParam, environment: environmentParam, host: hostParam, applicationId: guid, hostId: guid },
         annotations: readOnly
     }, handle(config, async ({ project, environment, host, applicationId, hostId }) => {
@@ -361,14 +442,18 @@ export function registerFlowTools(server, platform) {
             ...(host === 'page' ? { pageId: hostId } : host === 'layout' ? { layoutId: hostId } : { componentId: hostId })
         };
         const normalized = [...normalizeFlowSteps(flow.steps), ...normalizeFlowSteps(flow.errorSteps)];
-        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'flow', flow, { operation: 'create' }, policyOverride));
+        const findings = [
+            ...enforcePolicy(evaluatePolicy(config, policyRules, 'flow', flow, { operation: 'create' }, policyOverride)),
+            ...enforcePolicy(config.policyMode === 'off' ? [] : applyPolicyMode(config, connectedSetterFindings(steps, errorSteps ?? [], hostNodes(hostRecord)), policyOverride))
+        ];
         const existing = await existingFlowMatch(platform, host, project, environment, applicationId, hostId, hostRecord, name, slug, flowId, ifExists);
         const writtenFlowId = existing === undefined ? resolvedFlowId : String(existing.id);
         const parameterWarnings = [
             ...await requiredParameterWarnings(platform, project, environment, applicationId, steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, steps),
             ...flowBodyWarnings(steps),
-            ...unknownSetterTargetWarnings(steps, errorSteps ?? [], hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(steps, errorSteps ?? [], hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(steps, errorSteps ?? [])
         ];
         // Gövde yalnız akıştır (designer-partial-update K1): barındırıcı zarfı platformda hâlâ isteğe bağlı
         // ama gönderilirse okunan tam kaydı yeniden yazar, açık Studio designer'ının kayıtlı tabanını
@@ -382,6 +467,7 @@ export function registerFlowTools(server, platform) {
         // Diff YALNIZ çağıranın yazdığı alanları kapsar; `id` ve barındırıcı bağı (`pageId` vb.)
         // gövdeye gateway koyar, kullanıcının düzeltebileceği bir şey değildir.
         const drops = await flowWriteDrops(platform, host, project, environment, applicationId, hostId, writtenFlowId, { name: flow.name, slug: flow.slug, steps: flow.steps, errorSteps: flow.errorSteps }, ifExists === 'duplicate');
+        const platformWarnings = await flowProfileWarnings(platform, applicationId, [...(flow.steps ?? []), ...(flow.errorSteps ?? [])]);
         return attachFindings(withWriteDiff(withRename(withNormalization({
             host,
             hostId,
@@ -393,6 +479,7 @@ export function registerFlowTools(server, platform) {
                 steps: steps.length
             },
             ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
+            ...(platformWarnings.length > 0 ? { platformWarnings } : {}),
             hint: "Akışı bir olaya bağlamak için: page_schema_patch (layout'ta layout_schema_patch, widget'ta component_schema_patch) ops:[{op:'set_event', target:<elementId>, event:'<component_get events listesindeki ad>', eventValue:<flow id>}]; olayda zaten akış bağlıysa ikinciyi add_event ile ekleyin (set_event bağlı akışı değiştirir, PAGE-034). Olay adları komponente özeldir ve 'on' ÖNEKİ ALMAZ (button → 'click', form → 'submit', table → 'mount'/'select'/'sort'…); uydurma ad 200 döner ama bağ sessizce ölü kalır — gateway PAGE-008 ile yakalar."
         }, normalized), drops.renamed), drops), findings);
     }));
@@ -434,6 +521,7 @@ export function registerFlowTools(server, platform) {
         const findings = steps || errorSteps
             ? [
                 ...enforcePolicy(evaluatePolicy(config, policyRules, 'flow', authored, { operation: 'update' }, policyOverride)),
+                ...enforcePolicy(config.policyMode === 'off' ? [] : applyPolicyMode(config, connectedSetterFindings(authored.steps, authored.errorSteps, hostNodes(hostRecord)), policyOverride)),
                 ...enforcePolicy(evaluatePolicy(config, policyRules, 'flow', flow, { operation: 'update' }, policyOverride).filter(finding => finding.ruleId === 'FLOW-027'))
             ]
             : [];
@@ -441,7 +529,8 @@ export function registerFlowTools(server, platform) {
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
             ...flowBodyWarnings(flow.steps),
-            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps)
         ];
         await platform.tenant('PUT', project, flowPath(host, applicationId, hostId, flowId), { environment, body: { flow } });
         // Kısmi güncellemede yalnız GÖNDERİLEN alanlar karşılaştırılır; verilmeyen alan için
@@ -452,7 +541,9 @@ export function registerFlowTools(server, platform) {
             ...(steps === undefined ? {} : { steps }),
             ...(errorSteps === undefined ? {} : { errorSteps })
         });
-        return attachFindings(withWriteDiff(withNormalization({ host, hostId, flow: flowSummary(flow), ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}) }, normalized), drops), findings);
+        const platformWarnings = await flowProfileWarnings(platform, applicationId, [...(flow.steps ?? []), ...(flow.errorSteps ?? [])]);
+        return attachFindings(withWriteDiff(withNormalization({ host, hostId, flow: flowSummary(flow), ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
+            ...(platformWarnings.length > 0 ? { platformWarnings } : {}) }, normalized), drops), findings);
     }));
     server.registerTool('flow_patch', {
         title: "Akışa patch uygula",
@@ -486,12 +577,16 @@ export function registerFlowTools(server, platform) {
             ...(host === 'page' ? { pageId: hostId } : host === 'layout' ? { layoutId: hostId } : { componentId: hostId })
         };
         const normalized = [...normalizeFlowSteps(flow.steps), ...normalizeFlowSteps(flow.errorSteps)];
-        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'flow', flow, { operation: 'update' }, policyOverride));
+        const findings = [
+            ...enforcePolicy(evaluatePolicy(config, policyRules, 'flow', flow, { operation: 'update' }, policyOverride)),
+            ...enforcePolicy(config.policyMode === 'off' ? [] : applyPolicyMode(config, connectedSetterFindings(flow.steps, flow.errorSteps, hostNodes(hostRecord)), policyOverride))
+        ];
         const parameterWarnings = [
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
             ...flowBodyWarnings(flow.steps),
-            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord))
+            ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
+            ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps)
         ];
         // Gövde değil FARK gönderilir; platform PATCH ucu akışı tek başına yazar. Net diff okunan kayıt ile son hâl arasından hesaplanır.
         const netOps = fastJsonPatch.compare(current, flow);
@@ -501,6 +596,7 @@ export function registerFlowTools(server, platform) {
         });
         const written = patchResult(saved, flow);
         const drops = await flowWriteDrops(platform, host, project, environment, applicationId, hostId, flowId, { steps: flow.steps, errorSteps: flow.errorSteps });
+        const platformWarnings = await flowProfileWarnings(platform, applicationId, [...(flow.steps ?? []), ...(flow.errorSteps ?? [])]);
         return attachFindings(withWriteDiff(withNormalization({
             host,
             hostId,
@@ -508,7 +604,8 @@ export function registerFlowTools(server, platform) {
             newVersion: written.newVersion,
             patchTargets: resolved.targets,
             flow: flowSummary(written.data),
-            ...(parameterWarnings.length > 0 ? { parameterWarnings } : {})
+            ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
+            ...(platformWarnings.length > 0 ? { platformWarnings } : {})
         }, [...normalized, ...resolved.notes.map(note => `patch yolu seçiciden indekse çözüldü: ${note}`)]), drops), findings);
     }));
     server.registerTool('flow_delete', {
@@ -520,4 +617,13 @@ export function registerFlowTools(server, platform) {
         await platform.tenant('DELETE', project, flowPath(host, applicationId, hostId, flowId), { environment, body: { id: flowId } });
         return { deleted: flowId, host, hostId };
     }));
+    server.registerTool('flow_restore', {
+        title: 'Silinen akışı geri yükle',
+        description: "Silinmiş bir akışı revizyon defterindeki son içeriğiyle (ad, slug, adımlar, barındırıcı) AYNI id ile yeniden kurar. Sayfa kaydı bağı kalmayan akışı kalıcı siler (FLOW-002, allowFlowDeletion) — Studio'nun eski sekmesi boş şema kaydettiğinde de (ZM-27). Akışı olaya YENİDEN BAĞLAMAZ: geri geldikten sonra set_event ile bağlayın. SINIR: adımları sayfanın bir komponentini hedefliyorsa (tetikleyen element, iterate/parametre komponenti) o komponent de şemada olmalıdır, yoksa geri yükleme reddedilir — sayfa boşaldıysa (ZM-27) page_restore kullanın: sayfayı ve akışlarını birlikte geri kurar. Akış hâlâ varsa 409, saklama süresi dolup revizyonu budanmışsa 404 döner. Silinen akışı revision_list(module: 'flow') satırlarında operation: delete olarak bulun; recordId akış id'sidir.",
+        inputSchema: { project: projectParam, environment: environmentParam, flowId: flowIdParam },
+        annotations: writes
+    }, handle(config, async ({ project, environment, flowId }) => {
+        const restored = unwrap(await platform.tenant('POST', project, `/flows/${flowId}/restore`, { environment }));
+        return { restored: flowId, flow: restored };
+    }));
 }

package/dist/tools/folders.js

@@ -23,7 +23,7 @@ export function registerFolderTools(server, platform) {
         inputSchema: { project: projectParam, environment: environmentParam, definition: definitionParam },
         annotations: writes
     }, handle(config, async ({ project, environment, definition }) => {
-        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'folder', definition, { operation: 'create' }));
+        const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'folder', definition, { operation: 'create' }), false);
         return attachFindings(await platform.tenant('POST', project, '/folders', { environment, body: definition }), findings);
     }));
     server.registerTool('folder_update', {

package/dist/tools/imports.js

@@ -182,7 +182,10 @@ export function registerImportTools(server, platform) {
             return { ...payload, note: "Plan henüz çalıştırılmadı: import_run { datasourceId, planId } ile başlatın — planId bu jobId'dir ve plan bir saat geçerlidir." };
         }
         if (status === 'failed') {
-            return { ...payload, note: `İş düştü; \`error\` alanı nedeni söyler.${isImport ? ' Yazılmış partiler yerinde kalır; bugün geri alınamaz.' : ''}` };
+            // Koruma işi (entity_protection_update) düşerse alan geçişte kalır ve entity yazımı 409'a kilitlenir;
+            // otomatik yeniden deneme yok, kurtarma aynı isteği aynı gövdeyle tekrarlamaktır (TB-31).
+            const isProtection = job?.kind === 'protection-apply' || job?.kind === 'protection-remove';
+            return { ...payload, note: `İş düştü; \`error\` alanı nedeni söyler.${isImport ? ' Yazılmış partiler yerinde kalır; bugün geri alınamaz.' : ''}${isProtection ? " Koruma işi: alan geçiş durumunda kalır ve entity'ye yazım 409 döner. Nedeni giderdikten sonra AYNI entity_protection_update çağrısını AYNI gövdeyle tekrarlayın — iş kaldığı yerden sürer (TB-31)." : ''}` };
         }
         if (status === 'cancelled') {
             return { ...payload, note: `İş iptal edildi.${isImport ? ' Yazılmış partiler yerinde kalır; bugün geri alınamaz.' : ''}` };
@@ -191,7 +194,7 @@ export function registerImportTools(server, platform) {
     }));
     server.registerTool('import_history', {
         title: 'Veri işleri geçmişi',
-        description: "Projedeki içe/dışa aktarma ve geri alma işlerini sayfalı listeler; order verilmezse en yeni iş önce gelir. Her satır kind, status, entityIds ve result taşır. kind: 'import' çalıştırılmamış planları (planned) da içerir; datasource filtresi yoktur. Geri alınabilir bir iş aramak (kind: 'import', status: 'completed', undoAvailableUntil geçmemiş) ya da düşen bir işin nedenini bulmak için kullanılır.",
+        description: "Projedeki içe/dışa aktarma, geri alma, alan koruması (protection-*) ve türetilmiş alan doldurma (derived-fill) işlerini sayfalı listeler; order verilmezse en yeni iş önce gelir. Her satır kind, status, entityIds ve result taşır. kind: 'import' çalıştırılmamış planları (planned) da içerir; datasource filtresi yoktur. Geri alınabilir bir iş aramak (kind: 'import', status: 'completed', undoAvailableUntil geçmemiş) ya da düşen bir işin nedenini bulmak için kullanılır.",
         inputSchema: {
             project: projectParam,
             environment: environmentParam,