@appaflytech/zeyrek-ai-mcp 0.0.37 → 0.0.41

package/dist/knowledge/rules.js

@@ -5,6 +5,7 @@ import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
 import { accessPolicyRules } from './access.js';
+import { isGuid } from '../platform/refs.js';
 import { themePolicyRules } from './themeRules.js';
 import { processPolicyRules } from './process.js';
 import { mobileStorePolicyRules } from './mobileStore.js';
@@ -153,11 +154,13 @@ export function readsBeforeGuard(source, root) {
  * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
  * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
  * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
- * geriye dönük zararsızdır.
+ * geriye dönük zararsızdır. `validation` tüm kurallar geçince 'success', biri düşünce 'error' dalına,
+ * ardından her durumda 'always'e gider (validation.ts; kök ADR 0014, g-18).
  */
 const flowBranchNames = {
     start: ['always'],
     microservice: ['always', 'success', 'error'],
+    validation: ['always', 'success', 'error'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
     haptic: ['always'],
@@ -168,6 +171,8 @@ const flowBranchNames = {
     bpm: ['always', 'success', 'fail'],
     permission: ['always'],
     'open-settings': ['always'],
+    'ad-show': ['always', 'error'],
+    back: ['always'],
     end: []
 };
 /**
@@ -180,7 +185,7 @@ export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
     'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
     'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm',
-    'permission', 'open-settings'
+    'permission', 'open-settings', 'ad-show', 'back'
 ]);
 /**
  * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
@@ -189,8 +194,19 @@ export const knownFlowStepTypes = new Set([
  */
 export const hapticStyles = new Set(['success', 'warning', 'error', 'light', 'medium', 'heavy', 'selection']);
 export const locationAccuracies = new Set(['low', 'balanced', 'high']);
+/**
+ * Reklam yerleşiminin adı — backend `MobileStoreSettingsValidator.AdUnitNamePattern`'ın aynası (kök ADR 0012); `ad-show.value`
+ * ve `adBanner.unit` bu adla mağaza ayarındaki yerleşimi anar.
+ */
+export const adPlacementNamePattern = /^[a-z][A-Za-z0-9]{0,39}$/;
 /** `permission` adımının kipleri — `@ng-apps/flow` `PERMISSION_MODES`'un aynası (kök ADR 0010); tür adını gateway bilmez, backend doğrular. */
 export const permissionStepModes = new Set(['request', 'check']);
+/**
+ * `validation` adımının kural tipleri — `@ng-apps/flow` `VALIDATION_RULE_TYPES`'ın aynası (`test/flow-step-parity.test.ts`
+ * bağlar). Backend kümeyi doğrulamaz (kök ADR 0014); tanınmayan tip runtime'da `validate()` default dalında GEÇER sayılır.
+ */
+export const validationRuleTypes = new Set(['required', 'email', 'regex', 'min-length', 'max-length', 'min-value', 'max-value']);
+const validationParameterlessTypes = new Set(['required', 'email']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -198,16 +214,22 @@ const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
 // backend'de bir Guid'dir (StepManagementSchema.cs `public Guid Id { get; set; }`), yani
 // okunabilir bir ad iki uçta birden tutmaz: istek System.Guid çevrimiyle reddedilir.
 const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
-// alert.ts ve confirm.ts `task.argument.message`'ı doğrudan toast/dialog'a geçirir; argüman
-// Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
-const flowLiteralTextFields = new Map([
+// Metin şablonu alanları (kök ADR 0003 §Metin şablonu, K4 2026-10-08): iki barındırıcı (web alert.ts/confirm.ts,
+// cihaz runtime-tasks.ts + device.functions.ts) metni @ng-apps/flow `resolveStepText` → `runPropertyCode`'dan
+// geçirir — yalnız `{{ }}` içi çözülür, dışındaki çıplak ifade ekranda harfi harfine görünür.
+const flowTemplateTextFields = new Map([
     ['alert', ['message', 'description']],
     ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
-    ['share', ['title']],
-    ['notification-schedule', ['name', 'title', 'path']],
+    ['notification-schedule', ['name', 'title']],
     ['notification-cancel', ['name']]
 ]);
+// Düz metin alanları: ne ifade ne şablon çözülür (`share.title` resolveShareContent'te, bildirim `path`'i K4 kapsamı dışında).
+const flowLiteralTextFields = new Map([
+    ['share', ['title']],
+    ['notification-schedule', ['path']]
+]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
+const flowTemplateSegments = /\{\{[\s\S]*?\}\}/g;
 // Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
 // `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
 // koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
@@ -1837,7 +1859,7 @@ export const policyRules = [
         id: 'ENT-006',
         module: 'entity',
         appliesTo: ['create', 'update'],
-        sourceRef: 'sms oturumu: kullanıcının intprimarykey/guidprimarykey referans tabloları — PK identity + properties.generationType:0 (Always) ile otomatik üretilir; dbType↔commonType eşleşmesi zorunlu',
+        sourceRef: 'sms oturumu: kullanıcının intprimarykey/guidprimarykey referans tabloları — PK identity + properties.generationType:0 (Always) ile otomatik üretilir; dbType↔commonType eşleşmesi zorunlu. 38 S-1: PostgreSqlEntityConnector.ValidateEntityAsync identity alanında GenerationType 0/1 değilse InvalidGenerationTypeException (400) atar — create ve update',
         check: definition => {
             const primaryKeys = asArray(definition.fields)
                 .filter((field) => Boolean(field) && typeof field === 'object')
@@ -1847,7 +1869,15 @@ export const policyRules = [
                 const properties = (key.properties ?? {});
                 const dbType = String(key.dbType ?? '');
                 const expected = dbType === 'UUID' ? 'guid' : ['INT2', 'INT4', 'INT8'].includes(dbType) ? 'number' : null;
-                if (key.identity !== true || properties.generationType === undefined) {
+                if (key.identity === true && properties.generationType !== 0 && properties.generationType !== 1) {
+                    findings.push({
+                        ruleId: 'ENT-006',
+                        severity: 'block',
+                        message: `'${key.slug ?? key.name}' primary key'i identity ama properties.generationType ${properties.generationType === undefined ? 'yok' : `'${String(properties.generationType)}'`} — platform 400 "Please select a valid generation type for '${key.slug ?? key.name}'" döner. Alana properties: { generationType: 0 } (Always) ya da 1 (ByDefault) ekleyin.`,
+                        guide: 'ngapps://guides/entity'
+                    });
+                }
+                else if (key.identity !== true) {
                     findings.push({
                         ruleId: 'ENT-006',
                         severity: 'warn',
@@ -2501,7 +2531,7 @@ export const policyRules = [
                 : [{
                         ruleId: 'FLOW-021',
                         severity: 'warn',
-                        message: "errorSteps yalnız 'start' adımı taşıyor — motor bunu hata yolu SAYMAZ (flow-engine.ts hasErrorFlow: start dışında en az bir adım arar). Hata yolu kurulmuş görünür ama uç 4xx dönünce onError false döner, akış 'always' dalından hata gövdesiyle devam eder ve kullanıcıya hiçbir mesaj ulaşmaz. start'ın ardına en az bir adım bağlayın: ucun kendi mesajını göstereceksen setter (value.type:'code' → Steps.error.message), sabit bir uyarı yetiyorsa alert — alert'in 'message' alanı DÜZ METİNDİR (alert.ts task.argument.message'ı doğrudan toast'a geçirir), oraya ifade yazarsanız kullanıcı ifadenin kendisini görür.",
+                        message: "errorSteps yalnız 'start' adımı taşıyor — motor bunu hata yolu SAYMAZ (flow-engine.ts hasErrorFlow: start dışında en az bir adım arar). Hata yolu kurulmuş görünür ama uç 4xx dönünce onError false döner, akış 'always' dalından hata gövdesiyle devam eder ve kullanıcıya hiçbir mesaj ulaşmaz. start'ın ardına en az bir adım bağlayın: alert yeter — 'message' alanı metin şablonudur (FLOW-022), ucun kendi mesajı '{{ Steps.error.message }}' ile gösterilir; {{ }} dışında yazılan ifadeyi kullanıcı harfi harfine görür. Mesajı bir bileşene yazacaksan setter (value.type:'code' → Steps.error.message).",
                         guide: 'ngapps://guides/page'
                     }];
         }
@@ -2510,26 +2540,32 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
+        sourceRef: "Metin şablonu (kök docs/adr/0003-cihaz-yetenegi-adimlari.md §Metin şablonu, plans/mobil-acik-isler K4, 2026-10-08): alert.ts/confirm.ts (web) ve ui-native runtime-tasks.ts + @ng-apps/flow device.functions.ts (cihaz, önizleme) `alert.message/description`, `confirm.message/title/confirmText/cancelText`, `notification-schedule.name/title`, `notification-cancel.name`'i @ng-apps/flow `resolveStepText` → `runPropertyCode`'dan geçirir: yalnız `{{ }}` içi çözülür (çeviri `t('anahtar')`, `state`, `Steps`, `item`), dışındaki çıplak ifade ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu; 38 S-12, 37 S-11). Düz metin kalanlar: share `title` (resolveShareContent olduğu gibi verir; `message` ve `path` ifadedir) ve notification-schedule `path` (K4 kapsamı dışı) — orada `{{ }}` de çözülmez",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
-            const fields = flowLiteralTextFields.get(type);
-            if (!fields)
-                return [];
             const args = (step.args ?? {});
-            return fields
-                .filter(field => typeof args[field] === 'string' && flowExpressionLooking.test(args[field]))
+            const label = flowStepLabel(step);
+            const text = (field) => (typeof args[field] === 'string' ? args[field] : '');
+            const templateFindings = (flowTemplateTextFields.get(type) ?? [])
+                .filter(field => flowExpressionLooking.test(text(field).replace(flowTemplateSegments, '')))
+                .map(field => ({
+                ruleId: 'FLOW-022',
+                severity: 'warn',
+                message: `'${label}' ${type} adımının '${field}' alanı {{ }} dışında ifade içeriyor: bu alan METİN ŞABLONUDUR (kök ADR 0003 §Metin şablonu) — yalnız {{ }} içi çözülür, dışındaki ifade kullanıcıya harfi harfine görünür. İfadeyi sarın: '{{ Steps.error.message }}', 'ilac-{{ item.id }}', '{{ t('anahtar') }}' (çeviri).`,
+                guide: 'ngapps://guides/page'
+            }));
+            const literalFindings = (flowLiteralTextFields.get(type) ?? [])
+                .filter(field => flowExpressionLooking.test(text(field)) || text(field).includes('{{'))
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: type.startsWith('notification-')
-                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
-                    : type === 'share'
-                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
-                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: type === 'share'
+                    ? `'${label}' share adımının '${field}' alanı ifade ya da {{ }} içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ne ifade ne şablon çözülür. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
+                    : `'${label}' ${type} adımının '${field}' alanı ifade ya da {{ }} içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): açılacak sayfanın slug'ı olduğu gibi kullanılır, ne ifade ne şablon çözülür. Değişen kısmı ifade olan 'query' (sayfanın sorgusu) alanına yazın.`,
                 guide: 'ngapps://guides/page'
             }));
+            return [...templateFindings, ...literalFindings];
         })
     },
     {
@@ -2626,6 +2662,123 @@ export const policyRules = [
             return findings;
         })
     },
+    {
+        id: 'FLOW-039',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "Tam ekran reklam adımının argümanı StepManagementArgument.value'dur (kök docs/adr/0012-reklam-yerlesimleri-magaza-ayari-ve-kosullu-sdk.md): mağaza ayarındaki reklam yerleşiminin ADI, DÜZ METİN — AdMob birim kimliği değil (kimlik derlemenin platformuna göre manifestten çözülür). Backend FlowDtoValidator HasAdPlacement adı ^[a-z][A-Za-z0-9]{0,39}$ deseniyle denetler, uymayan 422 alır; unit/placement/adUnitId gibi anahtarlar sözleşmede YOKTUR ve 200 ile sessizce düşer. Yerleşimin mağaza ayarında tanımlı olduğu burada denetlenemez: mobile_store_get",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'ad-show')
+            .flatMap((step) => {
+            const args = (step.args ?? {});
+            const unit = typeof args.value === 'string' ? args.value : '';
+            const unquoted = unit.replace(/^['"`](.*)['"`]$/, '$1');
+            const stray = ['unit', 'placement', 'adUnitId', 'unitId', 'format'].filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+            const findings = [];
+            if (!unit.trim()) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi yok: args.value mağaza ayarındaki tam ekran yerleşimin ADINI ister (platform 422 döner). Yerleşimler: mobile_store_get — ads.units[] (format interstitial, rewarded ya da rewardedInterstitial).`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (unquoted !== unit) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi tırnaklı yazılmış: ${unit}. Bu alan DÜZ METİNDİR, ifade değil — args.value: '${unquoted}' yazın.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            else if (!adPlacementNamePattern.test(unit)) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımının yerleşimi bir yerleşim adı değil: '${unit}'. Değer ifade ya da AdMob birim kimliği olamaz; mağaza ayarındaki yerleşimin adıdır (${adPlacementNamePattern.source}). Platform 422 döner. Yerleşimler: mobile_store_get — ads.units[].name.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            if (stray.length > 0) {
+                findings.push({
+                    ruleId: 'FLOW-039',
+                    severity: unit.trim() ? 'warn' : 'block',
+                    message: `'${flowStepLabel(step)}' ad-show adımında args.${stray.join('/args.')} alanı var: bu anahtar StepManagementArgument sözleşmesinde YOK, platform onu 200 ile sessizce düşürür. Yerleşimin adı args.value'ya düz metin olarak yazılır — ör. args: { value: '<yerleşim adı>' }.`,
+                    guide: 'ngapps://guides/mobile'
+                });
+            }
+            return findings;
+        })
+    },
+    {
+        id: 'FLOW-041',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "validation adımının kuralları StepManagementArgument.validations listesindedir (kök docs/adr/0014-validation-kurallari-cocuk-tabloda.md §5, 37 S-13): { id?, component (tasarım bileşeninin elementId'si; boş = null, sayfada olmayan 404), property, type, errorMessage (düz metin ya da t: anahtarı), settings (tek parametre, runtime Object.values(settings)[0]'ı okur) }. Backend type kümesini doğrulamaz; @ng-apps/flow validation.ts validate() tanımadığı tipte true döner, yani yazım hatalı kural sessizce GEÇER. Liste boşsa her çalıştırma success dalına gider. Komponent doğrulamasının { message, value } şekli bu sözleşmede YOKTUR ve 200 ile sessizce düşer",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'validation')
+            .flatMap((step) => {
+            const label = flowStepLabel(step);
+            const validations = (step.args ?? {}).validations;
+            if (validations !== undefined && validations !== null && !Array.isArray(validations)) {
+                return [{
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımının args.validations alanı bir DİZİ olmalı: [{ component, property, type, errorMessage, settings }] (kök ADR 0014). Ör. [{ component: 'email', property: 'value', type: 'email', errorMessage: 't:validation.email', settings: {} }].`,
+                        guide: 'ngapps://guides/page'
+                    }];
+            }
+            const rules = (Array.isArray(validations) ? validations : []);
+            if (rules.length === 0) {
+                return [{
+                        ruleId: 'FLOW-041',
+                        severity: 'warn',
+                        message: `'${label}' validation adımında kural yok: args.validations boş olduğu için adım her çalıştırmada 'success' dalına gider, hiçbir alan denetlenmez. Kuralları args.validations'a yazın (kök ADR 0014).`,
+                        guide: 'ngapps://guides/page'
+                    }];
+            }
+            return rules.flatMap((rule, index) => {
+                const type = typeof rule?.type === 'string' ? rule.type : '';
+                const settings = rule?.settings && typeof rule.settings === 'object' ? Object.values(rule.settings) : [];
+                const stray = ['message', 'value', 'name', 'isActive'].filter(key => rule?.[key] !== undefined);
+                const at = `args.validations[${index}]`;
+                const findings = [];
+                if (!validationRuleTypes.has(type)) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at}.type '${type}' tanınmıyor — beklenen: '${[...validationRuleTypes].join("' | '")}'. Platform tipi doğrulamadan kaydeder ve runtime tanımadığı tipi GEÇTİ sayar: kural hiçbir şeyi denetlemez.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                else if (!validationParameterlessTypes.has(type) && (settings.length === 0 || settings[0] === null || settings[0] === '')) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at} ('${type}') parametresiz: runtime eşiği settings'in İLK değerinden okur (${type === 'regex' ? "{ pattern: '^\\\\d+$' }" : '{ value: 8 }'}); değer yoksa karşılaştırma undefined ile yapılır ve kural her çalıştırmada düşer.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                if (typeof rule?.property !== 'string' || rule.property.trim() === '') {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at}.property yok: runtime bileşenin hangi prop'unu okuyacağını bu alandan bilir (çoğunlukla 'value'). Yoksa okunan değer undefined olur.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                if (stray.length > 0) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'warn',
+                        message: `'${label}' validation adımında ${at}.${stray.join('/')} alanı var: bu komponent doğrulamasının şeklidir, adım kuralının sözleşmesinde YOK ve platform onu 200 ile sessizce düşürür. Mesaj errorMessage'a, eşik settings'e yazılır — ör. { component: 'sifre', property: 'value', type: 'min-length', errorMessage: 'En az 8 karakter', settings: { value: 8 } }.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                return findings;
+            });
+        })
+    },
     {
         id: 'FLOW-038',
         module: 'flow',
@@ -2687,7 +2840,7 @@ export const policyRules = [
         id: 'FLOW-030',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
+        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik ve title = başlık METİN ŞABLONU (yalnız {{ }} içi çözülür — 2026-10-08, FLOW-022; aynı kimlik eskisinin yerini alır), message ve value İFADE, path sayfa (düz metin); notification-cancel name = kimlik, metin şablonu ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür. GUID değerli args.id platformun kendi StepArgument kimliğidir (okunan akıştan geri yazım) ve işaretlenmez — 37 S-21",
         check: definition => flowAllSteps(definition)
             .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
             .flatMap((step) => {
@@ -2695,13 +2848,16 @@ export const policyRules = [
             const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
             const findings = [];
             const schedule = step.type === 'notification-schedule';
+            // 37 S-21: StepArgument bir AggregateRoot<Guid>'dir; okunan akış args.id'yi GUID olarak
+            // taşır ve geri yazımda o platformun kimliğidir. Yalnız GUID olmayan id ajanın uydurmasıdır.
             const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '')
+                .filter(key => key !== 'id' || !isGuid(String(args.id)));
             if (!text('name')) {
                 findings.push({
                     ruleId: 'FLOW-030',
                     severity: 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name metin olarak yazılmalı (ör. 'sulama'; kayıt başına 'ilac-{{ item.id }}')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
                     guide: 'ngapps://guides/mobile'
                 });
             }
@@ -3086,6 +3242,29 @@ export const policyRules = [
                     }];
         })
     },
+    {
+        id: 'FLOW-027',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "2026-10-01 kanban ölçüm turu: steps ve errorSteps'te AYNI stepId ('start') flow_create'te 500 `An item with the same key has already been added. Key: start [ArgumentException]` verdi — platform adımları tek sözlüğe stepId anahtarıyla koyuyor, hata mesajı çakışmanın stepId olduğunu söylemiyor",
+        check: definition => {
+            const counts = new Map();
+            for (const step of flowAllSteps(definition)) {
+                if (!step.stepId)
+                    continue;
+                counts.set(step.stepId, (counts.get(step.stepId) ?? 0) + 1);
+            }
+            const repeated = [...counts].filter(([, count]) => count > 1).map(([stepId]) => stepId);
+            return repeated.length === 0
+                ? []
+                : [{
+                        ruleId: 'FLOW-027',
+                        severity: 'block',
+                        message: `stepId'ler akışta (steps + errorSteps birlikte) benzersiz olmalı; tekrar edenler: ${repeated.map(id => `'${id}'`).join(', ')}. Platform bunları tek sözlüğe anahtar olarak koyar ve "An item with the same key has already been added" ile 500 verir (mesaj stepId'den söz etmez). errorSteps'te de kendi 'start' adımı gerekiyorsa ona farklı bir stepId verin (örn. 'err_start').`,
+                        guide: 'ngapps://guides/page'
+                    }];
+        }
+    },
     {
         id: 'MS-013',
         module: 'microservice',
@@ -3185,6 +3364,46 @@ export const policyRules = [
             return findings;
         }
     },
+    /**
+     * WF-035 — 38 S-10: `query.fail` gateway'in `gatewayOnError` adımına bağlanınca bozuk id'li
+     * istek 500 `JavaScriptException: error is not defined` döndü. Hedef adım global-error dalının
+     * da hedefi olabilir; o yoldan gelince `error` kurulur, bağlı fail yolundan gelince kurulmaz —
+     * bu yüzden hedefin global-error hedefi olması uyarıyı susturmaz.
+     */
+    {
+        id: 'WF-035',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "IStep.cs FailedOutput: global-error dalına yalnız fail dalı BAĞLANMAMIŞSA geçilir ve `error` değişkenini yalnız ActivityContext.EnterGlobalErrorHandling kurar. Bağlı fail dalında sonraki adımlar patlayan adımın hatasını kendi değişkeninden okur: ActivityContext.CreateJavascriptEngine her adımı adıyla { data, meta, error: { code, message, detail, type, cause } } olarak koyar. Ölçüm 38 S-10 (2026-09-30): query.fail → gatewayOnError, bozuk id → 500 'error is not defined'",
+        check: (definition, context) => {
+            const steps = workflowSteps(workflowBody(definition, context.workflowKind));
+            const byId = new Map(steps.filter(step => step.id).map(step => [String(step.id), step]));
+            const readsGlobalError = /(?<![\w$.])error\s*(?:\?\.|\.(?=[A-Za-z_$])|\[)/;
+            const strings = (value) => {
+                if (typeof value === 'string')
+                    return [value];
+                if (Array.isArray(value))
+                    return value.flatMap(strings);
+                if (value && typeof value === 'object')
+                    return Object.values(value).flatMap(strings);
+                return [];
+            };
+            return steps.flatMap((step) => asArray(step.branches)
+                .map(branch => branch)
+                .filter(branch => branch?.type === 'fail' && Boolean(branch.nextStepId))
+                .map(branch => byId.get(String(branch.nextStepId)))
+                .filter((target) => Boolean(target) && strings(target.rule).some(text => readsGlobalError.test(text)))
+                .map(target => {
+                const name = stepLabel(step);
+                return {
+                    ruleId: 'WF-035',
+                    severity: 'warn',
+                    message: `'${name}' adımının fail dalı '${stepLabel(target)}' adımına bağlı ve o adım 'error.*' okuyor. 'error' YALNIZ global-error dalında (fail dalı bağlanmamışken) kurulur; bağlı fail dalından gelindiğinde tanımsızdır ve adım 500 'JavaScriptException: error is not defined' ile düşer. Patlayan adımın hatasını kendi değişkeninden okuyun: ${name}.error.message · ${name}.error.code (ayrıca detail, type, cause; çıktı ${name}.data). Ya da fail dalını bağlamayın: hata global-error dalına düşer ve 'error' orada kurulur. Global-error hedefiyle aynı adımı paylaşmak yerine fail dalına ayrı bir response adımı bağlayın (ör. 404).`,
+                    guide: 'ngapps://guides/workflow'
+                };
+            }));
+        }
+    },
     {
         id: 'WF-021',
         module: 'workflow',
@@ -3309,7 +3528,7 @@ export const policyRules = [
         id: 'MW-003',
         module: 'workflow',
         appliesTo: ['create', 'update', 'preview'],
-        sourceRef: "set-user değişkeni istek kapsamındaki WorkflowContext'e yazılır (SetUserStep → AddVariable('user')) ve sonraki middleware'in motoru onu görür (WorkflowRunner her koşuda JavascriptEngineInstance'ı _variables'tan kurar; sıra ExecuteMicroserviceBehavior:96 / ExecutePageBehavior:121 → OrderBy(m => m.Name)). Ama kuran middleware set-user'a ULAŞMADAN biterse (çerez yok, koşul dalı) değişken hiç doğmaz ve okuyan middleware ham 'user is not defined' ile 500 verir — 401 değil (crm koşumu B-3)",
+        sourceRef: "set-user değişkeni istek kapsamındaki WorkflowContext'e yazılır (SetUserStep → AddVariable('user')) ve sonraki middleware'in motoru onu görür (WorkflowRunner her koşuda CreateJavascriptEngine() ile motoru _variables'tan kurar; sıra ExecuteMicroserviceBehavior:96 / ExecutePageBehavior:121 → OrderBy(m => m.Name)). Ama kuran middleware set-user'a ULAŞMADAN biterse (çerez yok, koşul dalı) değişken hiç doğmaz ve okuyan middleware ham 'user is not defined' ile 500 verir — 401 değil (crm koşumu B-3)",
         check: (definition, context) => {
             if (context.workflowKind !== 'middleware')
                 return [];

package/dist/knowledge/styleResolve.js

@@ -164,6 +164,8 @@ export const TRANSFORM_RANGES = {
     translateX: [-1000, 1000],
     translateY: [-1000, 1000]
 };
+/** Frontend `TRANSFORM_FIELDS`: transform'lu ata `position: fixed` torununu hapsettiği için katmanlar ve kabuklar bu alanları `surfaceStyleGroup({ omit })` ile dışlar. */
+const TRANSFORM_FIELDS = Object.keys(TRANSFORM_RANGES);
 /** Sayı ya da sayısal metin, aralığın içinde; aksi `undefined` — frontend `transformValue`. */
 export const transformValue = (value, field) => {
     if (typeof value !== 'number' && (typeof value !== 'string' || value.trim() === ''))
@@ -434,7 +436,9 @@ const STATCARD_FLEX_ALIGN = {
     left: 'flex-start',
     center: 'center',
     right: 'flex-end',
-    justify: 'stretch'
+    justify: 'stretch',
+    start: 'flex-start',
+    end: 'flex-end'
 };
 function composeStatCardParts(input, root) {
     const value = input.valueStyle;
@@ -507,22 +511,26 @@ export const TYPED_STYLE_COMPONENTS = {
         // onun altında kalıyordu (LAYOUT-006, 2026-09-29). Yüzey ve taşma köke.
         // navigationStyle menüye gider, resolvedStyle'a girmez.
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'layout-shell': {
         // Aynı kök: zemin `.ng-layout-shell` KÖKÜNDE (SHELL-006, 2026-09-29).
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'layout-region': {
         // Zemin `.ng-layout-region` KÖKÜNDE, taşma kaydırılan gövdede (REG-002, 2026-09-29).
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: '&__body' }
+        ext: { overflowTarget: '&__body' },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'auth-layout': {
         // Zemin `.ng-auth` KÖKÜNDE (AUTH-006, 2026-09-29); yüzey ve taşma köke.
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     header: {
         // Şeridin zemini ve alt çizgisi kökte (HDR-007, 2026-09-29).
@@ -535,6 +543,20 @@ export const TYPED_STYLE_COMPONENTS = {
         groups: ['surfaceStyle'],
         ext: { overflowTarget: ROOT_TARGET }
     },
+    modal: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (modal ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
+    },
+    drawer: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (drawer ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
+    },
     icon: {
         // Yalnız hover: surface çipin (chipShape/chipColor), typography da boyutun
         // (size) ve rengin (color) çift kanalı olurdu — görsel kararlar semantik
@@ -553,11 +575,8 @@ export const TYPED_STYLE_COMPONENTS = {
  * eski birleşik kaskadla (tema+preset+own) çözülmeye devam eder.
  */
 export const NODE_SURFACE_TYPES = new Set([
-    'table',
     'datatable',
     'collapsible-container',
-    'drawer',
-    'modal',
     'popover',
     'tabs',
     'stepper',

package/dist/knowledge/styleResolveNative.js

@@ -456,8 +456,10 @@ const composeTypography = (typography, text, theme, context) => {
         text.fontStyle = String(typography.fontStyle);
     if (isSet(typography.textDecoration))
         text.textDecorationLine = String(typography.textDecoration);
-    if (isSet(typography.textAlign))
-        text.textAlign = String(typography.textAlign);
+    if (isSet(typography.textAlign)) {
+        const align = String(typography.textAlign);
+        text.textAlign = align === 'start' ? 'left' : align === 'end' ? 'right' : align;
+    }
     const letterSpacing = parsePanelLength(typography.letterSpacing, context);
     if (typeof letterSpacing === 'number')
         text.letterSpacing = letterSpacing;

package/dist/knowledge/themeResolve.js

@@ -29,7 +29,7 @@
  * `theme_get` bunları `unknownKeys` olarak gösterir, `theme_update` şeması reddeder.
  */
 export const THEME_TOP_LEVEL_KEYS = [
-    'mode', 'palette', 'paletteDark', 'fontFamily', 'headingFontFamily', 'typeScale',
+    'mode', 'direction', 'palette', 'paletteDark', 'fontFamily', 'headingFontFamily', 'typeScale',
     'fontSize', 'fontWeight', 'borderRadius', 'radiusScale', 'spacing', 'spacingScale',
     'shadow', 'defaultInputSize', 'colors', 'actions', 'presets', 'componentStyles',
     'componentPresets'

package/dist/knowledge/themeSchema.js

@@ -30,7 +30,7 @@ export function summarizeTheme(theme) {
         if (entries.length > 0)
             overrides[key] = entries;
     }
-    for (const key of ['fontFamily', 'headingFontFamily', 'fontSize', 'fontWeight', 'spacing', 'borderRadius', 'defaultInputSize']) {
+    for (const key of ['fontFamily', 'headingFontFamily', 'fontSize', 'fontWeight', 'spacing', 'borderRadius', 'defaultInputSize', 'direction']) {
         if (record[key] !== undefined)
             overrides[key] = record[key];
     }
@@ -91,6 +91,7 @@ const ratioScale = (levels) => z.object(Object.fromEntries(levels.map(level => [
  */
 export const themeInput = z.object({
     mode: z.enum(['light', 'dark']),
+    direction: z.enum(['ltr', 'rtl', 'auto']),
     palette: paletteSchema,
     paletteDark: paletteSchema,
     fontFamily: z.string().min(1),

package/dist/observability/trace.js

@@ -1,7 +1,7 @@
 import { AsyncLocalStorage } from 'node:async_hooks';
 import { appendFileSync, existsSync, mkdirSync } from 'node:fs';
 import { dirname, join } from 'node:path';
-import { secretKeyPattern } from '../platform/secrets.js';
+import { maskSecretLeaf, secretKeyPattern, secretPairName } from '../platform/secrets.js';
 const defaultDirectory = join(process.cwd(), 'logs');
 const activeTrace = new AsyncLocalStorage();
 const activeRequest = new AsyncLocalStorage();
@@ -37,11 +37,16 @@ function clip(text, limit) {
 function redact(value, depth = 0) {
     if (depth > 8)
         return '…';
+    // Günlük, yanıt maskesinin gördüğü ad/değer çiftini ve yaprak jetonu da görmeli: debug gövdesi ve
+    // `asUser` argümanı buraya ham gelir (g-01, 37 S-24).
+    if (typeof value === 'string')
+        return maskSecretLeaf(value);
     if (Array.isArray(value))
         return value.map(entry => redact(entry, depth + 1));
     if (value && typeof value === 'object') {
+        const pairName = secretPairName(value);
         return Object.fromEntries(Object.entries(value).map(([key, entry]) => {
-            if (secretKeyPattern.test(key))
+            if (secretKeyPattern.test(key === 'value' && pairName !== undefined ? pairName : key))
                 return [key, '***'];
             if (/^stack(Trace)?$/i.test(key) && typeof entry === 'string') {
                 return [key, `${clip(entry.split(/\r?\n/)[0] ?? '', 240)} … (kalan stack kırpıldı)`];

package/dist/platform/capture/actions.js

@@ -24,7 +24,13 @@ export function actionScript(action, captureTarget = studioWebTarget) {
       var count = performance.getEntriesByType('resource').length;
       var node = document.querySelector(${selector});
       if (!node) return { found: false, applied: false, requests: count };
-      var target = node.matches('button, a, [role="button"]') ? node : (node.querySelector('button, a, [role="button"]') || node);
+      // g-04 sırası: düğümün kendisi basılabilirse o → <id>__press → içteki ilk basılabilir öğe.
+      // Mobil çoklu seçim tetikleyicisi kökte role="combobox" taşır ve içindeki ilk role="button"
+      // çipin "kaldır" düğmesidir — eskiden ona basılıp seçim siliniyordu (37 S-18). Tek basışlı
+      // denetimin yüzeyi <id>__press'tir (ui-native press-role-guard), anahtarınki role="switch".
+      var press = document.querySelector(${JSON.stringify(`[data-element-id="${String(action.target ?? '')}${INTERNAL_ROLE_SEPARATOR}press"]`)});
+      var target = node.matches('button, a, [role="button"], [role="switch"], [role="combobox"]') ? node
+        : (press || node.querySelector('button, a, [role="button"], [role="switch"]') || node);
       // S-2: sekme grubunun KÖKÜNE click, DOM sırasındaki ilk sekmeye gider ve "uygulandı" der —
       // ajan ikinci sekmeyi hiç seçemiyordu (2026-09-16 raporu madde 6). Sekme seçmek 'tab'in işi.
       if (target.closest && target.closest('[role="tablist"]') && !node.matches('[role="tab"]')) {
@@ -354,15 +360,32 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     if (!field) return finish({ found: true, applied: false, note: 'düğümde input/select/textarea yok — bu komponent native alan kullanmıyor olabilir, click ile deneyin', requests: count });
     var proto = field instanceof HTMLSelectElement ? HTMLSelectElement.prototype
       : (field instanceof HTMLTextAreaElement ? HTMLTextAreaElement.prototype : HTMLInputElement.prototype);
+    // K1 (g-04): gerçek kullanıcı alana odaklanır, yazar ve çıkar. Blur'suz yazımda odak kaybına
+    // bağlı akış (ui-native girişlerin 'changed'i) hiç koşmuyordu (37 S-19). focus() odağı alamazsa
+    // (görünmez alan, odaksız belge) olaylar elle atılır: Svelte 'blur'u, React 'focusout'u dinler.
+    var focusField = function () {
+      field.focus();
+      if (document.activeElement === field) return;
+      field.dispatchEvent(new FocusEvent('focus'));
+      field.dispatchEvent(new FocusEvent('focusin', { bubbles: true }));
+    };
+    var blurField = function () {
+      if (document.activeElement === field) { field.blur(); return; }
+      field.dispatchEvent(new FocusEvent('blur'));
+      field.dispatchEvent(new FocusEvent('focusout', { bubbles: true }));
+    };
+    focusField();
     if (field instanceof HTMLInputElement && (field.type === 'checkbox' || field.type === 'radio')) {
       var shouldCheck = wanted === 'true' || wanted === '1' || wanted === 'on';
       if (field.checked !== shouldCheck) field.click();
+      blurField();
       return finish({ found: true, applied: true, requests: count });
     }
     var setter = Object.getOwnPropertyDescriptor(proto, 'value').set;
     setter.call(field, ${value});
     field.dispatchEvent(new Event('input', { bubbles: true }));
     field.dispatchEvent(new Event('change', { bubbles: true }));
+    blurField();
     return finish({ found: true, applied: true, requests: count });
   })()`;
 }