@appaflytech/zeyrek-ai-mcp 0.0.40 → 0.0.41

package/dist/knowledge/rules.js

@@ -5,6 +5,7 @@ import { headersAccessNames, isHeadersAccessGuarded } from './flowGuards.js';
 import { callsItself, functionCallRefs, isValidParameterName, mentionsAwait, nameProblem, sourceOf, callPrefix } from './functionGuards.js';
 import { backendPolicyRules } from './backendConstraints.js';
 import { accessPolicyRules } from './access.js';
+import { isGuid } from '../platform/refs.js';
 import { themePolicyRules } from './themeRules.js';
 import { processPolicyRules } from './process.js';
 import { mobileStorePolicyRules } from './mobileStore.js';
@@ -153,11 +154,13 @@ export function readsBeforeGuard(source, root) {
  * yaşatılır (microservice.ts:174 `isHasSuccess`). 'error' dalı 2026-09-26'dan beri motorun
  * KENDİSİ tanır (ADR 0004, ZM-07/g-02): bağlıysa hata anında `always` hiç koşmaz, sürer
  * (microservice.ts:182 `hasBranch`) — eski motor tanımadığı dalı hiç aramadığı için bu ekleme
- * geriye dönük zararsızdır.
+ * geriye dönük zararsızdır. `validation` tüm kurallar geçince 'success', biri düşünce 'error' dalına,
+ * ardından her durumda 'always'e gider (validation.ts; kök ADR 0014, g-18).
  */
 const flowBranchNames = {
     start: ['always'],
     microservice: ['always', 'success', 'error'],
+    validation: ['always', 'success', 'error'],
     confirm: ['yes', 'no', 'always'],
     function: ['always'],
     haptic: ['always'],
@@ -169,6 +172,7 @@ const flowBranchNames = {
     permission: ['always'],
     'open-settings': ['always'],
     'ad-show': ['always', 'error'],
+    back: ['always'],
     end: []
 };
 /**
@@ -181,7 +185,7 @@ export const knownFlowStepTypes = new Set([
     'start', 'end', 'query', 'setter', 'download', 'condition', 'redirect', 'setcookie', 'alert', 'confirm',
     'microservice', 'validation', 'flow-trigger', 'storage', 'navigate', 'code', 'function', 'share',
     'haptic', 'location', 'notification-permission', 'notification-schedule', 'notification-cancel', 'bpm',
-    'permission', 'open-settings', 'ad-show'
+    'permission', 'open-settings', 'ad-show', 'back'
 ]);
 /**
  * Cihaz yeteneği adımlarının kapalı kümeleri — `@ng-apps/flow` `tasks/device/device.functions.ts`
@@ -197,6 +201,12 @@ export const locationAccuracies = new Set(['low', 'balanced', 'high']);
 export const adPlacementNamePattern = /^[a-z][A-Za-z0-9]{0,39}$/;
 /** `permission` adımının kipleri — `@ng-apps/flow` `PERMISSION_MODES`'un aynası (kök ADR 0010); tür adını gateway bilmez, backend doğrular. */
 export const permissionStepModes = new Set(['request', 'check']);
+/**
+ * `validation` adımının kural tipleri — `@ng-apps/flow` `VALIDATION_RULE_TYPES`'ın aynası (`test/flow-step-parity.test.ts`
+ * bağlar). Backend kümeyi doğrulamaz (kök ADR 0014); tanınmayan tip runtime'da `validate()` default dalında GEÇER sayılır.
+ */
+export const validationRuleTypes = new Set(['required', 'email', 'regex', 'min-length', 'max-length', 'min-value', 'max-value']);
+const validationParameterlessTypes = new Set(['required', 'email']);
 const flowFreeBranchTypes = new Set(['condition']);
 /** `condition.types.ts` ConditionArgumentRuleType — motorun tanıdığı üçlü. */
 const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
@@ -204,16 +214,22 @@ const conditionRuleTypes = new Set(['if', 'else-if', 'else']);
 // backend'de bir Guid'dir (StepManagementSchema.cs `public Guid Id { get; set; }`), yani
 // okunabilir bir ad iki uçta birden tutmaz: istek System.Guid çevrimiyle reddedilir.
 const conditionRuleIdPattern = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
-// alert.ts ve confirm.ts `task.argument.message`'ı doğrudan toast/dialog'a geçirir; argüman
-// Runtime.svelte'de HAM verilir (`argument: step.args`), yani bu alanlarda ifade değerlendirilmez.
-const flowLiteralTextFields = new Map([
+// Metin şablonu alanları (kök ADR 0003 §Metin şablonu, K4 2026-10-08): iki barındırıcı (web alert.ts/confirm.ts,
+// cihaz runtime-tasks.ts + device.functions.ts) metni @ng-apps/flow `resolveStepText` → `runPropertyCode`'dan
+// geçirir — yalnız `{{ }}` içi çözülür, dışındaki çıplak ifade ekranda harfi harfine görünür.
+const flowTemplateTextFields = new Map([
     ['alert', ['message', 'description']],
     ['confirm', ['message', 'title', 'confirmText', 'cancelText']],
-    ['share', ['title']],
-    ['notification-schedule', ['name', 'title', 'path']],
+    ['notification-schedule', ['name', 'title']],
     ['notification-cancel', ['name']]
 ]);
+// Düz metin alanları: ne ifade ne şablon çözülür (`share.title` resolveShareContent'te, bildirim `path`'i K4 kapsamı dışında).
+const flowLiteralTextFields = new Map([
+    ['share', ['title']],
+    ['notification-schedule', ['path']]
+]);
 const flowExpressionLooking = /\$\{|\b(?:Steps|Page|Row|Widget|LocalStorage|state|self|item|event|error|cookie)\s*(?:\?\.|\.|\[)/;
+const flowTemplateSegments = /\{\{[\s\S]*?\}\}/g;
 // Barındırıcıya özel tipler BURADA kural üretmez. `navigate`i gateway normalizasyonu zaten
 // `redirect`e çeviriyor (normalize.ts `normalizeFlowHostGaps`) — `redirect` iki barındırıcıda da
 // koşar, yani vaka uyarılmaz, ORTADAN KALKAR. Gateway uygulamanın tipini platform profilinden bilir
@@ -1843,7 +1859,7 @@ export const policyRules = [
         id: 'ENT-006',
         module: 'entity',
         appliesTo: ['create', 'update'],
-        sourceRef: 'sms oturumu: kullanıcının intprimarykey/guidprimarykey referans tabloları — PK identity + properties.generationType:0 (Always) ile otomatik üretilir; dbType↔commonType eşleşmesi zorunlu',
+        sourceRef: 'sms oturumu: kullanıcının intprimarykey/guidprimarykey referans tabloları — PK identity + properties.generationType:0 (Always) ile otomatik üretilir; dbType↔commonType eşleşmesi zorunlu. 38 S-1: PostgreSqlEntityConnector.ValidateEntityAsync identity alanında GenerationType 0/1 değilse InvalidGenerationTypeException (400) atar — create ve update',
         check: definition => {
             const primaryKeys = asArray(definition.fields)
                 .filter((field) => Boolean(field) && typeof field === 'object')
@@ -1853,7 +1869,15 @@ export const policyRules = [
                 const properties = (key.properties ?? {});
                 const dbType = String(key.dbType ?? '');
                 const expected = dbType === 'UUID' ? 'guid' : ['INT2', 'INT4', 'INT8'].includes(dbType) ? 'number' : null;
-                if (key.identity !== true || properties.generationType === undefined) {
+                if (key.identity === true && properties.generationType !== 0 && properties.generationType !== 1) {
+                    findings.push({
+                        ruleId: 'ENT-006',
+                        severity: 'block',
+                        message: `'${key.slug ?? key.name}' primary key'i identity ama properties.generationType ${properties.generationType === undefined ? 'yok' : `'${String(properties.generationType)}'`} — platform 400 "Please select a valid generation type for '${key.slug ?? key.name}'" döner. Alana properties: { generationType: 0 } (Always) ya da 1 (ByDefault) ekleyin.`,
+                        guide: 'ngapps://guides/entity'
+                    });
+                }
+                else if (key.identity !== true) {
                     findings.push({
                         ruleId: 'ENT-006',
                         severity: 'warn',
@@ -2507,7 +2531,7 @@ export const policyRules = [
                 : [{
                         ruleId: 'FLOW-021',
                         severity: 'warn',
-                        message: "errorSteps yalnız 'start' adımı taşıyor — motor bunu hata yolu SAYMAZ (flow-engine.ts hasErrorFlow: start dışında en az bir adım arar). Hata yolu kurulmuş görünür ama uç 4xx dönünce onError false döner, akış 'always' dalından hata gövdesiyle devam eder ve kullanıcıya hiçbir mesaj ulaşmaz. start'ın ardına en az bir adım bağlayın: ucun kendi mesajını göstereceksen setter (value.type:'code' → Steps.error.message), sabit bir uyarı yetiyorsa alert — alert'in 'message' alanı DÜZ METİNDİR (alert.ts task.argument.message'ı doğrudan toast'a geçirir), oraya ifade yazarsanız kullanıcı ifadenin kendisini görür.",
+                        message: "errorSteps yalnız 'start' adımı taşıyor — motor bunu hata yolu SAYMAZ (flow-engine.ts hasErrorFlow: start dışında en az bir adım arar). Hata yolu kurulmuş görünür ama uç 4xx dönünce onError false döner, akış 'always' dalından hata gövdesiyle devam eder ve kullanıcıya hiçbir mesaj ulaşmaz. start'ın ardına en az bir adım bağlayın: alert yeter — 'message' alanı metin şablonudur (FLOW-022), ucun kendi mesajı '{{ Steps.error.message }}' ile gösterilir; {{ }} dışında yazılan ifadeyi kullanıcı harfi harfine görür. Mesajı bir bileşene yazacaksan setter (value.type:'code' → Steps.error.message).",
                         guide: 'ngapps://guides/page'
                     }];
         }
@@ -2516,26 +2540,32 @@ export const policyRules = [
         id: 'FLOW-022',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "alert.ts `const { message, alertType, description } = task.argument` → toast.error(message, { description }) / dialog.alert(message); confirm.ts `dialog.confirm(message, { title, confirmText, cancelText })` (boş çerçeve metni dialog.functions.ts resolveDialogFrame'de sabit metne düşer). Argüman Runtime.svelte'de HAM geçer (`argument: step.args`) — bu alanlarda hiçbir ifade değerlendirilmez, yazılan metin ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu: rehber hata mesajını göstermek için alert adımını öneriyordu). share adımında (2026-09-25) yalnız `title` düz metindir: @ng-apps/flow resolveShareContent onu olduğu gibi verir, `message` ve `path` ifadedir",
+        sourceRef: "Metin şablonu (kök docs/adr/0003-cihaz-yetenegi-adimlari.md §Metin şablonu, plans/mobil-acik-isler K4, 2026-10-08): alert.ts/confirm.ts (web) ve ui-native runtime-tasks.ts + @ng-apps/flow device.functions.ts (cihaz, önizleme) `alert.message/description`, `confirm.message/title/confirmText/cancelText`, `notification-schedule.name/title`, `notification-cancel.name`'i @ng-apps/flow `resolveStepText` → `runPropertyCode`'dan geçirir: yalnız `{{ }}` içi çözülür (çeviri `t('anahtar')`, `state`, `Steps`, `item`), dışındaki çıplak ifade ekranda harfi harfine görünür (2026-09-06·2 koşusu S-13'ün ikinci turu; 38 S-12, 37 S-11). Düz metin kalanlar: share `title` (resolveShareContent olduğu gibi verir; `message` ve `path` ifadedir) ve notification-schedule `path` (K4 kapsamı dışı) — orada `{{ }}` de çözülmez",
         check: definition => flowAllSteps(definition)
             .flatMap((step) => {
             const type = String(step.type ?? '');
-            const fields = flowLiteralTextFields.get(type);
-            if (!fields)
-                return [];
             const args = (step.args ?? {});
-            return fields
-                .filter(field => typeof args[field] === 'string' && flowExpressionLooking.test(args[field]))
+            const label = flowStepLabel(step);
+            const text = (field) => (typeof args[field] === 'string' ? args[field] : '');
+            const templateFindings = (flowTemplateTextFields.get(type) ?? [])
+                .filter(field => flowExpressionLooking.test(text(field).replace(flowTemplateSegments, '')))
+                .map(field => ({
+                ruleId: 'FLOW-022',
+                severity: 'warn',
+                message: `'${label}' ${type} adımının '${field}' alanı {{ }} dışında ifade içeriyor: bu alan METİN ŞABLONUDUR (kök ADR 0003 §Metin şablonu) — yalnız {{ }} içi çözülür, dışındaki ifade kullanıcıya harfi harfine görünür. İfadeyi sarın: '{{ Steps.error.message }}', 'ilac-{{ item.id }}', '{{ t('anahtar') }}' (çeviri).`,
+                guide: 'ngapps://guides/page'
+            }));
+            const literalFindings = (flowLiteralTextFields.get(type) ?? [])
+                .filter(field => flowExpressionLooking.test(text(field)) || text(field).includes('{{'))
                 .map(field => ({
                 ruleId: 'FLOW-022',
                 severity: 'warn',
-                message: type.startsWith('notification-')
-                    ? `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): ${field === 'name' ? 'bildirimin kimliği' : field === 'path' ? 'açılacak sayfanın slug\'ı' : 'bildirim başlığı'} olduğu gibi kullanılır, ifade değerlendirilmez. Değişen içeriği ifade olan 'message' (gövde) ya da 'query' (sayfanın sorgusu) alanına yazın.`
-                    : type === 'share'
-                        ? `'${flowStepLabel(step)}' share adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ifade değerlendirilmez. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
-                        : `'${flowStepLabel(step)}' ${type} adımının '${field}' alanı ifade içeriyor ama bu alan DÜZ METİNDİR: ${type}.ts task.argument.${field}'i doğrudan ekrana geçirir ve args hiçbir yerde değerlendirilmez (Runtime.svelte \`argument: step.args\`). Kullanıcı ifadenin sonucunu değil ifadenin KENDİSİNİ görür. Ucun mesajını göstermek için bir setter (ya da code) adımı kullanın — value { type: 'code', ref: 'Steps.error?.message' }; hata metninin nerede durduğu page.md §hata yolu'nda.`,
+                message: type === 'share'
+                    ? `'${label}' share adımının '${field}' alanı ifade ya da {{ }} içeriyor ama bu alan DÜZ METİNDİR: başlık paylaşım penceresine olduğu gibi gider (iOS'ta e-posta konusu, Android'de seçici başlığı), ne ifade ne şablon çözülür. Değişen içeriği ifade olan 'message' alanına yazın — ör. message: "'Şuna bak: ' + Page.properties.name"; bağlantı 'path' alanındadır.`
+                    : `'${label}' ${type} adımının '${field}' alanı ifade ya da {{ }} içeriyor ama bu alan DÜZ METİNDİR (kök ADR 0003): açılacak sayfanın slug'ı olduğu gibi kullanılır, ne ifade ne şablon çözülür. Değişen kısmı ifade olan 'query' (sayfanın sorgusu) alanına yazın.`,
                 guide: 'ngapps://guides/page'
             }));
+            return [...templateFindings, ...literalFindings];
         })
     },
     {
@@ -2680,6 +2710,75 @@ export const policyRules = [
             return findings;
         })
     },
+    {
+        id: 'FLOW-041',
+        module: 'flow',
+        appliesTo: ['create', 'update'],
+        sourceRef: "validation adımının kuralları StepManagementArgument.validations listesindedir (kök docs/adr/0014-validation-kurallari-cocuk-tabloda.md §5, 37 S-13): { id?, component (tasarım bileşeninin elementId'si; boş = null, sayfada olmayan 404), property, type, errorMessage (düz metin ya da t: anahtarı), settings (tek parametre, runtime Object.values(settings)[0]'ı okur) }. Backend type kümesini doğrulamaz; @ng-apps/flow validation.ts validate() tanımadığı tipte true döner, yani yazım hatalı kural sessizce GEÇER. Liste boşsa her çalıştırma success dalına gider. Komponent doğrulamasının { message, value } şekli bu sözleşmede YOKTUR ve 200 ile sessizce düşer",
+        check: definition => flowAllSteps(definition)
+            .filter(step => step.type === 'validation')
+            .flatMap((step) => {
+            const label = flowStepLabel(step);
+            const validations = (step.args ?? {}).validations;
+            if (validations !== undefined && validations !== null && !Array.isArray(validations)) {
+                return [{
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımının args.validations alanı bir DİZİ olmalı: [{ component, property, type, errorMessage, settings }] (kök ADR 0014). Ör. [{ component: 'email', property: 'value', type: 'email', errorMessage: 't:validation.email', settings: {} }].`,
+                        guide: 'ngapps://guides/page'
+                    }];
+            }
+            const rules = (Array.isArray(validations) ? validations : []);
+            if (rules.length === 0) {
+                return [{
+                        ruleId: 'FLOW-041',
+                        severity: 'warn',
+                        message: `'${label}' validation adımında kural yok: args.validations boş olduğu için adım her çalıştırmada 'success' dalına gider, hiçbir alan denetlenmez. Kuralları args.validations'a yazın (kök ADR 0014).`,
+                        guide: 'ngapps://guides/page'
+                    }];
+            }
+            return rules.flatMap((rule, index) => {
+                const type = typeof rule?.type === 'string' ? rule.type : '';
+                const settings = rule?.settings && typeof rule.settings === 'object' ? Object.values(rule.settings) : [];
+                const stray = ['message', 'value', 'name', 'isActive'].filter(key => rule?.[key] !== undefined);
+                const at = `args.validations[${index}]`;
+                const findings = [];
+                if (!validationRuleTypes.has(type)) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at}.type '${type}' tanınmıyor — beklenen: '${[...validationRuleTypes].join("' | '")}'. Platform tipi doğrulamadan kaydeder ve runtime tanımadığı tipi GEÇTİ sayar: kural hiçbir şeyi denetlemez.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                else if (!validationParameterlessTypes.has(type) && (settings.length === 0 || settings[0] === null || settings[0] === '')) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at} ('${type}') parametresiz: runtime eşiği settings'in İLK değerinden okur (${type === 'regex' ? "{ pattern: '^\\\\d+$' }" : '{ value: 8 }'}); değer yoksa karşılaştırma undefined ile yapılır ve kural her çalıştırmada düşer.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                if (typeof rule?.property !== 'string' || rule.property.trim() === '') {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'block',
+                        message: `'${label}' validation adımında ${at}.property yok: runtime bileşenin hangi prop'unu okuyacağını bu alandan bilir (çoğunlukla 'value'). Yoksa okunan değer undefined olur.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                if (stray.length > 0) {
+                    findings.push({
+                        ruleId: 'FLOW-041',
+                        severity: 'warn',
+                        message: `'${label}' validation adımında ${at}.${stray.join('/')} alanı var: bu komponent doğrulamasının şeklidir, adım kuralının sözleşmesinde YOK ve platform onu 200 ile sessizce düşürür. Mesaj errorMessage'a, eşik settings'e yazılır — ör. { component: 'sifre', property: 'value', type: 'min-length', errorMessage: 'En az 8 karakter', settings: { value: 8 } }.`,
+                        guide: 'ngapps://guides/page'
+                    });
+                }
+                return findings;
+            });
+        })
+    },
     {
         id: 'FLOW-038',
         module: 'flow',
@@ -2741,7 +2840,7 @@ export const policyRules = [
         id: 'FLOW-030',
         module: 'flow',
         appliesTo: ['create', 'update'],
-        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik (düz metin, aynı kimlik eskisinin yerini alır), title düz metin, message ve value İFADE, path sayfa; notification-cancel name = kimlik ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür",
+        sourceRef: "Yerel bildirim adımlarının argümanı StepManagementArgument'ın mevcut alanlarındadır (kök docs/adr/0003-cihaz-yetenegi-adimlari.md): notification-schedule name = kimlik ve title = başlık METİN ŞABLONU (yalnız {{ }} içi çözülür — 2026-10-08, FLOW-022; aynı kimlik eskisinin yerini alır), message ve value İFADE, path sayfa (düz metin); notification-cancel name = kimlik, metin şablonu ('*' hepsi). Zamanın türü value'nun sonucunun şeklinden okunur (@ng-apps/flow notificationTrigger): 'HH:mm' her gün, { weekday: 1-7, time: 'HH:mm' } her hafta (1 = Pazartesi), ISO tarih-saat bir kez. Eksik name/value backend FlowDtoValidator'da 400 alır; id/at/daily/weekly/body gibi anahtarlar sözleşmede YOKTUR ve platform onları 200 ile sessizce düşürür. GUID değerli args.id platformun kendi StepArgument kimliğidir (okunan akıştan geri yazım) ve işaretlenmez — 37 S-21",
         check: definition => flowAllSteps(definition)
             .filter(step => step.type === 'notification-schedule' || step.type === 'notification-cancel')
             .flatMap((step) => {
@@ -2749,13 +2848,16 @@ export const policyRules = [
             const text = (key) => typeof args[key] === 'string' ? String(args[key]).trim() : '';
             const findings = [];
             const schedule = step.type === 'notification-schedule';
+            // 37 S-21: StepArgument bir AggregateRoot<Guid>'dir; okunan akış args.id'yi GUID olarak
+            // taşır ve geri yazımda o platformun kimliğidir. Yalnız GUID olmayan id ajanın uydurmasıdır.
             const stray = ['id', 'identifier', 'at', 'daily', 'weekly', 'time', 'body', 'text']
-                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '');
+                .filter(key => args[key] !== undefined && args[key] !== null && args[key] !== '')
+                .filter(key => key !== 'id' || !isGuid(String(args.id)));
             if (!text('name')) {
                 findings.push({
                     ruleId: 'FLOW-030',
                     severity: 'block',
-                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name düz metin olarak yazılmalı (ör. 'sulama')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
+                    message: `'${flowStepLabel(step)}' ${step.type} adımının kimliği yok: args.name metin olarak yazılmalı (ör. 'sulama'; kayıt başına 'ilac-{{ item.id }}')${schedule ? ' — aynı kimlikle yeniden planlama eskisinin yerini alır' : " — '*' bütün planlı bildirimleri siler"}. Platform eksik kimliği 400 ile reddeder.`,
                     guide: 'ngapps://guides/mobile'
                 });
             }
@@ -3262,6 +3364,46 @@ export const policyRules = [
             return findings;
         }
     },
+    /**
+     * WF-035 — 38 S-10: `query.fail` gateway'in `gatewayOnError` adımına bağlanınca bozuk id'li
+     * istek 500 `JavaScriptException: error is not defined` döndü. Hedef adım global-error dalının
+     * da hedefi olabilir; o yoldan gelince `error` kurulur, bağlı fail yolundan gelince kurulmaz —
+     * bu yüzden hedefin global-error hedefi olması uyarıyı susturmaz.
+     */
+    {
+        id: 'WF-035',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "IStep.cs FailedOutput: global-error dalına yalnız fail dalı BAĞLANMAMIŞSA geçilir ve `error` değişkenini yalnız ActivityContext.EnterGlobalErrorHandling kurar. Bağlı fail dalında sonraki adımlar patlayan adımın hatasını kendi değişkeninden okur: ActivityContext.CreateJavascriptEngine her adımı adıyla { data, meta, error: { code, message, detail, type, cause } } olarak koyar. Ölçüm 38 S-10 (2026-09-30): query.fail → gatewayOnError, bozuk id → 500 'error is not defined'",
+        check: (definition, context) => {
+            const steps = workflowSteps(workflowBody(definition, context.workflowKind));
+            const byId = new Map(steps.filter(step => step.id).map(step => [String(step.id), step]));
+            const readsGlobalError = /(?<![\w$.])error\s*(?:\?\.|\.(?=[A-Za-z_$])|\[)/;
+            const strings = (value) => {
+                if (typeof value === 'string')
+                    return [value];
+                if (Array.isArray(value))
+                    return value.flatMap(strings);
+                if (value && typeof value === 'object')
+                    return Object.values(value).flatMap(strings);
+                return [];
+            };
+            return steps.flatMap((step) => asArray(step.branches)
+                .map(branch => branch)
+                .filter(branch => branch?.type === 'fail' && Boolean(branch.nextStepId))
+                .map(branch => byId.get(String(branch.nextStepId)))
+                .filter((target) => Boolean(target) && strings(target.rule).some(text => readsGlobalError.test(text)))
+                .map(target => {
+                const name = stepLabel(step);
+                return {
+                    ruleId: 'WF-035',
+                    severity: 'warn',
+                    message: `'${name}' adımının fail dalı '${stepLabel(target)}' adımına bağlı ve o adım 'error.*' okuyor. 'error' YALNIZ global-error dalında (fail dalı bağlanmamışken) kurulur; bağlı fail dalından gelindiğinde tanımsızdır ve adım 500 'JavaScriptException: error is not defined' ile düşer. Patlayan adımın hatasını kendi değişkeninden okuyun: ${name}.error.message · ${name}.error.code (ayrıca detail, type, cause; çıktı ${name}.data). Ya da fail dalını bağlamayın: hata global-error dalına düşer ve 'error' orada kurulur. Global-error hedefiyle aynı adımı paylaşmak yerine fail dalına ayrı bir response adımı bağlayın (ör. 404).`,
+                    guide: 'ngapps://guides/workflow'
+                };
+            }));
+        }
+    },
     {
         id: 'WF-021',
         module: 'workflow',

package/dist/knowledge/styleResolve.js

@@ -575,7 +575,6 @@ export const TYPED_STYLE_COMPONENTS = {
  * eski birleşik kaskadla (tema+preset+own) çözülmeye devam eder.
  */
 export const NODE_SURFACE_TYPES = new Set([
-    'table',
     'datatable',
     'collapsible-container',
     'popover',

package/dist/platform/capture/actions.js

@@ -24,7 +24,13 @@ export function actionScript(action, captureTarget = studioWebTarget) {
       var count = performance.getEntriesByType('resource').length;
       var node = document.querySelector(${selector});
       if (!node) return { found: false, applied: false, requests: count };
-      var target = node.matches('button, a, [role="button"]') ? node : (node.querySelector('button, a, [role="button"]') || node);
+      // g-04 sırası: düğümün kendisi basılabilirse o → <id>__press → içteki ilk basılabilir öğe.
+      // Mobil çoklu seçim tetikleyicisi kökte role="combobox" taşır ve içindeki ilk role="button"
+      // çipin "kaldır" düğmesidir — eskiden ona basılıp seçim siliniyordu (37 S-18). Tek basışlı
+      // denetimin yüzeyi <id>__press'tir (ui-native press-role-guard), anahtarınki role="switch".
+      var press = document.querySelector(${JSON.stringify(`[data-element-id="${String(action.target ?? '')}${INTERNAL_ROLE_SEPARATOR}press"]`)});
+      var target = node.matches('button, a, [role="button"], [role="switch"], [role="combobox"]') ? node
+        : (press || node.querySelector('button, a, [role="button"], [role="switch"]') || node);
       // S-2: sekme grubunun KÖKÜNE click, DOM sırasındaki ilk sekmeye gider ve "uygulandı" der —
       // ajan ikinci sekmeyi hiç seçemiyordu (2026-09-16 raporu madde 6). Sekme seçmek 'tab'in işi.
       if (target.closest && target.closest('[role="tablist"]') && !node.matches('[role="tab"]')) {
@@ -354,15 +360,32 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     if (!field) return finish({ found: true, applied: false, note: 'düğümde input/select/textarea yok — bu komponent native alan kullanmıyor olabilir, click ile deneyin', requests: count });
     var proto = field instanceof HTMLSelectElement ? HTMLSelectElement.prototype
       : (field instanceof HTMLTextAreaElement ? HTMLTextAreaElement.prototype : HTMLInputElement.prototype);
+    // K1 (g-04): gerçek kullanıcı alana odaklanır, yazar ve çıkar. Blur'suz yazımda odak kaybına
+    // bağlı akış (ui-native girişlerin 'changed'i) hiç koşmuyordu (37 S-19). focus() odağı alamazsa
+    // (görünmez alan, odaksız belge) olaylar elle atılır: Svelte 'blur'u, React 'focusout'u dinler.
+    var focusField = function () {
+      field.focus();
+      if (document.activeElement === field) return;
+      field.dispatchEvent(new FocusEvent('focus'));
+      field.dispatchEvent(new FocusEvent('focusin', { bubbles: true }));
+    };
+    var blurField = function () {
+      if (document.activeElement === field) { field.blur(); return; }
+      field.dispatchEvent(new FocusEvent('blur'));
+      field.dispatchEvent(new FocusEvent('focusout', { bubbles: true }));
+    };
+    focusField();
     if (field instanceof HTMLInputElement && (field.type === 'checkbox' || field.type === 'radio')) {
       var shouldCheck = wanted === 'true' || wanted === '1' || wanted === 'on';
       if (field.checked !== shouldCheck) field.click();
+      blurField();
       return finish({ found: true, applied: true, requests: count });
     }
     var setter = Object.getOwnPropertyDescriptor(proto, 'value').set;
     setter.call(field, ${value});
     field.dispatchEvent(new Event('input', { bubbles: true }));
     field.dispatchEvent(new Event('change', { bubbles: true }));
+    blurField();
     return finish({ found: true, applied: true, requests: count });
   })()`;
 }

package/dist/platform/capture/summary.js

@@ -45,7 +45,10 @@ export function domSummaryScript(viewportHeight) {
     var field = node.querySelector('input, select, textarea');
     var chosen = node.querySelector('.selected-item');
     var holder = field || chosen;
-    var value = !owned(holder) ? '' : (field ? (field.type === 'password' ? '***' : clean(field.value)) : clean(chosen.textContent));
+    // 37 S-23: OTP'nin gizli girdisi type=text'tir ve kod özet satırında açık yazıyordu; sır sinyali
+    // tarayıcının otomatik tamamlama ipucudur (one-time-code · current-password · new-password).
+    var secret = !!field && (field.type === 'password' || /(^|\\s)(one-time-code|[\\w-]*-password)(\\s|$)/i.test(String(field.getAttribute('autocomplete') || '')));
+    var value = !owned(holder) ? '' : (field ? (secret ? '***' : clean(field.value)) : clean(chosen.textContent));
     var media = node.querySelector('img, svg, canvas, video, iframe');
     // İç içe <li> hem grubu hem alt mesajları sayıyordu: tek grup + 2 alt hata 3 görünüyordu (B-7).
     var errorItems = Array.prototype.slice.call(node.querySelectorAll('.form-validation-errors li:not(:has(li))'))

package/dist/resources/examples/mobile-app-shell-drawer.json

@@ -12,6 +12,7 @@
     "catalog": "app-bar, slot ve drawer mobil kataloğun Dalga 1 bileşenleridir. component_list mobil uygulamada bunları döndürmüyorsa katalog henüz yazılmamıştır ve layout_create 422 unknown-type alır (MOB-003).",
     "verify": "Kabuğu layout'a bağlı bir sayfada page_screenshot ile doğrula (mobilde varsayılan device: 'phone').",
     "menuTarget": "app-bar.menuTarget çekmecenin elementId'sidir (nav_drawer); iç rol app_bar__menu düğmesidir — page_screenshot actions:[{ action:'click', target:'app_bar__menu' }] çekmeceyi açar.",
+    "drawerButtons": "Çekmecedeki düğmeler ŞABLONDUR: mobile_app_create her sayfa için bir düğme üretir — elementId menu_<slug> (slug'daki tire ve diğer işaretler alt çizgiye döner: ana-sayfa → menu_ana_sayfa), metin pageName. Buradaki iki düğme bu örneğin kendi pages listesine (gorevler, profil) karşılıktır; başka uygulamaya kopyalanmaz (37 S-9).",
     "drawerFlows": "Menü düğmelerine akış ayrı adımda bağlanır: flow_create (host: 'layout', adım redirect { path: '<sayfa slug'ı>' }) → layout_schema_patch set_event { target: 'menu_gorevler', event: 'click' }.",
     "drawerNode": "Çekmece mobil kataloğun `drawer` bileşenidir (kind 'component', çocuk alır): layout'a doğrudan yazılır, prop'ları katalogdakilerdir (`position`, `size`, `title`, `isDismissDisabled`); kapalı doğar, `app-bar` menüsü `isOpen: true` yazarak açar. Katalogda olmayan prop (ör. `width`, `overlay`) ya da seçenek dışı değer (düğmede `variant: 'ghost'` — geçerli olanlar `solid`/`text`/`outline`) layout_create'i 422 ile düşürür.",
     "layoutContract": "Mizanpaj sözleşmesi: üst güvenli alan tek yerde, kabukta (app-bar 'safe-area' edges:'top' içinde; sayfa ikinci pay vermez). Ekran kenarı boşluğu tek değer (16) ve tek yerde: slot'un yatay ve üst margin'i — içerik app-bar'ın 16 dp altından başlar, kabuksuz sayfadaki gibi. shell_root 'shrink' ve padding'siz — düz container olduğu için tip yazılmazsa runtime 10 dp padding verir ve app-bar kenardan kopar.",

package/dist/resources/examples/mobile-list-detail-form.json

@@ -85,6 +85,7 @@
                 "type": "view",
                 "kind": "component",
                 "props": {},
+                "blocks": [],
                 "children": [
                   {
                     "elementId": "row_card",
@@ -118,6 +119,7 @@
                 "type": "view",
                 "kind": "component",
                 "props": {},
+                "blocks": [],
                 "children": [
                   {
                     "elementId": "lst_tasks_bos",
@@ -130,6 +132,7 @@
                         "data": "Kayıt yok"
                       }
                     },
+                    "blocks": [],
                     "children": []
                   }
                 ]

package/dist/resources/guides/entity.md

@@ -453,6 +453,8 @@ Companion'ı adından değil **ana entity'nin `localizationEntityId` alanından*
   UUIDv7) anahtar doğru kurulmuştur.
 
 Gateway bu iki kuralı ENT-006 (PK identity/tip uyumu) ve ENT-007 (enum şekli) olarak denetler.
+`identity: true` olup `properties.generationType` 0/1 taşımayan anahtar ENT-006 **block**'tur: platform
+create'te de update'te de 400 "Please select a valid generation type" döner (38 S-1).
 
 > **Çok dilli bir entity TEK adımda silinir.** `entity_delete` ana entity'ye uygulanır, companion
 > da onunla düşer. (Aynı gün daha erken bir ölçümdeki "önce companion'ı sil" adımı artık geçersiz;
@@ -486,6 +488,20 @@ boş bırakmak geçerli bir tercihtir** (ENT-002 warn'ı bunu hatırlatır, zoru
 > yolunda bu çeviriyi **platform** yapar; ham PUT atarken **siz yapmazsanız her güncelleme bağı
 > sessizce siler.**
 
+Var olan entity'yi `entity_patch` ile uygulamaya bağlamanın çalışan şekli — yamalanan belge
+`entity_get`'in okuma şeklidir, yol `/applications`, öğe `{ applicationId }`:
+
+```jsonc
+// Bağ listesini yazar (var olan bağlar da listede olmalı — replace tam listedir)
+{ "op": "replace", "path": "/applications", "value": [{ "applicationId": "<application id>" }] }
+// Tek bağ ekler
+{ "op": "add", "path": "/applications/-", "value": { "applicationId": "<application id>" } }
+```
+
+`/applicationIds` yolu belgede yoktur; çıplak guid öğesi platformda 500 `JsonException`, `{ id }`
+öğesi boş `applicationId` ile yanıltıcı "This record is in use. Related table: 'Applications'" verir
+(37 S-1). Gateway üçünü de yukarıdaki şekle çevirir ve `gatewayNormalized` ile söyler.
+
 ## İlişkiler (doğru şekil — 57 alanla doğrulandı)
 
 ```jsonc

package/dist/resources/guides/expressions.md

@@ -98,10 +98,10 @@ dalından devam eder.
 | Global | İçerik |
 |---|---|
 | `Page` | `Page.user`, `Page.variables`, `Page.components`, `Page.properties`, `Page.queryParams`, `Page.authorized(roles)` |
-| **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` hem prop'u yazar hem UI'ı günceller (change event). Addaki `-` silinir: `tickets-table` → `ticketstable` |
+| **Komponent adları** | Her komponent adıyla doğrudan değişkendir: `specialties_table.rows = data` prop'u yazar ve UI'ı günceller; `setter` adımı gibi bileşenin `change` akışını **koşturmaz** — `change` akışı yalnız kullanıcı etkileşiminde koşar (2026-10-08; öncesindeki runtime her kod yazımında `change` akışını koştururdu). Addaki `-` silinir: `tickets-table` → `ticketstable` |
 | `state.page` / `state.app` | Sayfa/uygulama state'i (oku/yaz): `state.page.selectedId = row.id`. **Bellekte yaşar** — sayfa her açıldığında tanımlı `value`'dan başlar; mobil uygulamada kalıcı olması için değişkene `storage` verilir (`platform_guide('mobile')` §Kalıcı state). **Tanımlı değişkenler de buradadır:** `variable_create` ile yazılan her `key` sayfa düzeyinde `state.page.<key>`, uygulama düzeyinde `state.app.<key>` olur; `value` nesneyse alanlarına inilir (`state.page.MyTest.isActive`) |
-| `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası — ama YALNIZ HTTP durum metnidir (401 için `'Unauthorized'`), ucun mesajı değil. `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ve **yalnız orada okunur**: storage sayfa başına tek `FlowMachine`'de yaşar, ama dışarıdan başlayan her akış başlarken `'error'`'u ve kendi adımlarının önceki değerlerini temizler (`flow-engine.ts` `run`, 2026-09-25) — normal akışta `Steps.error` boştur; hata akışı ve onun tetiklediği akış (`nested`) onu görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse aynı alan ucun hata gövdesini taşır; aşağıdaki kutuya bakın |
-| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak YALNIZ o satırı günceller). Satır AKIŞINDA (satırdaki düğümün olayı) ARC-121 düzeltmesini (2026-09-27) taşıyan runtime gerekir, eskisinde boştu — sürümden bağımsız yol `<liste>.selectedItem` / `.selectedIndex`. Tekrarlayıcının KENDİ `change`/`select` akışında satır bağlamı yoktur. `item.x = …` yazımı tekrarlayıcının `change` olayı olarak iletilir: `change`'e bağlı akış her yazımda koşar, o akış da `item`'a yazarsa döngü olur |
+| `Steps` | Adım çıktıları: `Steps.load_specialties` — anahtar adımın **ADIdır**, `stepId` değil (`setStorage(task.name, …)`); `Steps.<adım>.error` o adımın hatası: `{ status, message, body }` — `message` ucun kendi mesajı (`err.reason`, boşsa HTTP durum metni), `status` HTTP kodu, `body` ucun hata gövdesi (`microservice.ts` `.catch`; tablo `platform_guide('page')`). `Steps.error` ise hata akışı için doldurulur (`onError` koşmadan önce `setStorage('error', …)` yapar) ve **yalnız orada okunur**: storage sayfa başına tek `FlowMachine`'de yaşar, ama dışarıdan başlayan her akış başlarken `'error'`'u ve kendi adımlarının önceki değerlerini temizler (`flow-engine.ts` `run`, 2026-09-25) — normal akışta `Steps.error` boştur; hata akışı ve onun tetiklediği akış (`nested`) onu görür ve şekli `{ message, code, step: { id, name, type, data } }`'dir: kullanıcıya gösterilecek metin `Steps.error.message`'tır (`err.response.data.message`, boşsa durum metni). **Başarılı bir adımda `Steps.<adım>.data` gerçek bir `Array`'dir** — `.map` · `.filter` · `.concat` · `.length` çalışır. Adım HATA dönerse `Steps.<adım>.data` `null`'dır, gövde `.error.body`'dedir; aşağıdaki kutuya bakın |
+| `self` · `item` · `Row` / `RowIndex` | Tetikleyen komponent (yazılabilir) · repeater/tablo satırı (yazmak YALNIZ o satırı günceller). Satır AKIŞINDA (satırdaki düğümün olayı) ARC-121 düzeltmesini (2026-09-27) taşıyan runtime gerekir, eskisinde boştu — sürümden bağımsız yol `<liste>.selectedItem` / `.selectedIndex`. Tekrarlayıcının KENDİ `change`/`select` akışında satır bağlamı yoktur. `item.x = …` yazımı da aynı kuraldadır: o satırı günceller, tekrarlayıcının `change` akışını koşturmaz |
 | `event` | `{name, data, source: {id, props}}` |
 | `cookie` | `cookie.get(name)` / `cookie.set(name, value, {expiresInHours, path})` / `cookie.remove(name)` — tarayıcı cookie'si |
 | `setComponentProperty(name, key, value)` / `getComponentProperty(name, key)` | fonksiyon alternatifi |
@@ -116,9 +116,10 @@ dalından devam eder.
 > **`.map is not a function` bir dizi sözleşmesi sorunu DEĞİL, düşmüş bir adımdır.**
 > Ölçüldü 2026-09-05 (`f09-repro/probe`, yerel kurulum): başarılı bir microservice adımında
 > `Steps.<adım>.data` `[object Array]`'dir, `Array.isArray` true döner ve `.map`/`.filter`/
-> `.concat` çalışır. Adım hata döndüğünde (401, 500, geçersiz parametre) motor aynı alana ucun
-> **hata gövdesini** yazar — o bir nesnedir, dizi metodları yoktur ve
-> `(Steps.x.data || []).map is not a function` tam olarak burada çıkar. 2026-09-05 koşusunda
+> `.concat` çalışır. Adım hata döndüğünde (401, 500, geçersiz parametre) eski runtime aynı alana ucun
+> **hata gövdesini** yazıyordu — o bir nesnedir, dizi metodları yoktur ve
+> `(Steps.x.data || []).map is not a function` tam olarak burada çıkıyordu. Bugünkü runtime `data`'yı
+> `null` yazar ve gövdeyi `Steps.<adım>.error.body`'ye taşır (`|| []` koruması artık yeter). 2026-09-05 koşusunda
 > boş kalan şirket filtresinin sebebi buydu: adım korumalı bir uca 401 ile düşmüştü.
 > **Teşhis sırası:** önce `Steps.<adım>.error`'a bak, sonra ifadeyi suçla. Bir dizi bekliyorsan
 > `Array.isArray(Steps.<adım>.data)` ile koru; boş listeye düşmek, hata gövdesi üzerinde

package/dist/resources/guides/microservice.md

@@ -25,7 +25,7 @@ söyler. Hiçbir kural zorlamaz — ucun gerçek bir tuzağı yoksa alanı hiç
 - **Sessiz boş dönüş** — "filtre eşleşmezse 404 değil boş dizi döner"
 
 ```jsonc
-{ "name": "urun-listesi", "httpMethod": "Get",
+{ "name": "urun-listesi", "httpMethod": "get",
   "description": "Aktif ürünleri ada göre sıralı döner.",
   "caution": "Sayfalama yok; katalog büyüdükçe yanıt boyutu doğrusal büyür." }
 ```

package/dist/resources/guides/middleware.md

@@ -297,6 +297,8 @@ değişkenlerini `Page.variables` olarak taşır; tarayıcıda ve cihazda okunur
   **`rule.isPrivate: true`** ver (Studio: "Sunucuda tut"). Aynı istekteki sonraki middleware'ler
   onu okumaya devam eder; istemciye gitmez. Sayfanın akışları istemcide koşar ve `Page.variables`'ı
   okur — işaretli değişken orada `undefined`'dır; akışın ihtiyaç duyduğu alanı işaretleme.
+  `IsPrivate` değişken Studio otomatik tamamlamasında önerilmez ve `workflow_middleware_variables`
+  çıktısında da yer almaz (sonraki middleware'in editörü dahil).
 - İstemcinin gerçekten ihtiyaç duyduğu alanları ayrı, işaretsiz bir değişkende **izin listesiyle**
   kur (yukarıdaki `settings`). Aynı ad sonra işaretsiz bir adımla yeniden yazılırsa istemciye açılır.
 - Yalnız microservice uçlarına bağlı middleware'de değişken yanıtla dönmez; işaret yine de zararsızdır.