@appaflytech/zeyrek-ai-mcp 0.0.51 → 0.0.53

package/dist/platform/bodyFile.js

@@ -1,6 +1,6 @@
-import { open, realpath } from 'node:fs/promises';
+import { open, realpath, stat } from 'node:fs/promises';
 import { constants } from 'node:fs';
-import { extname, resolve, sep } from 'node:path';
+import { dirname, extname, isAbsolute, resolve, sep } from 'node:path';
 import { z } from 'zod';
 import { PlatformApiError } from './errors.js';
 /**
@@ -27,77 +27,234 @@ export const BODY_FILE_ARGUMENTS = {
 /** `ops`/`operations` eşanlamlıdır (`microOps`); ikisinden biri satır içinde varsa gövde verilmiştir. */
 const synonyms = { ops: ['ops', 'operations'], operations: ['ops', 'operations'] };
 const maxBodyFileBytes = 5 * 1024 * 1024;
+/**
+ * g-22 (D-22, K8 — `plans/defter-saha-bulgulari`): akış kodu JSON metninin içinde kaçışlı dizgi olarak duruyordu;
+ * Defter'de bir ters tırnak hatası düzenleri kırdı ve iş JS üreteçlerine taşındı. `{ "$file": "./adim.js" }` o
+ * dosyanın METNİYLE değiştirilir — gateway kodu ÇALIŞTIRMAZ (reddedilen seçenek: gateway'de .js koşturmak). Eklenen
+ * dosya bodyFile'ın bütün denetimlerinden geçer; sınırlar sahibin onayladığı K8 değerleridir.
+ */
+const includedExtensions = ['.js', '.mjs', '.ts', '.txt', '.sql', '.html', '.css'];
+const maxIncludedFileBytes = 1024 * 1024;
+const maxInclusions = 64;
 export function bodyFileParam(argument) {
-    return z.string().min(1).optional().describe(`'${argument}' yerine okunacak yerel .json dosyası (en çok 5 MB): gövde ajan bağlamından geçmez, gateway dosyayı okuyup '${argument}' olarak aynı doğrulamadan geçirir. '${argument}' ile birlikte verilemez. Yol gateway sürecinin çalışma dizininin ya da MCP_INPUT_DIR'in altında olmalı (sembolik bağ çözülür). Yanıtın bodyFile alanı hangi dosyanın okunduğunu söyler.`);
+    return z.string().min(1).optional().describe(`'${argument}' yerine okunacak yerel .json dosyası (en çok 5 MB): gövde ajan bağlamından geçmez, gateway dosyayı okuyup '${argument}' olarak aynı doğrulamadan geçirir. '${argument}' ile birlikte verilemez. Göreli yol .env'deki MCP_INPUT_DIR'e (tanımsızsa gateway'in çalışma dizinine) göre çözülür; dosya bu iki dizinden birinin altında olmalı (sembolik bağ çözülür). JSON'un herhangi bir yerine { "$file": "./adim.js" } yazılırsa o dosyanın METNİ oraya konur — kod çalıştırılmaz; yol bodyFile'ın klasörüne göre çözülür; ${includedExtensions.join(' ')}, UTF-8, dosya başına 1 MB, toplam 5 MB, en çok ${maxInclusions} ekleme; eklenen dosyanın içindeki $file işlenmez. Biçim tam { "$file": "<yol>" }'dur (tek anahtar, dizgi) — bozuk biçim ve satır içi gövdedeki $file istek gitmeden reddedilir. Akış code adımının args.value'su böylece kaçışsız düz JS dosyasında durur. Yanıtın bodyFile alanı okunan dosyanın mutlak yolunu, kökünü (root, rootSource) ve eklenen dosyaları (included: at, path, bytes) söyler.`);
 }
 export async function loadBodyFile(tool, args, config) {
     const argument = BODY_FILE_ARGUMENTS[tool];
     if (!argument || !args || typeof args !== 'object' || Array.isArray(args))
         return { args };
     const { bodyFile, ...rest } = args;
-    if (bodyFile === undefined)
-        return { args };
-    if (typeof bodyFile !== 'string' || bodyFile.length === 0)
-        return { args };
     const inline = (synonyms[argument] ?? [argument]).filter(name => rest[name] !== undefined);
+    if (typeof bodyFile !== 'string' || bodyFile.length === 0) {
+        assertNoInlineInclusions(tool, inline, rest);
+        return { args };
+    }
     if (inline.length > 0) {
         throw new PlatformApiError(`${tool}: bodyFile ile '${inline.join("', '")}' birlikte verilemez — gövde ya dosyadan ya satır içinden gelir. Birini kaldırın. İstek gönderilmedi.`, 400);
     }
-    const absolute = resolve(bodyFile);
-    if (extname(absolute).toLowerCase() !== '.json') {
-        throw new PlatformApiError(`${tool}: bodyFile yalnız .json okur — verilen: ${absolute}. İstek gönderilmedi.`, 400);
+    // g-21 (D-21): göreli yol gateway sürecinin çalışma dizinine göre çözülüyordu ve ajan o dizini bilmez. Ajanın
+    // bildiği kök .env'deki MCP_INPUT_DIR'dir; tanımsızsa eski davranış (çalışma dizini) sürer.
+    const base = config.inputDirectory ? { source: 'MCP_INPUT_DIR', path: resolve(config.inputDirectory) } : { source: 'cwd', path: process.cwd() };
+    const roots = await allowedRoots(config);
+    const body = await readGuardedFile(tool, 'bodyFile', resolve(base.path, bodyFile), ['.json'], maxBodyFileBytes, roots, config);
+    let value;
+    try {
+        value = JSON.parse(body.buffer.toString('utf8'));
+    }
+    catch (error) {
+        throw new PlatformApiError(`${tool}: bodyFile JSON değil — ${body.real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+    }
+    const included = await includeFiles(tool, value, dirname(body.real), body.buffer.length, roots, config);
+    const root = isAbsolute(bodyFile) ? body.root : { source: base.source, path: await realpath(base.path).catch(() => base.path) };
+    return {
+        args: { ...rest, [argument]: included.value },
+        note: {
+            path: body.real,
+            root: root.path,
+            rootSource: root.source,
+            argument,
+            bytes: body.buffer.length,
+            ...(included.files.length > 0 ? { included: included.files } : {})
+        }
+    };
+}
+/** MCP_INPUT_DIR önce gelir: dosya iki kökün de altındaysa yanıt ajanın bildiği kökü söyler. */
+async function allowedRoots(config) {
+    const candidates = [
+        ...(config.inputDirectory ? [{ source: 'MCP_INPUT_DIR', path: config.inputDirectory }] : []),
+        { source: 'cwd', path: process.cwd() }
+    ];
+    const resolved = await Promise.all(candidates.map(async (root) => ({ source: root.source, path: await realpath(resolve(root.path)).catch(() => undefined) })));
+    return resolved.filter((root) => root.path !== undefined);
+}
+/**
+ * bodyFile'ın ve her `$file` eklemesinin ORTAK okuma kapısı: uzantı (yol ve bağın hedefi), izinli kök, düzenli dosya
+ * ve bayt sınırı. O_NONBLOCK FIFO'nun çağrıyı bekletmesini önler; boyut dosyanın büyüklüğüne değil okunan bayta bakar.
+ *
+ * `realpath` ile `open` atomik DEĞİLDİR: O_NOFOLLOW yalnız SON bileşenin sonradan bağa çevrilmesini önler, yolun
+ * ortasındaki bir klasör denetimden sonra dışarıyı gösteren bağa çevrilirse `open` dışarıdaki dosyayı açar (g-22
+ * incelemesi, `test/body-file-race.test.ts`). Açtıktan sonra tutamacın aygıt/düğümü yolun taze `stat`'ıyla
+ * karşılaştırılır ve `realpath` yeniden koşturulur: yol aynı yere çözülmüyor ya da izinli kökün dışına düşüyorsa okuma
+ * reddedilir. Bu pencereyi DARALTIR, kapatmaz — iki denetim arasında geri çevrilen bir bağ yine görülmez; tam çözüm
+ * (`openat2` RESOLVE_BENEATH) Node'da yoktur. Okunan bayt yine de açılan tutamaçtan gelir.
+ */
+async function readGuardedFile(tool, label, absolute, extensions, maxBytes, roots, config) {
+    const accepted = extensions.join(', ');
+    if (!extensions.includes(extname(absolute).toLowerCase())) {
+        throw new PlatformApiError(`${tool}: ${label} yalnız ${accepted} okur — verilen: ${absolute}. İstek gönderilmedi.`, 400);
     }
     let real;
     try {
         real = await realpath(absolute);
     }
     catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile okunamadı — ${absolute} (${error instanceof Error ? error.message : String(error)}). Yol gateway sürecinin çalıştığı makineye göre çözülür.`, 400);
+        throw new PlatformApiError(`${tool}: ${label} okunamadı — ${absolute} (${error instanceof Error ? error.message : String(error)}). Yol gateway sürecinin çalıştığı makineye göre çözülür. İstek gönderilmedi.`, 400);
     }
-    if (extname(real).toLowerCase() !== '.json') {
-        throw new PlatformApiError(`${tool}: bodyFile'ın hedefi .json değil — ${real} (${absolute} bağının hedefi). İstek gönderilmedi.`, 400);
+    if (!extensions.includes(extname(real).toLowerCase())) {
+        throw new PlatformApiError(`${tool}: ${label} hedefi ${accepted} değil — ${real} (${absolute} bağının hedefi). İstek gönderilmedi.`, 400);
     }
-    const roots = await Promise.all([process.cwd(), config.inputDirectory]
-        .filter((root) => typeof root === 'string' && root.length > 0)
-        .map(root => realpath(resolve(root)).catch(() => undefined)));
-    const allowed = roots.some(root => root !== undefined && (real === root || real.startsWith(`${root}${sep}`)));
-    if (!allowed) {
-        throw new PlatformApiError(`${tool}: bodyFile izinli dizinlerin dışında — ${real}${real !== absolute ? ` (${absolute} bağının hedefi)` : ''}. Gateway yalnız çalışma dizininin (${process.cwd()}) ve .env'deki MCP_INPUT_DIR'in (${config.inputDirectory ?? 'tanımsız'}) altındaki dosyaları okur. İstek gönderilmedi.`, 400);
+    const root = roots.find(candidate => real === candidate.path || real.startsWith(`${candidate.path}${sep}`));
+    if (!root) {
+        throw new PlatformApiError(`${tool}: ${label} izinli dizinlerin dışında — ${real}${real !== absolute ? ` (${absolute} bağının hedefi)` : ''}. Gateway yalnız çalışma dizininin (${process.cwd()}) ve .env'deki MCP_INPUT_DIR'in (${config.inputDirectory ?? 'tanımsız'}) altındaki dosyaları okur. İstek gönderilmedi.`, 400);
     }
-    // Denetim ve okuma AYNI tutamaçtan: yol denetimden sonra değişse de okunan, denetlenen dosyadır.
-    // O_NOFOLLOW son bileşenin sonradan bağa çevrilmesini, O_NONBLOCK `.json` adlı FIFO'nun çağrıyı
-    // bekletmesini önler; boyut dosyanın büyüklüğüne değil okunan bayta bakar.
     let handle;
     try {
         handle = await open(real, constants.O_RDONLY | constants.O_NOFOLLOW | constants.O_NONBLOCK);
     }
     catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile açılamadı — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+        throw new PlatformApiError(`${tool}: ${label} açılamadı — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
     }
-    let bytes;
-    let text;
     try {
         const info = await handle.stat();
         if (!info.isFile()) {
-            throw new PlatformApiError(`${tool}: bodyFile düzenli dosya değil — ${real}. İstek gönderilmedi.`, 400);
+            throw new PlatformApiError(`${tool}: ${label} düzenli dosya değil — ${real}. İstek gönderilmedi.`, 400);
+        }
+        const fresh = await stat(real).catch(() => undefined);
+        const again = await realpath(absolute).catch(() => undefined);
+        const stillInside = again !== undefined && (again === root.path || again.startsWith(`${root.path}${sep}`));
+        if (!fresh || fresh.dev !== info.dev || fresh.ino !== info.ino || again !== real || !stillInside) {
+            throw new PlatformApiError(`${tool}: ${label} yolu denetimden sonra değişti — ${real} artık ${again ?? 'çözülemeyen bir yere'} gösteriyor (araya bir bağ girdi). Okunmadı. İstek gönderilmedi.`, 400);
         }
-        const buffer = Buffer.alloc(maxBodyFileBytes + 1);
-        const { bytesRead } = await handle.read(buffer, 0, buffer.length, 0);
-        bytes = bytesRead;
-        if (bytes > maxBodyFileBytes) {
-            throw new PlatformApiError(`${tool}: bodyFile 5 MB sınırını aşıyor. Tanımı parçalara bölün — sayfa için page_schema_patch'e birden çok batch, akış için flow_patch. İstek gönderilmedi.`, 400);
+        const buffer = Buffer.alloc(maxBytes + 1);
+        let bytesRead = 0;
+        // Tek `read` dosyanın tamamını döndürmek zorunda değildir; EOF'a ya da sınırın bir baytı ötesine kadar okunur.
+        while (bytesRead < buffer.length) {
+            const chunk = await handle.read(buffer, bytesRead, buffer.length - bytesRead, bytesRead);
+            if (chunk.bytesRead === 0)
+                break;
+            bytesRead += chunk.bytesRead;
         }
-        text = buffer.subarray(0, bytes).toString('utf8');
+        if (bytesRead > maxBytes) {
+            throw new PlatformApiError(maxBytes === maxBodyFileBytes
+                ? `${tool}: ${label} 5 MB sınırını aşıyor. Tanımı parçalara bölün — sayfa için page_schema_patch'e birden çok batch, akış için flow_patch. İstek gönderilmedi.`
+                : `${tool}: ${label} ${maxBytes / (1024 * 1024)} MB sınırını aşıyor — ${real}. Kodu birden çok dosyaya bölün. İstek gönderilmedi.`, 400);
+        }
+        return { real, root, buffer: buffer.subarray(0, bytesRead) };
     }
     finally {
         await handle.close();
     }
-    let value;
-    try {
-        value = JSON.parse(text);
+}
+/** Kök JSON Pointer'ı boş dizgidir; mesajda `''` ile `/` (adı boş anahtar) karışmasın diye adıyla yazılır. */
+function pointerLabel(at) {
+    return at === '' ? '(kök)' : at;
+}
+function pointerToken(key) {
+    return String(key).replace(/~/g, '~0').replace(/\//g, '~1');
+}
+/**
+ * Anahtarlarından biri büyük/küçük harf duyarsız `$file` olan her nesne ekleme NİYETİDİR. Yalnız tam
+ * `{ "$file": "<yol>" }` biçimi eklemedir; dizi/sayı değer, ek anahtar ya da `$File` yazımı sessizce nesne olarak
+ * platforma gitmesin diye `malformed`'a düşer (g-22 incelemesi 2).
+ */
+function findInclusions(value, at, found, malformed) {
+    if (Array.isArray(value)) {
+        value.forEach((item, index) => findInclusions(item, `${at}/${index}`, found, malformed));
+        return;
     }
-    catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile JSON değil — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+    if (!value || typeof value !== 'object')
+        return;
+    const record = value;
+    const keys = Object.keys(record);
+    const marker = keys.find(key => key.toLowerCase() === '$file');
+    if (marker !== undefined) {
+        if (keys.length === 1 && marker === '$file' && typeof record.$file === 'string') {
+            found.push({ at, file: record.$file });
+        }
+        else {
+            const problem = marker !== '$file'
+                ? `anahtar '${marker}' yazılmış, '$file' olmalı`
+                : keys.length > 1
+                    ? `'$file' yanında başka anahtar var (${keys.filter(key => key !== '$file').join(', ')})`
+                    : `'$file' değeri dizgi değil (${JSON.stringify(record[marker])})`;
+            malformed.push(`${pointerLabel(at)}: ${problem}`);
+        }
+        return;
+    }
+    for (const [key, item] of Object.entries(record))
+        findInclusions(item, `${at}/${pointerToken(key)}`, found, malformed);
+}
+/**
+ * Satır içi gövdede `$file` açılmaz: dosya okuma yalnız bodyFile yolunda vardır. Açılmayan nesne platforma nesne
+ * olarak giderdi; istek gitmeden söylenir. `$file` anahtarı yoksa yalnız bir ağaç yürüyüşüdür, okuma yapılmaz.
+ */
+function assertNoInlineInclusions(tool, names, args) {
+    for (const name of names) {
+        const found = [];
+        const malformed = [];
+        findInclusions(args[name], '', found, malformed);
+        const sites = [...found.map(site => pointerLabel(site.at)), ...malformed];
+        if (sites.length > 0) {
+            throw new PlatformApiError(`${tool}: '${name}' içinde $file nesnesi var (${sites.join(' · ')}) — $file yalnız bodyFile gövdesinde açılır. Metni satır içinde doğrudan yazın ya da gövdeyi bodyFile ile (.json dosyası) verin. İstek gönderilmedi.`, 400);
+        }
+    }
+}
+function replaceInclusions(value, at, texts) {
+    const text = texts.get(at);
+    if (text !== undefined)
+        return text;
+    if (Array.isArray(value))
+        return value.map((item, index) => replaceInclusions(item, `${at}/${index}`, texts));
+    if (value && typeof value === 'object') {
+        return Object.fromEntries(Object.entries(value).map(([key, item]) => [key, replaceInclusions(item, `${at}/${pointerToken(key)}`, texts)]));
+    }
+    return value;
+}
+/**
+ * Eklenen metin bir kez okunur ve olduğu gibi konur: satır sonu korunur, metin yeniden JSON olarak ayrıştırılmaz —
+ * eklenen dosyanın içindeki `$file` bu yüzden metin kalır (iç içe ekleme yok). UTF-8 olmayan dosya sessizce � ile
+ * bozulacağına reddedilir; baştaki UTF-8 BOM'u çözücü düşürür (`bytes` onu yine sayar). Yer bilgisi (`at`) gövde argümanına göre JSON Pointer'dır.
+ */
+async function includeFiles(tool, value, folder, bodyBytes, roots, config) {
+    const sites = [];
+    const malformed = [];
+    findInclusions(value, '', sites, malformed);
+    if (malformed.length > 0) {
+        throw new PlatformApiError(`${tool}: bodyFile'da biçimi bozuk $file nesnesi — ${malformed.join(' · ')}. Ekleme yalnız tam { "$file": "<yol>" } biçimidir (tek anahtar, dizgi değer). İstek gönderilmedi.`, 400);
+    }
+    if (sites.length === 0)
+        return { value, files: [] };
+    if (sites.length > maxInclusions) {
+        throw new PlatformApiError(`${tool}: bodyFile ${sites.length} $file eklemesi taşıyor; sınır ${maxInclusions}. İlk fazlası: ${pointerLabel(sites[maxInclusions]?.at ?? '')} — gövdeyi birden çok çağrıya bölün. İstek gönderilmedi.`, 400);
+    }
+    const decoder = new TextDecoder('utf-8', { fatal: true });
+    const texts = new Map();
+    const files = [];
+    let total = bodyBytes;
+    for (const site of sites) {
+        const label = `$file (${pointerLabel(site.at)} → '${site.file}')`;
+        const read = await readGuardedFile(tool, label, resolve(folder, site.file), includedExtensions, maxIncludedFileBytes, roots, config);
+        total += read.buffer.length;
+        if (total > maxBodyFileBytes) {
+            throw new PlatformApiError(`${tool}: bodyFile ve $file eklemeleri birlikte 5 MB toplam gövde sınırını aşıyor (${pointerLabel(site.at)} eklemesinde). Tanımı parçalara bölün. İstek gönderilmedi.`, 400);
+        }
+        try {
+            texts.set(site.at, decoder.decode(read.buffer));
+        }
+        catch {
+            throw new PlatformApiError(`${tool}: ${label} UTF-8 değil — ${read.real}. Dosyayı UTF-8 olarak kaydedin. İstek gönderilmedi.`, 400);
+        }
+        files.push({ at: site.at, path: read.real, bytes: read.buffer.length });
     }
-    return { args: { ...rest, [argument]: value }, note: `${bodyFile} → ${argument} (${bytes} B)` };
+    return { value: replaceInclusions(value, '', texts), files };
 }

package/dist/platform/capture/actions.js

@@ -1,4 +1,5 @@
 import { INTERNAL_ROLE_SEPARATOR } from '../../knowledge/componentCatalog.js';
+import { AWAITING_WINDOW_SELECTOR } from './readiness.js';
 import { studioWebTarget } from './targets/studio-web.js';
 /**
  * `swipe` jestinin adım sayısı ve aralığı: react-native-web yanıtlayıcısı tek seferde atılan hareketi jest saymaz
@@ -38,12 +39,23 @@ export function actionScript(action, captureTarget = studioWebTarget) {
         return `(function () {
       var count = performance.getEntriesByType('resource').length;
       var node = document.querySelector(${selector});
-      if (!node) return { found: false, applied: false, requests: count };
+      if (!node) {
+        // g-11: açık önizleme penceresi (onay/uyarı/biyometri) sayfanın düğmesini örtüyor olabilir; not hangisi açık söyler.
+        var open = document.querySelector('${AWAITING_WINDOW_SELECTOR}');
+        return { found: false, applied: false, requests: count, openWindow: open ? { id: String(open.getAttribute('data-element-id')), kind: open.getAttribute('data-dialog-kind') } : null };
+      }
       // g-04 sırası: düğümün kendisi basılabilirse o → <id>__press → içteki ilk basılabilir öğe.
       // Mobil çoklu seçim tetikleyicisi kökte role="combobox" taşır ve içindeki ilk role="button"
       // çipin "kaldır" düğmesidir — eskiden ona basılıp seçim siliniyordu (37 S-18). Tek basışlı
       // denetimin yüzeyi <id>__press'tir (ui-native press-role-guard), anahtarınki role="switch".
       var press = document.querySelector(${JSON.stringify(`[data-element-id="${String(action.target ?? '')}${INTERNAL_ROLE_SEPARATOR}press"]`)});
+      // g-11 incelemesi: önizleme penceresi (onay/uyarı/biyometri) açıkken altında kalan sayfa öğesine gerçek kullanıcı
+      // basamaz; DOM tıklaması basardı ve sayfa eylemi pencere yanıtlanmadan koşardı.
+      var shield = document.querySelector('${AWAITING_WINDOW_SELECTOR}');
+      if (shield && !shield.contains(node)) {
+        var shieldId = String(shield.getAttribute('data-element-id'));
+        return { found: true, applied: false, requests: count, openWindow: { id: shieldId, kind: shield.getAttribute('data-dialog-kind') }, note: "önizleme penceresi " + shieldId + " açık ve sayfayı örtüyor: gerçek kullanıcı alttaki öğeye basamaz, eylem uygulanmadı — önce pencereyi yanıtlayın (" + shieldId + "__confirm / __cancel, biyometride __verify / __cancel)" };
+      }
       var target = ${pressSurface} || node.matches('button, a, [role="button"], [role="switch"], [role="combobox"]') ? node
         : (press || node.querySelector('button, a, [role="button"], [role="switch"]') || node);
       // S-2: sekme grubunun KÖKÜNE click, DOM sırasındaki ilk sekmeye gider ve "uygulandı" der —
@@ -433,6 +445,13 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     // K1 (g-04): gerçek kullanıcı alana odaklanır, yazar ve çıkar. Blur'suz yazımda odak kaybına
     // bağlı akış (ui-native girişlerin 'changed'i) hiç koşmuyordu (37 S-19). focus() odağı alamazsa
     // (görünmez alan, odaksız belge) olaylar elle atılır: Svelte 'blur'u, React 'focusout'u dinler.
+    // blur: false (g-12) telefonda klavye açıkken yazılan hâli sınar: odak alanda kalır, not söyler.
+    var keepFocus = ${JSON.stringify(action.blur === false)};
+    var done = function () {
+      var result = { found: true, applied: true, requests: count };
+      if (keepFocus) result.note = "blur: false — odak alanda kaldı; odak kaybına bağlı akış ('changed') bu adımda koşmaz";
+      return finish(result);
+    };
     var focusField = function () {
       field.focus();
       if (document.activeElement === field) return;
@@ -448,15 +467,15 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     if (field instanceof HTMLInputElement && (field.type === 'checkbox' || field.type === 'radio')) {
       var shouldCheck = wanted === 'true' || wanted === '1' || wanted === 'on';
       if (field.checked !== shouldCheck) field.click();
-      blurField();
-      return finish({ found: true, applied: true, requests: count });
+      if (!keepFocus) blurField();
+      return done();
     }
     var setter = Object.getOwnPropertyDescriptor(proto, 'value').set;
     setter.call(field, ${value});
     field.dispatchEvent(new Event('input', { bubbles: true }));
     field.dispatchEvent(new Event('change', { bubbles: true }));
-    blurField();
-    return finish({ found: true, applied: true, requests: count });
+    if (!keepFocus) blurField();
+    return done();
   })()`;
 }
 /** `rf_range__start` → `rf_range`: iç rol hedefinin prop'ları kök düğümde yaşar. */

package/dist/platform/capture/capture.js

@@ -6,7 +6,7 @@ import { PersistentScreenshotBrowser, persistentContextOpener, screenshotProfile
 import { actionScript, activeTabScript, rootElementId, runtimePropsScript } from './actions.js';
 import { domSummaryScript } from './summary.js';
 import { createPageConsoleLog, describePageFailure, isExpressionEcho, parseRenderErrors, renderErrorsScript, splitExpressionErrors } from './console-log.js';
-import { decideReadiness, describeUnready, parseReadiness, readinessScript, runtimePath } from './readiness.js';
+import { awaitingUserNote, decideReadiness, describeUnready, parseAwaitingWindow, parseReadiness, readinessScript, runtimePath } from './readiness.js';
 /** Runtime'ın Connect Data bağlantısı için bastığı sözde akış kimliği: hata bir akış adımından değil bağlı prop'un okumasından gelir. */
 const CONNECT_DATA_FLOW_ID = 'connect-data';
 /**
@@ -159,6 +159,9 @@ const resizeSettleBudgetMs = 3000;
  * çağrıya ve ~3.5 dakikaya mal oldu). İkiden fazlası turu uzatır, bir şey kazandırmaz.
  */
 const navigationAttempts = 2;
+/** g-12 oturumları: depo durumu çerez (jeton dahil) taşıdığı için diske değil süreç belleğine yazılır. */
+const sessionTtlMs = 30 * 60_000;
+const maxSessions = 8;
 /**
  * Yalnız zaman aşımı yeniden denenir. `net::ERR_CONNECTION_REFUSED` / DNS gibi hızlı düşen
  * hatalarda Studio ayakta değildir; tekrar yalnız bekleme süresini iki katına çıkarır ve
@@ -232,6 +235,7 @@ export class StudioScreenshotter {
     queue = Promise.resolve();
     pending = 0;
     recycleNext = false;
+    sessions = new Map();
     constructor(config, launcher) {
         this.config = config;
         this.launcher = launcher;
@@ -307,7 +311,7 @@ export class StudioScreenshotter {
      * işaretlenir ve kare yine çekilir, çünkü bozuk/boş sayfayı görmek de bir doğrulamadır. Veri
      * yanıtından sonra fontlar + kısa yerleşme beklemesi Svelte hydrate'ine alan bırakır.
      */
-    async runActions(page, request, consoleLog) {
+    async runActions(page, context, request, consoleLog) {
         if (!request.actions || request.actions.length === 0)
             return undefined;
         const outcomes = [];
@@ -319,12 +323,23 @@ export class StudioScreenshotter {
             }
             const snapshotBefore = parseReadiness(await page.evaluate(readinessScript).catch(() => undefined));
             const activityBefore = snapshotBefore?.activity ?? null;
-            const raw = await page.evaluate(actionScript(action, request.target)).catch(error => ({
-                found: false,
-                applied: false,
-                note: error instanceof Error ? error.message : String(error),
-                requests: 0
-            }));
+            // `network` (g-12) sayfada betik koşturmaz: bağlamın ağını değiştirir ve sayfanın gördüğü `navigator.onLine`'ı
+            // okur. Ağ açılınca koşan eşitleme akışları aşağıdaki aynı hazırlık beklemesiyle `flowRuns`'a yazılır.
+            const raw = action.action === 'network'
+                ? context.setOffline === undefined
+                    ? { found: true, applied: false, note: 'ağ denetimi yok: tarayıcı bağlamı setOffline desteklemiyor — ağ DEĞİŞMEDİ', requests: 0 }
+                    : await (async () => {
+                        const count = await page.evaluate("performance.getEntriesByType('resource').length").catch(() => 0);
+                        await context.setOffline?.(action.value === 'offline');
+                        const online = await page.evaluate('navigator.onLine').catch(() => undefined);
+                        return { found: true, applied: true, requests: typeof count === 'number' ? count : 0, ...(typeof online === 'boolean' ? { online } : {}) };
+                    })()
+                : await page.evaluate(actionScript(action, request.target)).catch(error => ({
+                    found: false,
+                    applied: false,
+                    note: error instanceof Error ? error.message : String(error),
+                    requests: 0
+                }));
             const before = (raw ?? {});
             // Hedef bulunamadıysa ajan neyi yanlış yazdığını KAREDEN çıkaramaz. `__` taşıyan hedef bir
             // iç rol denemesidir: bilinen roller sayılır. Kök hedefi bulunamadıysa sorun elementId'nin
@@ -335,6 +350,9 @@ export class StudioScreenshotter {
                     : action.target.includes(INTERNAL_ROLE_SEPARATOR)
                         ? `'${action.target}' sayfada yok. Bu bir İÇ ROL hedefi: biçim <elementId>__<rol> ve bilinen roller — ${knownInternalRoles().join(' · ')}. Roller görünen metinden değil kayıttaki anahtardan türer (sekme key'i, kart id'si); hedef bileşenin rollerini component_get çıktısındaki internalRoles verir.`
                         : `'${action.target}' elementId'si sayfada yok. page_schema_get ile elementId'leri listeleyin; bir komponentin İÇ kontrolünü hedefliyorsanız <elementId>__<rol> biçimini kullanın (component_get çıktısındaki internalRoles).`;
+                const openWindow = parseAwaitingWindow(before.openWindow);
+                if (openWindow !== null)
+                    before.note = `${before.note} Açık önizleme penceresi: ${openWindow.id}${openWindow.kind === null ? '' : ` (${openWindow.kind})`}; sayfanın düğmeleri onun altında kalır.`;
             }
             // Olay akışı uç çağırıyor: yerleşme beklemeden sonraki istek sayısını ölçmek "istek gitti mi"
             // sorusunu cevaplar — koşuda kusuru kesinleştiren gözlem buydu.
@@ -376,9 +394,11 @@ export class StudioScreenshotter {
                 : undefined;
             const propWritten = typeof propsAfter === 'string' ? propsAfter !== before.propsBefore : undefined;
             const applied = before.applied === true && propWritten !== false;
+            // g-11: eylem bir önizleme penceresi açtıysa (onay, uyarı, biyometri) sıradaki eylemin neye basacağı burada söylenir.
+            const awaitingNote = readiness.state === 'awaiting-user' ? awaitingUserNote(readiness.snapshot?.awaitingWindow) : undefined;
             const note = propWritten === false
                 ? `değer DOM'a yazıldı ama '${rootElementId(String(action.target ?? ''))}' düğümünün runtime prop'ları DEĞİŞMEDİ — bileşen olayı kendi change yoluna çevirmedi ya da değer zaten aynıydı. Çok alanlı bileşende <elementId>__<rol> kutusunu hedefleyin (component_get → internalRoles).`
-                : before.note;
+                : [before.note, awaitingNote].filter((part) => part !== undefined && part !== '').join(' ') || undefined;
             outcomes.push({
                 index,
                 action: String(action.action),
@@ -395,6 +415,7 @@ export class StudioScreenshotter {
                 ...(before.optionsSeen === undefined ? {} : { optionsSeen: before.optionsSeen }),
                 ...(before.waitedMs === undefined ? {} : { waitedMs: before.waitedMs }),
                 ...(before.submitVia === undefined ? {} : { submitVia: before.submitVia }),
+                ...(before.online === undefined ? {} : { online: before.online }),
                 pageState: readiness.state
             });
         }
@@ -491,7 +512,47 @@ export class StudioScreenshotter {
             context = await browser.newContext(contextOptions);
         }
         logStep('tarayıcı →', `GET ${request.url} · viewport ${request.viewport.width}x${request.viewport.height}${request.fullPage ? ' · fullPage' : ''}${request.token ? '' : ' · gateway jetonu YOK'}${(request.cookies ?? []).length > 0 ? ` · caller çerezleri: ${(request.cookies ?? []).map(cookie => cookie.name).join(', ')}` : ''}${request.token || (request.cookies ?? []).length > 0 ? '' : ' · ANONİM (çerez YOK)'}${request.colorScheme ? ` · tema ${request.colorScheme}` : ''}${request.motion === 'play' ? ' · hareket oynar' : ''}${request.headers ? ` · başlık: ${Object.keys(request.headers).join(', ')}` : ''}`);
+        let sessionRestored;
+        // Oturum depoyu bir kez kaydeder: başarılı yolda yanıttan önce, hata yolunda `finally`'de. Yükleme yarıda kaldıysa
+        // (`setStorageState` önce siler, sonra yazar) yarı boş depo iyi kaydın üstüne yazılmaz (g-12 inceleme #6).
+        let sessionPending = request.session !== undefined;
+        // Okunamayan depo eski kaydı BIRAKMAZ: bırakılsaydı sonraki çekim aradaki yazmaları sessizce kaybeden eski depoyu
+        // `sessionRestored: true` ile yüklerdi (g-12 inceleme #5).
+        const saveSession = async () => {
+            sessionPending = false;
+            if (request.session === undefined || !context.storageState)
+                return true;
+            const state = await context.storageState().catch(() => undefined);
+            this.sessions.delete(request.session);
+            if (state === undefined)
+                return false;
+            this.sessions.set(request.session, { state, at: Date.now() });
+            for (const [key, entry] of this.sessions) {
+                if (Date.now() - entry.at > sessionTtlMs || this.sessions.size > maxSessions)
+                    this.sessions.delete(key);
+            }
+            return true;
+        };
         try {
+            // Oturum çerezlerden ÖNCE yüklenir: `setStorageState` mevcut depoyu siler, sonra yazılan jeton çerezi kalsın.
+            // Yeteneği olmayan bağlamda çağrı sessizce taze depoyla çekilmez (colorScheme'in kuralı).
+            if (request.session !== undefined) {
+                if (!context.storageState || !context.setStorageState) {
+                    throw new PlatformApiError(`session='${request.session.split('|')[0]}' uygulanamadı: tarayıcı bağlamı depo durumunu okuyup yükleyemiyor (storageState/setStorageState). Kare taze depoyla çekilirdi ve bu sessizce yanlış olurdu.`);
+                }
+                const saved = this.sessions.get(request.session);
+                if (saved !== undefined && Date.now() - saved.at > sessionTtlMs)
+                    this.sessions.delete(request.session);
+                sessionRestored = saved !== undefined && Date.now() - saved.at <= sessionTtlMs;
+                // İlk çağrı da boş depoyla başlar: kalıcı profilde önceki çekimlerden kalan köken anlık görüntüye girmesin (#8).
+                try {
+                    await context.setStorageState(sessionRestored && saved !== undefined ? saved.state : { cookies: [], origins: [] });
+                }
+                catch (error) {
+                    sessionPending = false;
+                    throw error;
+                }
+            }
             const cookies = new Map();
             if (request.token)
                 cookies.set('NG_AccessToken', request.token);
@@ -573,7 +634,7 @@ export class StudioScreenshotter {
                 : readiness.state === 'not-ready' ? false : undefined;
             const finalHref = readiness.snapshot?.href;
             const finalUrl = finalHref !== undefined && runtimePath(finalHref) !== runtimePath(request.url) ? finalHref : undefined;
-            const actions = await this.runActions(page, request, consoleLog);
+            const actions = await this.runActions(page, context, request, consoleLog);
             // Ölçüm EYLEMLERDEN SONRA: eylem sekme değiştirir, filtre uygular, panel açar — içerik
             // boyu o zaman kesinleşir. Eskiden ölçüm eylemlerden önceydi ve ikinci sekmede 40 satırlık
             // tablo açan bir çekim viewport boyunda kalıyordu; `contentHeight` ilk sekmenin boyuydu
@@ -643,6 +704,7 @@ export class StudioScreenshotter {
             if (runtimeErrors.length > 0) {
                 logStep('akış hatası ✕', `${runtimeErrors.length} akış adımı hata bıraktı — sayfa yine 200 döndü`, runtimeErrors.map(error => `${error.step?.name ?? '?'}${error.element ? ` → ${error.element}.${error.property ?? '?'}` : ''}: ${error.message ?? ''}`));
             }
+            const sessionSaved = await saveSession();
             return {
                 ...(png === undefined ? {} : { png, mimeType: format === 'jpeg' ? 'image/jpeg' : 'image/png' }),
                 ...(png === undefined ? {} : (size => size === undefined ? {} : { imageSize: size })(imageSize(png))),
@@ -653,6 +715,7 @@ export class StudioScreenshotter {
                 renderWaitTimedOut: apiStatus === undefined,
                 elapsedMs,
                 pageState: readiness.state,
+                ...(readiness.state === 'awaiting-user' && readiness.snapshot?.awaitingWindow ? { awaitingWindow: readiness.snapshot.awaitingWindow } : {}),
                 readyAfterMs: readiness.waitedMs,
                 ...(finalUrl === undefined ? {} : { finalUrl }),
                 ...(measured === undefined ? {} : { contentHeight: measured }),
@@ -665,10 +728,16 @@ export class StudioScreenshotter {
                 ...(pageErrors.length > 0 ? { pageErrors } : {}),
                 ...(renderErrors.length > 0 ? { renderErrors } : {}),
                 ...(flowsSettled === undefined ? {} : { flowsSettled }),
-                ...(navigationRetried ? { navigationRetried: true } : {})
+                ...(navigationRetried ? { navigationRetried: true } : {}),
+                ...(sessionRestored === undefined ? {} : { sessionRestored }),
+                ...(sessionSaved ? {} : { sessionSaved: false })
             };
         }
         finally {
+            // Hata yolunda da depo kapanıştan ÖNCE alınır (kalıcı profil kapanışta depoyu siler): ağsız yazılmış kayıt
+            // çekim düşse de oturumda kalır. En yenisi sona yazılır; süresi dolan ve sekizi aşan en eski oturum düşer.
+            if (sessionPending)
+                await saveSession();
             await context.close().catch(() => undefined);
             // Zamanlayıcı ÖNCE temizlenir: eskiden her çekim yenisini kurup eskisini bırakıyordu ve
             // kaçan zamanlayıcı sonraki çekimin ortasında tarayıcıyı kapatıyordu (S-3).

package/dist/platform/capture/persistent-browser.js

@@ -72,6 +72,8 @@ export class PersistentScreenshotBrowser {
  * Tek çekimlik oturum. Eski taze bağlamın yalıtımı korunur: başlık ve init script'i bağlama
  * değil sayfaya yazılır (sonraki çekime sızmaz — `impersonated-user-id` dahil), kapanışta
  * çerezler ve gezilen kökenlerin depoları (localStorage, IndexedDB, …) diskteki profilden silinir.
+ * `session` (g-12) bu silmeyi atlamaz: depo kapanıştan önce okunur, sonraki çekimde yüklenir; yüklenen kökenler de
+ * kapanışta silinir. Ağ kesildiyse sayfalar kapandıktan SONRA geri açılır — bağlam sonraki çekimle paylaşılır.
  */
 class PersistentContextSession {
     context;
@@ -79,6 +81,8 @@ class PersistentContextSession {
     initScripts = [];
     headers;
     pages = [];
+    restoredOrigins = new Set();
+    offline = false;
     constructor(context, options) {
         this.context = context;
         this.options = options;
@@ -92,6 +96,20 @@ class PersistentContextSession {
     async setExtraHTTPHeaders(headers) {
         this.headers = headers;
     }
+    async setOffline(offline) {
+        await this.context.setOffline(offline);
+        this.offline = offline;
+    }
+    storageState() {
+        return this.context.storageState({ indexedDB: true });
+    }
+    async setStorageState(state) {
+        for (const entry of state.origins ?? []) {
+            if (typeof entry.origin === 'string')
+                this.restoredOrigins.add(entry.origin);
+        }
+        await this.context.setStorageState(state);
+    }
     async newPage() {
         const page = await this.context.newPage();
         this.pages.push(page);
@@ -104,7 +122,7 @@ class PersistentContextSession {
         return page;
     }
     async close() {
-        const origins = new Set();
+        const origins = new Set(this.restoredOrigins);
         for (const page of this.pages) {
             try {
                 const origin = new URL(page.url()).origin;
@@ -126,5 +144,9 @@ class PersistentContextSession {
         await this.context.clearCookies().catch(() => undefined);
         for (const page of this.pages)
             await page.close().catch(() => undefined);
+        // Ağ EN SON açılır: sayfa açıkken açılsaydı çevrimdışı uygulama `online` olayıyla kuyruğunu sunucuya boşaltırdı —
+        // salt okunur bir çekimden görünmez yazma, oturumla taşınan kuyrukta da çift kayıt (g-12 inceleme #4).
+        if (this.offline)
+            await this.context.setOffline(false).catch(() => undefined);
     }
 }