@appaflytech/zeyrek-ai-mcp 0.0.51 → 0.0.53

package/dist/resources/guides/workflow.md

@@ -374,6 +374,35 @@ gidilir, hiçbiri tutmazsa `else` dalı yürür:
 | `automation` | Entity satır olayına tepki | `entityId` + `operation` + `isQueue` | returnDtoId YASAK; aşağıdaki "Automation gerçekleri" |
 | `middleware` | Microservice/sayfa **çalışmadan önce** koşan guard/setter (auth, `user`/`settings` değişkenleri) | Bağlandığı uç çağrılınca (`middlewareIds`) | returnDtoId gerekmez; `set-user`/`variable`/`setcookie`/`redirect` yalnız bu tipte. **Ayrı rehberi var: `platform_guide('middleware')`** |
 
+## Balance adımı: bakiye oku, düş, ekle, hak var mı (kök ADR 0027, `StepType.Balance`)
+
+Mobil uygulamanın tüketilen ürün bakiyesini (kredi, jeton) sunucu iş akışından yönetir. İşlem `rule.balanceOperation`
+(`read` · `spend` · `grant` · `entitled`), girdi `rule.expression` nesne literalidir (parantezle ya da doğrudan `{ … }`):
+`application` (mobil uygulama slug'ı) ya da `applicationId`, `userId` (yoksa oturumdaki uygulama kullanıcısı) ya da
+`installationId`, `balance`, `amount` (tam sayı ya da metin), `reason` (`grant`, ≤ 200), `idempotencyKey`, `entitlement`
+(`entitled`). Çıktı `read`/`spend`/`grant`'ta `{ balance, balances }`, `entitled`'da `{ entitled, expiresAt }` (birden çok
+açık satırdan biri süresizse `expiresAt: null`). Hata — yetersiz bakiye, geçersiz girdi, kullanıcı yok — adımın **hata
+dalına** gider; `BalanceInsufficientException` kodu `errorCode` olarak okunur. Üç workflow tipinde de serbesttir.
+
+- **Bakiye adı katalogdadır:** statik `balance` uygulamanın tüketilen ürünlerinden birinin `balance` alanı, statik
+  `entitlement` bir ürünün `entitlement`'ı olmalı — olmayan ad yazımda `FLOW-046` ile durur (hata katalogdakileri sayar;
+  `mobile_product_list`). İfadeyle (`input.ad`) verilen ad yazımda denetlenmez. Katalog akışın uygulamasından (ya da
+  ifadedeki GUID `applicationId`'den) okunur; okunamazsa kural susar.
+- **Tekrar güvenliği varsayılan DEĞİLDİR:** `idempotencyKey` verilmezse adım çalışma kimliği kullanılır ve o her çalışmada
+  yenidir — yeniden koşabilen akış (yeniden deneme, döngü, aynı olayın iki kez gelmesi) iki kez düşer/ekler. `spend`/`grant`
+  için olayı tanımlayan bir anahtar verin (`idempotencyKey: input.davetId`); `FLOW-046` anahtarsız `spend`/`grant`'ı
+  uyarır. `spend:` ve `grant:` anahtar uzayları ayrıdır.
+- **Tarif — krediyi düş, işi yap, iş düşerse geri ekle:** (1) `balance` `spend` `{ balance: 'kredi', amount: 10,
+  idempotencyKey: input.istekId }`; `success` → (2) işi yapan adım (ör. `http`/`microfunction`); onun `fail` dalı → (3)
+  `balance` `grant` `{ balance: 'kredi', amount: 10, reason: 'rapor üretilemedi', idempotencyKey: 'iade-' + input.istekId }`;
+  `spend`'in kendi hata dalı (`insufficient`) → `response` 409 gövdesi. Önce düşmek yarışta bakiyeyi korur; iade ayrı
+  anahtarlı olduğu için tekrar koşarsa bir kez yazılır. Defterde `grant` satırı mağaza iadesinden (`refund`) ayrı türdür.
+- **Kilit:** `spend`/`grant` aynı sahibin eşzamanlı harcamasını sıralayan danışma kilidini işlem sonuna kadar tutar —
+  `balance` adımını akışın sonuna yakın ve kısa tutun, ondan sonra uzun süren adım (HTTP, e-posta) koyma.
+- `entitled` sunucudaki hak satırlarına bakar (açık ve süresi geçmemiş); istemci ne yollarsa yollasın cevap değişmez —
+  istemci tarafı `Entitlements.<hak>` yalnız ekranı gizler, sunucu denetimi bunun yerine geçmez.
+- Önizleme (`workflow_preview`) işlemi geri alır: `grant`/`spend` gerçekten koşar ve kalıcı satır bırakmaz.
+
 ## Step tipi × workflow tipi izin matrisi
 
 | Step | workflow | automation | middleware |
@@ -384,6 +413,7 @@ gidilir, hiçbiri tutmazsa `else` dalı yürür:
 | convert | ✓ | – | – |
 | revert (Fail and Rollback) | – | ✓ | – |
 | process (BPM süreci) | ✓ | ✓ | – |
+| balance (uygulama bakiyesi / hak denetimi) | ✓ | ✓ | ✓ |
 
 > **`process` adımı süreci başlatır ya da ona sinyal/vekalet yazar, BEKLEMEZ (2026-09-18).**
 > Kural alanları `processSlug`, `processOperation: start | signal | delegate` (boş = `start`) ve

package/dist/resources/schema-fingerprint.json

@@ -1,6 +1,6 @@
 {
-  "hash": "bbe34cf1a8761567c57d93203e7f68c603fc338b066670776edf9c224625f758",
-  "generatedAt": "2026-10-30T15:49:07.850Z",
+  "hash": "162e8c2d14c5a0737d023b55790bab139812a00ec8e2e6335ed51981bb27e548",
+  "generatedAt": "2026-11-02T08:52:07.624Z",
   "types": 377,
   "files": 196,
   "note": "Şemaları üreten backend kaynaklarının parmak izi. Elle düzenlemeyin: 'npm run generate-schemas' yazar, 'npm run schema:check' denetler.",

package/dist/resources/schemas/CreateWorkflowCommand.json

@@ -233,7 +233,8 @@
           "revert",
           "set-user",
           "microfunction",
-          "process"
+          "process",
+          "balance"
         ],
         "type": "string",
         "format": ""
@@ -349,6 +350,10 @@
             "type": "string",
             "nullable": true
           },
+          "balanceOperation": {
+            "type": "string",
+            "nullable": true
+          },
           "queryId": {
             "type": "string",
             "format": "uuid",

package/dist/resources/schemas/GlobalFunctionUpdateResultDto.json

@@ -254,6 +254,10 @@
           "push-notification",
           "mobile-build",
           "mobile-runner",
+          "mobile-store-product",
+          "mobile-store-import",
+          "app-purchase-import",
+          "mobile-store-diff",
           "organization-schema",
           "organization-unit",
           "organization-position",

package/dist/resources/schemas/PreviewWorkflowCommand.json

@@ -171,7 +171,8 @@
           "revert",
           "set-user",
           "microfunction",
-          "process"
+          "process",
+          "balance"
         ],
         "type": "string",
         "format": ""
@@ -287,6 +288,10 @@
             "type": "string",
             "nullable": true
           },
+          "balanceOperation": {
+            "type": "string",
+            "nullable": true
+          },
           "queryId": {
             "type": "string",
             "format": "uuid",

package/dist/resources/schemas/StepDto.json

@@ -76,7 +76,8 @@
           "revert",
           "set-user",
           "microfunction",
-          "process"
+          "process",
+          "balance"
         ],
         "type": "string",
         "format": ""
@@ -192,6 +193,10 @@
             "type": "string",
             "nullable": true
           },
+          "balanceOperation": {
+            "type": "string",
+            "nullable": true
+          },
           "queryId": {
             "type": "string",
             "format": "uuid",

package/dist/resources/schemas/UpdateWorkflowCommand.json

@@ -233,7 +233,8 @@
           "revert",
           "set-user",
           "microfunction",
-          "process"
+          "process",
+          "balance"
         ],
         "type": "string",
         "format": ""
@@ -349,6 +350,10 @@
             "type": "string",
             "nullable": true
           },
+          "balanceOperation": {
+            "type": "string",
+            "nullable": true
+          },
           "queryId": {
             "type": "string",
             "format": "uuid",

package/dist/server.js

@@ -54,6 +54,8 @@ import { registerBpmReportingTools } from "./tools/bpmReporting.js";
 import { registerModuleTools } from "./tools/modules.js";
 import { registerMobileTools } from "./tools/mobile.js";
 import { registerMobileStoreTools } from "./tools/mobileStore.js";
+import { registerMobilePurchaseTools } from "./tools/mobilePurchases.js";
+import { registerMobileStoreImportTools } from "./tools/mobileStoreImport.js";
 import { registerAssistantTools } from "./tools/assistant.js";
 const moduleRegistrations = {
     platform: registerPlatformTools,
@@ -111,6 +113,8 @@ const moduleRegistrations = {
     mobile: (server, platform) => {
         registerMobileTools(server, platform);
         registerMobileStoreTools(server, platform);
+        registerMobilePurchaseTools(server, platform);
+        registerMobileStoreImportTools(server, platform);
         registerMobilePublishPrompt(server);
     },
     assistant: registerAssistantTools,

package/dist/tools/applications.js

@@ -113,7 +113,7 @@ export function registerApplicationTools(server, platform) {
     }));
     server.registerTool('application_update', {
         title: 'Application güncelle',
-        description: `Application bilgilerini günceller; homepageId zorunludur (mevcut değeri application_get ile alın). ${templateSubscriptionLock}`,
+        description: `Application bilgilerini günceller; homepageId zorunludur (mevcut değeri application_get ile alın). ORTAM (K5, b-15): ayar alanları — properties (mobile.offline, sekmeler, geçiş…), homepageId, notFoundPageId — yalnız development'a yazılır; production onları deployment_start ile alır (dal ortamları açıldıkları andaki kopyayı tutar), yani ayarı önce development'ta deneyin. Kimlik alanları (name, slug, color, dns) bütün ortamlara hemen gider. Yanıttaki environmentNote bunu çağrı başına söyler. ${templateSubscriptionLock}`,
         inputSchema: {
             id: guid,
             slug: z.string().min(1),
@@ -132,7 +132,12 @@ export function registerApplicationTools(server, platform) {
             : [];
         const response = await platform.org('PUT', `/applications/${id}`, { body });
         forgetApplication(platform, id);
-        return withPlatformWarnings(response, warnings);
+        // Uç tam kaydı yazar: verilmeyen properties/notFoundPageId development'ta da boşalır (APP-001, inceleme #4).
+        const missing = ['properties', 'notFoundPageId'].filter((field) => body[field] === undefined);
+        return {
+            ...withPlatformWarnings(response, warnings),
+            environmentNote: `properties, homepageId ve notFoundPageId verildiği gibi yalnız development'a (ve Core'a) yazıldı; production onları deployment_start ile alır, dal ortamları hiç almaz (APP-001). name/slug/color/dns bütün ortamlara gitti.${missing.length > 0 ? ` ${missing.join(' ve ')} verilmedi: uç tam kaydı yazar, development'taki değer boşaltıldı — korumak için application_get'teki mevcut değeri gönderin.` : ''}`
+        };
     }));
     server.registerTool('application_delete', {
         title: 'Application sil',

package/dist/tools/deployments.js

@@ -51,7 +51,7 @@ export function registerDeploymentTools(server, platform) {
     }));
     server.registerTool('deployment_status', {
         title: 'Deployment durumu',
-        description: "Projenin son deployment durumunu döner. 'projectId' ZORUNLUDUR (project_list/project_get'ten alın) — verilmezse çağrı MCP şema katmanında reddedilir, platforma hiç gitmez. Hiç deployment yapılmamış projede yanıt BOŞ gelir; o durumda tool 'hiç deployment kaydı yok' bilgisini açıkça döner, yani boş yanıtı 'tool çalışmadı' diye okumayın. Durum satırı modül başına ayrılmaz: süreç tanımları ve iş takvimleri sayfa ve workflow'lardan sonra aynı saga adımında aktarılır; hedefte çalışamayan (eksik workflow/entity/rol) tanım aktarımı DefinitionInvalid ile düşürür. type 'error' ise 'error' alanı düşüş nedenini taşır (DefinitionInvalid'de bulgular 'yol: mesaj | …' olarak eklenir); aktarım atomiktir, hedef değişmemiştir. type 'completed-with-mismatch': deploy tamamlandı, kayıtlar production'a yazıldı, ama ardından koşan özet denetimi production'da fark buldu; sonraki deploy otomatik tam (full) koşar. Yanıt mode (full | delta: deploy'un gerçekte koştuğu kip) ve counters (delta'da modül başına added/updated/deleted) taşır.",
+        description: "Projenin son deployment durumunu döner. Bittikten sonra iki ortamın tanım farkını environment_diff verir (özetten; tablo satırları hariç). 'projectId' ZORUNLUDUR (project_list/project_get'ten alın) — verilmezse çağrı MCP şema katmanında reddedilir, platforma hiç gitmez. Hiç deployment yapılmamış projede yanıt BOŞ gelir; o durumda tool 'hiç deployment kaydı yok' bilgisini açıkça döner, yani boş yanıtı 'tool çalışmadı' diye okumayın. Durum satırı modül başına ayrılmaz: süreç tanımları ve iş takvimleri sayfa ve workflow'lardan sonra aynı saga adımında aktarılır; hedefte çalışamayan (eksik workflow/entity/rol) tanım aktarımı DefinitionInvalid ile düşürür. type 'error' ise 'error' alanı düşüş nedenini taşır (DefinitionInvalid'de bulgular 'yol: mesaj | …' olarak eklenir); aktarım atomiktir, hedef değişmemiştir. type 'completed-with-mismatch': deploy tamamlandı, kayıtlar production'a yazıldı, ama ardından koşan özet denetimi production'da fark buldu; sonraki deploy otomatik tam (full) koşar. Yanıt mode (full | delta: deploy'un gerçekte koştuğu kip) ve counters (delta'da modül başına added/updated/deleted) taşır.",
         inputSchema: { projectId: guid },
         annotations: readOnly
     }, handle(config, async ({ projectId }) => {

package/dist/tools/designSchemaPatch.js

@@ -2,7 +2,7 @@ import { orphanedFlowWarnings, orphanedFlowPlan, orphanedFlowMessage, boundEvent
 import { opsParam, writeViewParam, outlineWriteResponse, unknownEventOps, collectTypes, simulateLayoutOps, removeNodeFromTree, planEventRemovals, callerSlots, planEmulatedOps, recordsWithEventRemovals, serverOpsInOrder, assertOpBodies, applySkeletonOps, reshapesSkeleton } from './schemaOps.js';
 import { guid, projectParam, environmentParam, updates, microOps } from './common.js';
 import { fetchHost, hostPath } from './screens.js';
-import { assertScreenWriteGuards, screenCatalogNotes } from './screenWrite.js';
+import { assertScreenWriteGuards, screenCatalogNotes, unknownPropOps } from './screenWrite.js';
 import { emptyWriteDiff, schemaOpDrops, withWriteDiff } from '../platform/writeDiff.js';
 import { fetchComponentEventNames } from './components.js';
 import { boxSectionNote, collectIds, ensureBoxSections, expandSectionToggles } from '../knowledge/boxSections.js';
@@ -10,7 +10,7 @@ import { PlatformApiError } from '../platform/errors.js';
 import { connectDataOpIssues, connectedPropKeys } from '../knowledge/connectDataDefinition.js';
 import { handle } from '../platform/responses.js';
 import { slotWarning } from './layouts.js';
-import { batchEnvelopeNote, openBatchEnvelopes } from '../knowledge/platform/batchOps.js';
+import { batchEnvelopeNote, batchIndexHint, openBatchEnvelopes } from '../knowledge/platform/batchOps.js';
 import { applicationTypeField, resolveProfile } from '../knowledge/platform/resolve.js';
 import { boundFlowSteps, layoutPatchWarnings, screenProfileWarnings } from './profileWrite.js';
 import { enforceTextHooks, textHookOverrideParam } from './textHookGuard.js';
@@ -87,6 +87,11 @@ export function registerDesignSchemaPatchTool(server, platform, host) {
         const events = host === 'layout' ? record.events : undefined;
         const normalized = normalizeSchemaOps(opRecords);
         assertOpBodies(opRecords, propTypeOps);
+        // g-21: tanınmayan prop sayfa yamasındaki gibi istek gitmeden op'uyla adlandırılır; yama bütün reddedilir.
+        const unknownProps = await unknownPropOps(platform, project, environment, applicationId, async () => nodes, allOps);
+        if (unknownProps.length > 0) {
+            throw new PlatformApiError(`${spec.tool}: tanınmayan prop (unknown-prop) — yama atomik olduğu için HİÇBİR op gönderilmedi (istek gönderilmedi): ${unknownProps.map(issue => issue.message).join(' | ')}${batchIndexHint(opened)}`, 400);
+        }
         // TR-005 / TR-006: yamanın yükü op'ların EZDİĞİ kayıtlı değerle karşılaştırılır — orada zaten duran kanca eskidir.
         const textFindings = await enforceTextHooks(config, {
             platform, project, environment, applicationId,

package/dist/tools/environments.js

@@ -18,6 +18,46 @@ export function registerEnvironmentTools(server, platform) {
         inputSchema: { projectId: guid },
         annotations: readOnly
     }, handle(config, ({ projectId }) => platform.org('GET', `/environments/${projectId}`)));
+    server.registerTool('environment_diff', {
+        title: 'İki ortamın tanım farkı',
+        description: "İki ortamın (varsayılan development → production) TANIMLARINI karşılaştırır ve farklı olanları modül modül listeler: fark türü onlyInSource (yalnız kaynakta, dağıtılmamış) · onlyInTarget (yalnız hedefte) · changed (içerik farklı). Dağıtımdan sonra (deployment_status bitti dedikten sonra) 'production development'la aynı mı' sorusunun tek çağrılık cevabıdır. Fark tanım özetinden (definition digest) gelir, gövdeden değil: sırasız diziler ve çoğu üretilmiş alt kimlik karşılaştırmaya girmez — AMA akış adım parametrelerinin kimlikleri girer: development'ta yeniden yazılan (flow_update) bir akış içeriği aynı olsa da changed görünebilir; dağıtım kimlikleri koruduğu için dağıtımdan hemen sonraki karşılaştırma bundan etkilenmez. Kapsamı özetlenen modüllerdir (uygulama, rol, sorgu, DTO, görünüm, workflow, servis, klasör, layout, sayfa, akış, değişken, fonksiyon, mikrofonksiyon, çeviri); tablolar, bileşenler, erişim politikaları, süreçler, dosyalar ve asistan KAPSANMAZ — yanıtın notCovered alanı bu modülleri sayar, 'eşit' cevabı onlar için değildir. Tablo SATIRLARI (recordTransferMode) karşılaştırılmaz. En çok 50 kayıt satırı döner; fazlası truncated: true. Salt okunur; hiçbir ortama yazmaz.",
+        inputSchema: {
+            projectId: guid,
+            source: z.string().min(1).optional().describe("Kaynak ortam adı; varsayılan 'development'"),
+            target: z.string().min(1).optional().describe("Hedef ortam adı; varsayılan 'production'"),
+            modules: z.array(z.string().min(1)).max(20).optional().describe("Yalnız bu modüller, backend'in modül adıyla (yanıtın modules[].module değerleri; ör. 'page', 'flow', 'microservice', 'data_transfer_object', 'global-function')")
+        },
+        annotations: readOnly
+    }, handle(config, async ({ projectId, source = 'development', target = 'production', modules }) => {
+        // Tek modül ve 50 satır sınırı sunucuda uygulanır (adlar yalnız listelenen kayıtlar için okunur); birden çok modül
+        // süzgecinde sunucu tavanı istenir, süzme burada yapılır.
+        const single = modules?.length === 1 ? modules[0] : undefined;
+        const response = await platform.org('GET', `/revisions/${projectId}/environment-diff`, {
+            query: { source, target, ...(single ? { module: single } : {}), limit: modules && modules.length > 1 ? 1000 : 50 }
+        });
+        const diff = (response?.data ?? response ?? {});
+        const wanted = (module) => modules === undefined || modules.includes(module);
+        const records = (diff.records ?? []).filter((record) => wanted(record.module));
+        const total = modules && modules.length > 1 ? records.length : Math.max(diff.total ?? 0, records.length);
+        const moduleCounts = (diff.modules ?? []).filter((module) => wanted(module.module));
+        return {
+            source,
+            target,
+            equal: total === 0,
+            ...(total === 0 ? { note: `${source} ve ${target} özetlenen modüllerde eşit — notCovered'daki modüller karşılaştırılmadı.` } : {}),
+            modules: moduleCounts,
+            records: records.slice(0, 50).map((record) => ({
+                module: record.module,
+                ...(record.name ? { name: record.name } : {}),
+                id: record.recordId,
+                change: record.state === 'different' ? 'changed' : record.state
+            })),
+            ...(total > 50 || diff.truncated === true ? { truncated: true, total, truncatedNote: "50 satırdan fazla fark var — modules ile süzün (ör. modules: ['page'])." } : {}),
+            notCovered: diff.notCovered ?? [],
+            recordsNote: 'Tablo satırları (recordTransferMode) karşılaştırılmaz; bu yalnız tanım farkıdır.',
+            ...(diff.digestCheck?.possiblyStale ? { digestNote: 'Ortamlardan birinin özeti hiç denetlenmemiş, son denetimi düşmüş ya da güvenilir değil: fark bayat olabilir.' } : {})
+        };
+    }));
     server.registerTool('environment_create', {
         title: 'Dal environment\'ı aç',
         description: `Projede yeni bir dal environment'ı açar: kendi PG şeması kurulur ve development'ın tanımları oraya kopyalanır. Asenkron bir saga'dır — yanıt 202 döner, dal hemen kullanılabilir DEĞİLDİR. includeRecords true ise projenin KENDİ veritabanındaki bütün veri tablolarının satırları da kopyalanır (çok dilli companion tablolar ve junction'lar dahil; files/folders ve audit trail tabloları hariç, dış datasource'lara dokunulmaz) — entity'de kayıt taşıması ayarı açık olmasa bile. Merge'de yalnız kayıt taşıması ayarı açık tabloların satırları üç yollu geri taşınır (rehber: merge, Tablo kayıtları). ${templateSubscriptionLock}`,

package/dist/tools/flows.js

@@ -17,6 +17,8 @@ import { randomUUID } from 'node:crypto';
 import { flowProfileWarnings } from './profileWrite.js';
 import { enforceTextHooks } from './textHookGuard.js';
 import { readMobileOffline } from '../knowledge/platform/mobileOffline.js';
+import { restorePathWarnings, subscriptionDisclosureWarnings } from '../knowledge/platform/mobileRules.js';
+import { balanceCatalogFindings, balanceWithoutSignInWarnings, purchaseCatalogFindings } from '../knowledge/mobileStore.js';
 import { resolveProfile } from '../knowledge/platform/resolve.js';
 import { jsonArray } from '../platform/jsonArray.js';
 import { z } from 'zod';
@@ -62,6 +64,23 @@ function hostNodes(record) {
     return record.schema ?? record.views ?? [];
 }
 const BINDINGS_UNAVAILABLE = 'Barındırıcı kaydı okunamadığı için olay bağları hesaplanamadı; akış listesi yine de günceldir.';
+/**
+ * g-21 (D-21, plans/defter-saha-bulgulari): `flow_get` `host` olmadan da çalışır. Akış kimliği sahibini söylemez ve
+ * platformda kimlikten sahibe giden uç yoktur; kimlik sırayla sayfa → layout → komponent kaydı olarak okunur. Yalnız
+ * 404 sonrakine geçer — başka hata (yetki, 500) sahibi hakkında bir şey söylemez ve olduğu gibi döner.
+ */
+async function resolveFlowHost(platform, project, environment, applicationId, hostId) {
+    for (const host of ['page', 'layout', 'component']) {
+        try {
+            return { host, record: await fetchHost(platform, host, project, environment, applicationId, hostId) };
+        }
+        catch (error) {
+            if (!(error instanceof PlatformApiError) || error.status !== 404)
+                throw error;
+        }
+    }
+    throw new PlatformApiError(`flow_get: bu kimlikte sayfa/layout/komponent yok (${hostId}, uygulama ${applicationId}). hostId akışın barındırıcısının id'sidir, akışın kendi id'si değil — page_list / layout_list / component_list ile doğrulayın ya da host'u açıkça verin.`, 404);
+}
 /**
  * TB-126 / S2-36 — satır aksiyonu taşıyabilen komponentler. Bu tiplerin `actions` prop'unu çoğu
  * zaman YÜKLEME AKIŞI çalışma zamanında yazar (aksiyon role göre eklenip çıkarılıyorsa başka yolu
@@ -399,6 +418,60 @@ async function uncachedReadWarnings(platform, applicationId, steps, errorSteps,
     }
     return warnings;
 }
+/**
+ * FLOW-046 katalog ayağı ve MOB-036 (g-02): yazılan akışta `balance-spend` varsa aynı katalog okumasından beslenir. Statik bakiye
+ * adı uygulamanın tüketilen ürünlerinde yoksa `block` (FLOW-045 ile aynı kalıp); tüketilen ürün var ama giriş ucu yoksa MOB-036
+ * uyarısı için uygulamanın microservice listesi okunur (okunamazsa susar).
+ *
+ * FLOW-045 katalog ayağı, MOB-034 ve MOB-042 (kök ADR 0027, plans/mobil-uygulama-ici-satin-alma g-01). Üçü de tanımda
+ * olmayan bilgiyi ister — uygulamanın ürün kataloğu (Core `mobile-store/{appId}/products`), ekranın öteki akışları ve
+ * sayfanın ağacı — ve yalnız yazılan akışta `purchase` adımı varken okunur. Katalogda olmayan statik anahtar `block`
+ * bulgusudur (`findings`; çağıran yazımdan ÖNCE `applyPolicyMode` + `enforcePolicy` ile uygular — CD-005 kalıbı), öteki
+ * ikisi uyarıdır. Web uygulamasında adım her zaman `unsupported` döner (barındırıcı satın alma taşımaz): katalog
+ * okunmaz, yalnız uyarı. Okunamayan katalog ya da akış listesi bulgu üretmez — bilmediğimizi ret diye söylemeyiz.
+ */
+async function purchaseChecks(platform, host, project, environment, applicationId, hostId, hostRecord, flowId, steps, errorSteps) {
+    const written = [...(Array.isArray(steps) ? steps : []), ...(Array.isArray(errorSteps) ? errorSteps : [])].filter(isRecord);
+    const purchases = written.filter(step => String(step.type ?? '') === 'purchase');
+    const spends = written.filter(step => String(step.type ?? '') === 'balance-spend');
+    if (purchases.length === 0 && spends.length === 0)
+        return { findings: [], warnings: [] };
+    const resolved = await resolveProfile(platform, applicationId);
+    if (resolved.known && resolved.profile.platform !== 'mobile') {
+        return {
+            findings: [],
+            warnings: [
+                ...(purchases.length > 0 ? [`FLOW-045: '${String(purchases[0]?.stepId ?? purchases[0]?.name ?? '?')}' purchase adımı bu web uygulamasında her zaman 'unsupported' döner — uygulama içi satın alma yalnız mobil uygulamanın mağaza derlemesindedir (önizlemede deneme penceresi).`] : []),
+                ...(spends.length > 0 ? [`FLOW-046: '${String(spends[0]?.stepId ?? spends[0]?.name ?? '?')}' balance-spend adımı bu web uygulamasında her zaman 'unsupported' döner — bakiye harcama yalnız mobil uygulamanın mağaza derlemesindedir (önizlemede deneme penceresi).`] : [])
+            ]
+        };
+    }
+    const products = await platform.org('GET', `/mobile-store/${applicationId}/products`)
+        .then(payload => {
+        const data = isRecord(payload) && 'data' in payload ? payload.data : payload;
+        return Array.isArray(data) ? data.filter(isRecord) : undefined;
+    }, () => undefined);
+    const otherFlows = purchases.length > 0
+        ? await listHostFlows(platform, host, project, environment, applicationId, hostId, async () => hostRecord)
+            .then(flows => flows.filter(flow => String(flow.id ?? '').toLowerCase() !== flowId.toLowerCase()), () => undefined)
+        : undefined;
+    const microservices = spends.length > 0 && products
+        ? await platform.tenant('GET', project, `/microservices/${applicationId}`, { environment, query: { pageLength: 200 } })
+            .then(payload => {
+            const data = isRecord(payload) && 'data' in payload ? payload.data : payload;
+            const items = isRecord(data) && Array.isArray(data.items) ? data.items : data;
+            return Array.isArray(items) ? items.filter(isRecord) : undefined;
+        }, () => undefined)
+        : undefined;
+    return {
+        findings: products ? [...purchaseCatalogFindings(purchases, products), ...balanceCatalogFindings(spends, products)] : [],
+        warnings: [
+            ...(otherFlows ? restorePathWarnings(written, otherFlows, products) : []),
+            ...(products && purchases.length > 0 && host === 'page' ? subscriptionDisclosureWarnings(written, products, hostNodes(hostRecord), otherFlows ?? []) : []),
+            ...(products && spends.length > 0 ? balanceWithoutSignInWarnings(products, microservices) : [])
+        ]
+    };
+}
 /**
  * FLOW-038 (g-02, ADR 0004 — ZM-07). `microservice.ts` `.finally` üç yoldan birini dener: adımın
  * kendi `error` dalı bağlıysa oradan sürer, yoksa flow `errorSteps`'i (`engine.onError`) devralır,
@@ -473,16 +546,26 @@ export function registerFlowTools(server, platform) {
     server.registerTool('flow_get', {
         title: 'Akış getir',
         description: "Tek akışı adımlarıyla getirir; yeni akış yazarken en iyi şablon budur. bindings bu akışa bağlı olaylardır ([{ target: elementId | 'page', event }]; boşsa akış sahipsizdir). Hedefi silinmiş (element'siz) setter iteratee'si varsa yanıttaki flowWarnings söyler — o adım koşar ama hiçbir şeye yazmaz.",
-        inputSchema: { project: projectParam, environment: environmentParam, host: hostParam, applicationId: guid, hostId: guid, flowId: flowIdParam },
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            host: hostParam.optional().describe("Akışın barındırıcısı: page | layout | component. Verilmezse gateway hostId'yi sırayla sayfa → layout → komponent olarak okur (en çok üç okuma, 404 sonrakine geçer) ve yanıtın hostResolvedAs alanı bulduğunu söyler; biliyorsanız verin, tek okuma yapılır"),
+            applicationId: guid,
+            hostId: guid,
+            flowId: flowIdParam
+        },
         annotations: readOnly
     }, handle(config, async ({ project, environment, host, applicationId, hostId, flowId }) => {
-        const response = await platform.tenant('GET', project, flowPath(host, applicationId, hostId, flowId), { environment });
-        const record = await fetchHost(platform, host, project, environment, applicationId, hostId).catch(() => undefined);
+        const resolved = host === undefined ? await resolveFlowHost(platform, project, environment, applicationId, hostId) : undefined;
+        const owner = resolved?.host ?? host;
+        const response = await platform.tenant('GET', project, flowPath(owner, applicationId, hostId, flowId), { environment });
+        const record = resolved?.record ?? await fetchHost(platform, owner, project, environment, applicationId, hostId).catch(() => undefined);
         const warnings = targetlessSetterWarnings(response);
         if (!response || typeof response !== 'object' || Array.isArray(response))
             return response;
         return {
             ...response,
+            ...(resolved === undefined ? {} : { hostResolvedAs: resolved.host }),
             ...(record === undefined
                 ? { bindingsNote: BINDINGS_UNAVAILABLE }
                 : { bindings: flowBindings(hostNodes(record), record.events).get(flowId.toLowerCase()) ?? [] }),
@@ -534,6 +617,8 @@ export function registerFlowTools(server, platform) {
             where: `akış '${name}'`
         }, policyOverride);
         const readService = serviceDefinitionReader(platform, project, environment, applicationId);
+        const purchase = await purchaseChecks(platform, host, project, environment, applicationId, hostId, hostRecord, writtenFlowId, steps, errorSteps ?? []);
+        const purchaseFindings = enforcePolicy(config.policyMode === 'off' ? [] : applyPolicyMode(config, purchase.findings, policyOverride));
         const parameterWarnings = [
             ...await requiredParameterWarnings(platform, project, environment, applicationId, steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, steps),
@@ -541,7 +626,8 @@ export function registerFlowTools(server, platform) {
             ...unknownSetterTargetWarnings(steps, errorSteps ?? [], hostNodes(hostRecord)),
             ...microserviceAlwaysDataWarnings(steps, errorSteps ?? []),
             ...await queuedBranchWarnings(platform, applicationId, steps, errorSteps ?? [], readService),
-            ...await uncachedReadWarnings(platform, applicationId, steps, errorSteps ?? [], readService)
+            ...await uncachedReadWarnings(platform, applicationId, steps, errorSteps ?? [], readService),
+            ...purchase.warnings
         ];
         // Gövde yalnız akıştır (designer-partial-update K1): barındırıcı zarfı platformda hâlâ isteğe bağlı
         // ama gönderilirse okunan tam kaydı yeniden yazar, açık Studio designer'ının kayıtlı tabanını
@@ -569,7 +655,7 @@ export function registerFlowTools(server, platform) {
             ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
             ...(platformWarnings.length > 0 ? { platformWarnings } : {}),
             hint: "Akışı bir olaya bağlamak için: page_schema_patch (layout'ta layout_schema_patch, widget'ta component_schema_patch) ops:[{op:'set_event', target:<elementId>, event:'<component_get events listesindeki ad>', eventValue:<flow id>}]; olayda zaten akış bağlıysa ikinciyi add_event ile ekleyin (set_event bağlı akışı değiştirir, PAGE-034). Olay adları komponente özeldir ve 'on' ÖNEKİ ALMAZ (button → 'click', form → 'submit', table → 'mount'/'select'/'sort'…); uydurma ad 200 döner ama bağ sessizce ölü kalır — gateway PAGE-008 ile yakalar."
-        }, normalized), drops.renamed), drops), [...findings, ...textFindings]);
+        }, normalized), drops.renamed), drops), [...findings, ...textFindings, ...purchaseFindings]);
     }));
     server.registerTool('flow_update', {
         title: 'Akış güncelle',
@@ -624,6 +710,9 @@ export function registerFlowTools(server, platform) {
             }, policyOverride)
             : [];
         const readService = serviceDefinitionReader(platform, project, environment, applicationId);
+        const purchase = await purchaseChecks(platform, host, project, environment, applicationId, hostId, hostRecord, flowId, flow.steps, flow.errorSteps);
+        // Kayıtlı gövde suçlanmaz: yalnız ad/slug değişen yazımda katalog bulgusu uygulanmaz (FLOW-* kuralları gibi).
+        const purchaseFindings = enforcePolicy(config.policyMode === 'off' || !(steps || errorSteps) ? [] : applyPolicyMode(config, purchase.findings, policyOverride));
         const parameterWarnings = [
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
@@ -631,7 +720,8 @@ export function registerFlowTools(server, platform) {
             ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
             ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps),
             ...await queuedBranchWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService),
-            ...await uncachedReadWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService)
+            ...await uncachedReadWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService),
+            ...purchase.warnings
         ];
         await platform.tenant('PUT', project, flowPath(host, applicationId, hostId, flowId), { environment, body: { flow } });
         // Kısmi güncellemede yalnız GÖNDERİLEN alanlar karşılaştırılır; verilmeyen alan için
@@ -644,7 +734,7 @@ export function registerFlowTools(server, platform) {
         });
         const platformWarnings = await flowProfileWarnings(platform, applicationId, [...(flow.steps ?? []), ...(flow.errorSteps ?? [])]);
         return attachFindings(withWriteDiff(withNormalization({ host, hostId, flow: flowSummary(flow), ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
-            ...(platformWarnings.length > 0 ? { platformWarnings } : {}) }, normalized), drops), [...findings, ...textFindings]);
+            ...(platformWarnings.length > 0 ? { platformWarnings } : {}) }, normalized), drops), [...findings, ...textFindings, ...purchaseFindings]);
     }));
     server.registerTool('flow_patch', {
         title: "Akışa patch uygula",
@@ -690,6 +780,8 @@ export function registerFlowTools(server, platform) {
             }, policyOverride)
         ];
         const readService = serviceDefinitionReader(platform, project, environment, applicationId);
+        const purchase = await purchaseChecks(platform, host, project, environment, applicationId, hostId, hostRecord, flowId, flow.steps, flow.errorSteps);
+        const purchaseFindings = enforcePolicy(config.policyMode === 'off' ? [] : applyPolicyMode(config, purchase.findings, policyOverride));
         const parameterWarnings = [
             ...await requiredParameterWarnings(platform, project, environment, applicationId, flow.steps),
             ...await functionWarnings(platform, host, project, environment, applicationId, hostId, flow.steps),
@@ -697,7 +789,8 @@ export function registerFlowTools(server, platform) {
             ...unknownSetterTargetWarnings(flow.steps, flow.errorSteps, hostNodes(hostRecord)),
             ...microserviceAlwaysDataWarnings(flow.steps, flow.errorSteps),
             ...await queuedBranchWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService),
-            ...await uncachedReadWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService)
+            ...await uncachedReadWarnings(platform, applicationId, flow.steps, flow.errorSteps, readService),
+            ...purchase.warnings
         ];
         // Gövde değil FARK gönderilir; platform PATCH ucu akışı tek başına yazar. Net diff okunan kayıt ile son hâl arasından hesaplanır.
         const netOps = fastJsonPatch.compare(current, flow);
@@ -717,7 +810,7 @@ export function registerFlowTools(server, platform) {
             flow: flowSummary(written.data),
             ...(parameterWarnings.length > 0 ? { parameterWarnings } : {}),
             ...(platformWarnings.length > 0 ? { platformWarnings } : {})
-        }, [...normalized, ...resolved.notes.map(note => `patch yolu seçiciden indekse çözüldü: ${note}`)]), drops), findings);
+        }, [...normalized, ...resolved.notes.map(note => `patch yolu seçiciden indekse çözüldü: ${note}`)]), drops), [...findings, ...purchaseFindings]);
     }));
     server.registerTool('flow_delete', {
         title: 'Akış sil',

package/dist/tools/mobile.js

@@ -114,6 +114,57 @@ export function registerMobileTools(server, platform) {
         inputSchema: { project: projectParam, environment: environmentParam, applicationId: guid.describe('Mobil uygulama (slug da verilebilir, gateway GUID\'e çevirir)'), ...pushAudienceFields, pageIndex: pagingParams.pageIndex, pageLength: pagingParams.pageLength.describe('Sayfa boyu; varsayılan 25') },
         annotations: readOnly
     }, handle(config, ({ project, environment, applicationId, ...query }) => platform.tenant('GET', project, `/push/devices/${applicationId}`, { environment, query })));
+    server.registerTool('mobile_error_list', {
+        title: 'Telefonda düşen akış hataları',
+        description: "Mobil uygulamanın TELEFONDA düşen akış hatalarını okur (kabuk gönderir, sunucu saklar — defter-saha-bulgulari b-10/f-10). Kayıt biçimi page_screenshot.runtimeErrors ile aynıdır (flowId · step{id,name,type} · code · message · element · property · kind) ve şunları ekler: pageSlug, platform, appVersion, devices (kaç kurulumda), count, lastAt. Aynı akış/adım/mesaj üçlüsü tek satıra katlanır, en yeni önce. Önizlemede görülmeyen cihaz hatasını (ağsız yazma, sayfa kapanınca atlanan adım `page-unmounted`, geri gidilemeyen `back-unavailable`) kullanıcının anlatmasını beklemeden okumak için. Kabuk hatayı ağ gelince gönderir: uçak kipinde düşen hata ağ dönene kadar görünmez; occurredAt telefondaki saattir. Sunucu kurulum başına son 200 kaydı ve 7 günü tutar; mesaj gateway maskesinden geçer. Uygulama ayarı properties.mobile.reportErrors: false gönderimi kapatır. Web önizlemesinin hataları burada YOK — onları page_screenshot.runtimeErrors verir.",
+        inputSchema: {
+            project: projectParam,
+            environment: environmentParam,
+            applicationId: guid.describe('Mobil uygulama (slug da verilebilir, gateway GUID\'e çevirir)'),
+            pageSlug: z.string().min(1).optional().describe('Yalnız bu sayfada düşenler'),
+            flowId: z.string().min(1).optional().describe('Yalnız bu akış'),
+            installationId: z.string().min(1).optional().describe('Yalnız bu kurulum (notification_device_list\'teki installationId ile aynı kimlik)'),
+            since: z.string().min(1).optional().describe('ISO zaman; yalnız bundan sonra görülenler'),
+            limit: z.number().int().min(1).max(100).optional().describe('Katlanmış satır sayısı; varsayılan 20')
+        },
+        annotations: readOnly
+    }, handle(config, async ({ project, environment, applicationId, limit = 20, ...query }) => {
+        let response;
+        try {
+            response = await platform.tenant('GET', project, `/runtime-errors/${applicationId}`, { environment, query: { ...query, limit: 200 } });
+        }
+        catch (error) {
+            if (error instanceof PlatformApiError && error.status === 404) {
+                throw new PlatformApiError('mobile_error_list: bu backend istemci akış hatası kaydetmiyor (runtime-errors ucu yok) — backend imajı güncel değil ya da uç bu kurulumda kapalı. Önizleme hatalarını page_screenshot.runtimeErrors verir.', 404);
+            }
+            throw error;
+        }
+        const rows = unwrap(response) ?? [];
+        // Aynı akış/adım/mesaj tek satır: sayılar toplanır, en yeni kaydın bağlamı (sayfa, sürüm, platform) taşınır.
+        const folded = new Map();
+        for (const row of rows) {
+            const key = `${row.flowId ?? ''}|${row.step?.id ?? ''}|${row.message ?? ''}`;
+            const lastAt = row.lastAt ?? row.occurredAt ?? '';
+            const existing = folded.get(key);
+            if (!existing) {
+                folded.set(key, { ...row, lastAt, count: row.count ?? 1, devices: new Set(row.installationId ? [row.installationId] : []) });
+                continue;
+            }
+            existing.count = (existing.count ?? 1) + (row.count ?? 1);
+            if (row.installationId)
+                existing.devices.add(row.installationId);
+            if (lastAt > (existing.lastAt ?? ''))
+                Object.assign(existing, { ...row, lastAt, count: existing.count, devices: existing.devices });
+        }
+        const errors = [...folded.values()]
+            .sort((left, right) => (right.lastAt ?? '').localeCompare(left.lastAt ?? ''))
+            .map(({ devices, installationId: _installation, ...error }) => ({ ...error, devices: devices.size }));
+        return {
+            errors: errors.slice(0, limit),
+            ...(errors.length > limit ? { truncated: true, total: errors.length } : {}),
+            ...(errors.length === 0 ? { note: 'Bu süzgeçle kayıt yok. Telefon hatayı ağ gelince gönderir; uçak kipindeki hata ağ dönene kadar görünmez. Uygulama ayarı properties.mobile.reportErrors: false ise kabuk göndermez.' } : {})
+        };
+    }));
     server.registerTool('notification_create', {
         title: 'Push bildirimi gönder (varsayılan kuru koşu)',
         description: "Kitleye dile göre içerikle push bildirimi gönderir — `SendPushNotificationCommand: { dryRun, audience, content, defaultLanguage, path?, query?, androidChannel?, badge?, testInstallationId? }`. dryRun VARSAYILAN TRUE: yalnız kitleyi sayar ({ total, byLanguage }), hiçbir şey yazmaz; göndermek için dryRun: false AÇIKÇA verilir. Gerçek gönderim kuyruğa girer ve yanıt id döner; sonucu notification_history { id } ile okuyun (birkaç saniye sonra sent/failed, teslim sayıları ve hatalı cihazlar). Kitle her zaman aktif ve izinli cihazlara daraltılır; testInstallationId verilirse yalnız o kurulum (notification_device_list'teki installationId). İçerik dil → { title, body }; başlığı boş dil düşer ve o cihaz varsayılan dili alır; varsayılan dilde başlık zorunlu (NTF-002, platform 400). Dil anahtarları küçük harfe indirilir. path dokunuşta açılacak sayfanın slug'ı, query onun sorgusu. Ret: production'da dryRun: false istek gitmeden reddedilir (NTF-001).",
@@ -169,6 +220,11 @@ export function registerMobileTools(server, platform) {
         const plan = buildMobileAppPlan(input);
         if (dryRun)
             return { dryRun: true, plan };
+        // APP-001 (K5, b-15): sekme ve ana sayfa ayarı yalnız development'a yazılır. Dalda kurulan sayfalara bağlı ayar
+        // development'ta olmayan sayfaları gösterir, dal sekmesiz kalırdı.
+        if (platform.resolveEnvironment(environment) !== 'development') {
+            throw new PlatformApiError(`mobile_app_create [APP-001]: uygulama ayarı (sekmeler, ana sayfa) yalnız development'a yazılır; '${platform.resolveEnvironment(environment)}' ortamında kurulan sayfalara bağlanamaz. Mobil uygulamayı development'ta kurun, production'a deployment_start ile taşıyın. Hiçbir şey yazılmadı.`, 400);
+        }
         const completed = [];
         const skipped = new Set();
         const warnings = [];