@appaflytech/zeyrek-ai-mcp 0.0.52 → 0.0.54

package/dist/knowledge/componentCatalog.js

@@ -502,6 +502,7 @@ export const componentKnowledge = {
         summary: 'Aranabilir çoklu seçim; value bir değer dizisidir, seçilenler etiket (chip) olarak görünür, search olayı sunucu taraflı arama kurmaya yarar.',
         behavior: [
             "Bakma penceresi (lookupMode modal | drawer) tablo kelimelerini (Uygula, Seçimi temizle, ipucu satırı, filtre çubuğu, işleç adları) tablonun satırlarından okur: compProp.datatable.<kelime> (2026-10-15, frontend ADR 0024); bu satırlar bileşenin Translations sekmesinde tablonun anahtarlarıyla listelenir ve bileşen kullanılınca tohumlanır. Düğümün texts'i önce gelir.",
+            "Bakma penceresinde başlık satırının ilk hücresi tümünü seç kutusudur (2026-11-02): süzgece uyan BÜTÜN kayıtları seçer, sonuç sayfaya sığmıyorsa kimlikleri bir kez okur (en çok 1000; fazlasında pencere söyler). Süzgecin dışındaki önceki seçim korunur, yazım yine Uygula iledir. Datatable çoka-çok hücresi ve çoklu filtre penceresi aynı pencereyi kullanır.",
             "value bir DİZİDİR ve üç biçimi de okunur: düz değer (['policies', 7]), şemanın biçimi ([{ value, label }]) ve eski ikizler ([{ id, text }]). Düz değer yazmak 2026-09-11'e kadar etiketi 'undefined' gösteriyordu; artık değer etiketin kendisi olur ve doğru metin options yüklenince gelir (2026-10-01'e kadar gelmiyordu: akışın yazdığı id dizisi seçenekler yüklense de çipte id olarak kalıyordu).",
             "Etiketin metni options'tan tazelenir: aynı value'lu option listede varsa onun label'ı yazılır. Bu arama METİNLEŞTİREREK karşılaştırır (String(a) === String(b)), AMA yalnız etiket metni için: satırın işaretli görünmesi ve seçimin kaldırılması KATI karşılaştırma kullanır. Yani value'da metin '34', options'ta sayı 34 varsa çip doğru etiketle çizilir ama liste satırı işaretsiz kalır ve tıklamak hiçbir şey yapmaz — eşlemeyi akış katmanında aynı tipe getir (CQ-208).",
             "change yükü { value: [{ value, label, id, text }] } taşır ve düğümün value prop'una yazılır: akışta self.value ile okunur. id/text, value/label'ın eski adlı ikizleridir — kayıtlı sayfalar onlarla okuduğu için bilerek korunuyor.",
@@ -578,7 +579,8 @@ export const componentKnowledge = {
             maxChars: "SERT sınır (tarayıcı maxlength): fazlası yazılamaz. Akıştan gelen daha uzun değer aynen gösterilir (sayaç 45/40 okur). validations.maxLength'ten FARKLIDIR: o yalnız doğrular. 0/boş = sınırsız.",
             showCounter: "Kutunun altında sağa dayalı sayaç: maxChars varsa '12/40', yoksa '12'.",
             autofocus: 'Sayfa açılınca odak bu alana gelir (dondurulmuş alanda ve tasarım kanvasında çalışmaz). Sayfada tek alana ver.',
-            isLoading: "Alanı dondurur (readonly, gri değil) ve sağ üstte spinner çizer; changed'e bağlı sorgu sürerken aç, tamamlanınca kapat."
+            isLoading: "Alanı dondurur (readonly, gri değil) ve sağ üstte spinner çizer; changed'e bağlı sorgu sürerken aç, tamamlanınca kapat.",
+            selection: "selection { start, end } (f-07): kullanıcı seçince ya da imleci taşıyınca selectionChange yazar; yazarken kayan imleç yalnız prop'u günceller (akış koşmaz). Alana hiç dokunulmadıysa undefined'dır. Akış Components.<id>.selection'a yazarsa alan seçimi/imleci oraya koyar ve odaklanır (aynı akışta value da yazıldıysa yeni metne göre). Seçili parçayı biçimlemek ('Kalın' düğmesinin click akışı): const v = Components.<alan>.value ?? ''; const s = Components.<alan>.selection ?? { start: v.length, end: v.length }; const yeni = v.slice(0, s.start) + '**' + v.slice(s.start, s.end) + '**' + v.slice(s.end); const imlec = s.start === s.end ? s.start + 2 : s.end + 4; sonra setter ile value = yeni, selection = { start: imlec, end: imlec } (seçimde imleç kapanış işaretinden sonra, boş imleçte iki işaretin arasında). Web ve mobil aynı yükü verir; textinput'ta bu olay YOK."
         }
     },
     texteditor: {

package/dist/knowledge/componentEvents.js

@@ -125,7 +125,19 @@ export const componentEventContracts = {
         focus: NO_DATA,
         blur: NO_DATA
     },
-    textarea: { mount: NO_DATA, change: valueChange('string'), changed: valueChange('string (blur ile kesinleşen değer)'), focus: NO_DATA, blur: NO_DATA },
+    textarea: {
+        mount: NO_DATA,
+        change: valueChange('string'),
+        changed: valueChange('string (blur ile kesinleşen değer)'),
+        focus: NO_DATA,
+        blur: NO_DATA,
+        // f-07 (plans/defter-saha-bulgulari): yük hem prop'a (`self.selection`) hem `params` ile `event.data`ya gider.
+        selectionChange: {
+            payload: {
+                selection: '{ start, end } — seçimin başı ve sonu, UTF-16 indeks (JS `slice` ile aynı birim); imleçte start === end. Aynı değer event.data.start / event.data.end olarak da gelir. Kullanıcı seçince ya da imleci taşıyınca yayılır (iki platformda 50 ms içindeki değişimler tek olay). Yazarken kayan imleç akış KOŞTURMAZ: yalnız self.selection güncellenir (her tuşta akış olmasın); biçim düğmesi seçimi tıklamada Components.<id>.selection\'dan okur'
+            }
+        }
+    },
     password: {
         mount: NO_DATA,
         change: valueChange('string'),

package/dist/knowledge/mobileComponentCatalog.js

@@ -198,7 +198,10 @@ export const mobileComponentKnowledge = {
         differences: [
             WEB_WORDS_NOTE,
             'Yükseklik açıkça verilir (React Native `TextInput` satır sayısını kendi ölçmez): `autoGrow` (web varsayılanı AÇIK) iken içerikle `minLines`–`maxLines` arasında büyür, kapalıyken sabit `lines`. 2026-09-27\'ye dek hep sabit boydu (f-05). Satır yüksekliği `punto × 1,45` stile yazılır ve satır tabanlı boylar iç boşluk + kenarlığı içerir: `maxLines: 5` beş tam satır gösterir (2026-09-29). `autofocus` runtime\'da klavyeyi açar.'
-        ]
+        ],
+        propNotes: {
+            selection: "Web ile aynı sözleşme (componentCatalog textarea.propNotes.selection). Cihazda seçim `onSelectionChange`'ten gelir ve 50 ms içinde tek `selectionChange`'e katlanır; akışın yazdığı seçim `setSelection` ile konur ve alan odaklanır (klavye açılır). Studio önizlemesinde (react-native-web) aynı yol `setSelectionRange`."
+        }
     },
     numberinput: {
         summary: 'Sayısal klavye açan alan; değer `Intl.NumberFormat` ile biçimlenir.',

package/dist/knowledge/normalize.js

@@ -1669,11 +1669,12 @@ const SCREEN_EVENT_NAMES = ['mount', 'destroy'];
  * koşmaz. Web her gezinmede sayfayı baştan kurar (`Runtime.svelte` focus'u tanımaz), layout'un focus'u
  * yoktur. Ayna: `ng-apps-ui-native` `SCREEN_LIFECYCLE_EVENTS` (parite: `test/page-meta.test.ts`).
  */
-const MOBILE_PAGE_EVENT_NAMES = [...SCREEN_EVENT_NAMES, 'focus'];
+const MOBILE_PAGE_EVENT_NAMES = [...SCREEN_EVENT_NAMES, 'focus', 'offlineQueueChange'];
 const SCREEN_EVENT_HINTS = {
     mount: 'mount (yüklendiğinde)',
     destroy: 'destroy (ayrılırken; temizlik akışları için)',
-    focus: 'focus (ekran her göründüğünde — ilk açılış ve geri dönüş; listeyi yeniden okumak için)'
+    focus: 'focus (ekran her göründüğünde — ilk açılış ve geri dönüş; listeyi yeniden okumak için)',
+    offlineQueueChange: 'offlineQueueChange (servis yazma kuyruğu değişince — ağsız kayıt girdi, gönderildi, reddedildi; listeyi yeniden okumak için, sayaç Device.offline)'
 };
 export function screenEventNames(kind, platform) {
     return kind === 'page' && platform === 'mobile' ? MOBILE_PAGE_EVENT_NAMES : SCREEN_EVENT_NAMES;
@@ -1688,7 +1689,7 @@ export function invalidScreenEventNames(events, code, names = SCREEN_EVENT_NAMES
         .map(event => String(event.name ?? ''))
         .filter(name => name !== '' && !names.includes(name))
         .map(name => MOBILE_PAGE_EVENT_NAMES.includes(name)
-        ? `${code}: '${name}' yalnız mobil uygulamanın SAYFASINDA vardır (layout'ta ve web sayfasında yok; web sayfayı her gezinmede baştan kurar, mount yeter) — burada geçerli adlar: ${valid}.`
+        ? `${code}: '${name}' yalnız mobil uygulamanın SAYFASINDA vardır (layout'ta ve web sayfasında yok; ${name === 'offlineQueueChange' ? 'web barındırıcısı servis yazma kuyruğu tutmaz, olay hiç yayılmaz' : 'web sayfayı her gezinmede baştan kurar, mount yeter'}) — burada geçerli adlar: ${valid}.`
         : `${code}: sayfa/layout düzeyinde '${name}' diye bir olay YOK — geçerli adlar: ${valid}. Platform kaydı kabul eder ama bağ sessizce ölü kalır.`);
 }
 const GUID_PATTERN = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;

package/dist/platform/argumentAliases.js

@@ -100,6 +100,14 @@ export async function applyArgumentAliases(tool, args, context) {
  * harf duyarsız düzenleme uzaklığı 2'yi geçmeyen en yakın ad (`hostID` → `hostId`, `views` → `view`).
  */
 export function closestArgument(key, accepted) {
+    return closestNames(key, accepted, 1, 2)[0];
+}
+/**
+ * `key`'e en yakın `limit` ad (büyük/küçük harf duyarsız düzenleme uzaklığı, eşitlikte `accepted` sırası). `maxDistance`
+ * verilmezse uzaklık sınırı yoktur: g-21'de micro-op'un tanınmayan prop'una komponentin en yakın üç prop'u önerilir
+ * (`ariaLabel` → `label`), o adlar 2'den uzak olsa da sözlüğün nereye baktığını gösterir.
+ */
+export function closestNames(key, accepted, limit, maxDistance = Number.POSITIVE_INFINITY) {
     const distance = (left, right) => {
         const row = Array.from({ length: right.length + 1 }, (_, index) => index);
         for (let i = 1; i <= left.length; i++) {
@@ -113,11 +121,12 @@ export function closestArgument(key, accepted) {
         }
         return row[right.length] ?? 0;
     };
-    const ranked = accepted
+    return accepted
         .map(name => ({ name, score: distance(key.toLowerCase(), name.toLowerCase()) }))
-        .filter(entry => entry.score <= 2)
-        .sort((left, right) => left.score - right.score);
-    return ranked[0]?.name;
+        .filter(entry => entry.score <= maxDistance)
+        .sort((left, right) => left.score - right.score)
+        .slice(0, limit)
+        .map(entry => entry.name);
 }
 const activeNotes = new AsyncLocalStorage();
 export function runWithArgumentNotes(notes, run) {

package/dist/platform/bodyFile.js

@@ -1,6 +1,6 @@
-import { open, realpath } from 'node:fs/promises';
+import { open, realpath, stat } from 'node:fs/promises';
 import { constants } from 'node:fs';
-import { extname, resolve, sep } from 'node:path';
+import { dirname, extname, isAbsolute, resolve, sep } from 'node:path';
 import { z } from 'zod';
 import { PlatformApiError } from './errors.js';
 /**
@@ -27,77 +27,234 @@ export const BODY_FILE_ARGUMENTS = {
 /** `ops`/`operations` eşanlamlıdır (`microOps`); ikisinden biri satır içinde varsa gövde verilmiştir. */
 const synonyms = { ops: ['ops', 'operations'], operations: ['ops', 'operations'] };
 const maxBodyFileBytes = 5 * 1024 * 1024;
+/**
+ * g-22 (D-22, K8 — `plans/defter-saha-bulgulari`): akış kodu JSON metninin içinde kaçışlı dizgi olarak duruyordu;
+ * Defter'de bir ters tırnak hatası düzenleri kırdı ve iş JS üreteçlerine taşındı. `{ "$file": "./adim.js" }` o
+ * dosyanın METNİYLE değiştirilir — gateway kodu ÇALIŞTIRMAZ (reddedilen seçenek: gateway'de .js koşturmak). Eklenen
+ * dosya bodyFile'ın bütün denetimlerinden geçer; sınırlar sahibin onayladığı K8 değerleridir.
+ */
+const includedExtensions = ['.js', '.mjs', '.ts', '.txt', '.sql', '.html', '.css'];
+const maxIncludedFileBytes = 1024 * 1024;
+const maxInclusions = 64;
 export function bodyFileParam(argument) {
-    return z.string().min(1).optional().describe(`'${argument}' yerine okunacak yerel .json dosyası (en çok 5 MB): gövde ajan bağlamından geçmez, gateway dosyayı okuyup '${argument}' olarak aynı doğrulamadan geçirir. '${argument}' ile birlikte verilemez. Yol gateway sürecinin çalışma dizininin ya da MCP_INPUT_DIR'in altında olmalı (sembolik bağ çözülür). Yanıtın bodyFile alanı hangi dosyanın okunduğunu söyler.`);
+    return z.string().min(1).optional().describe(`'${argument}' yerine okunacak yerel .json dosyası (en çok 5 MB): gövde ajan bağlamından geçmez, gateway dosyayı okuyup '${argument}' olarak aynı doğrulamadan geçirir. '${argument}' ile birlikte verilemez. Göreli yol .env'deki MCP_INPUT_DIR'e (tanımsızsa gateway'in çalışma dizinine) göre çözülür; dosya bu iki dizinden birinin altında olmalı (sembolik bağ çözülür). JSON'un herhangi bir yerine { "$file": "./adim.js" } yazılırsa o dosyanın METNİ oraya konur — kod çalıştırılmaz; yol bodyFile'ın klasörüne göre çözülür; ${includedExtensions.join(' ')}, UTF-8, dosya başına 1 MB, toplam 5 MB, en çok ${maxInclusions} ekleme; eklenen dosyanın içindeki $file işlenmez. Biçim tam { "$file": "<yol>" }'dur (tek anahtar, dizgi) — bozuk biçim ve satır içi gövdedeki $file istek gitmeden reddedilir. Akış code adımının args.value'su böylece kaçışsız düz JS dosyasında durur. Yanıtın bodyFile alanı okunan dosyanın mutlak yolunu, kökünü (root, rootSource) ve eklenen dosyaları (included: at, path, bytes) söyler.`);
 }
 export async function loadBodyFile(tool, args, config) {
     const argument = BODY_FILE_ARGUMENTS[tool];
     if (!argument || !args || typeof args !== 'object' || Array.isArray(args))
         return { args };
     const { bodyFile, ...rest } = args;
-    if (bodyFile === undefined)
-        return { args };
-    if (typeof bodyFile !== 'string' || bodyFile.length === 0)
-        return { args };
     const inline = (synonyms[argument] ?? [argument]).filter(name => rest[name] !== undefined);
+    if (typeof bodyFile !== 'string' || bodyFile.length === 0) {
+        assertNoInlineInclusions(tool, inline, rest);
+        return { args };
+    }
     if (inline.length > 0) {
         throw new PlatformApiError(`${tool}: bodyFile ile '${inline.join("', '")}' birlikte verilemez — gövde ya dosyadan ya satır içinden gelir. Birini kaldırın. İstek gönderilmedi.`, 400);
     }
-    const absolute = resolve(bodyFile);
-    if (extname(absolute).toLowerCase() !== '.json') {
-        throw new PlatformApiError(`${tool}: bodyFile yalnız .json okur — verilen: ${absolute}. İstek gönderilmedi.`, 400);
+    // g-21 (D-21): göreli yol gateway sürecinin çalışma dizinine göre çözülüyordu ve ajan o dizini bilmez. Ajanın
+    // bildiği kök .env'deki MCP_INPUT_DIR'dir; tanımsızsa eski davranış (çalışma dizini) sürer.
+    const base = config.inputDirectory ? { source: 'MCP_INPUT_DIR', path: resolve(config.inputDirectory) } : { source: 'cwd', path: process.cwd() };
+    const roots = await allowedRoots(config);
+    const body = await readGuardedFile(tool, 'bodyFile', resolve(base.path, bodyFile), ['.json'], maxBodyFileBytes, roots, config);
+    let value;
+    try {
+        value = JSON.parse(body.buffer.toString('utf8'));
+    }
+    catch (error) {
+        throw new PlatformApiError(`${tool}: bodyFile JSON değil — ${body.real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+    }
+    const included = await includeFiles(tool, value, dirname(body.real), body.buffer.length, roots, config);
+    const root = isAbsolute(bodyFile) ? body.root : { source: base.source, path: await realpath(base.path).catch(() => base.path) };
+    return {
+        args: { ...rest, [argument]: included.value },
+        note: {
+            path: body.real,
+            root: root.path,
+            rootSource: root.source,
+            argument,
+            bytes: body.buffer.length,
+            ...(included.files.length > 0 ? { included: included.files } : {})
+        }
+    };
+}
+/** MCP_INPUT_DIR önce gelir: dosya iki kökün de altındaysa yanıt ajanın bildiği kökü söyler. */
+async function allowedRoots(config) {
+    const candidates = [
+        ...(config.inputDirectory ? [{ source: 'MCP_INPUT_DIR', path: config.inputDirectory }] : []),
+        { source: 'cwd', path: process.cwd() }
+    ];
+    const resolved = await Promise.all(candidates.map(async (root) => ({ source: root.source, path: await realpath(resolve(root.path)).catch(() => undefined) })));
+    return resolved.filter((root) => root.path !== undefined);
+}
+/**
+ * bodyFile'ın ve her `$file` eklemesinin ORTAK okuma kapısı: uzantı (yol ve bağın hedefi), izinli kök, düzenli dosya
+ * ve bayt sınırı. O_NONBLOCK FIFO'nun çağrıyı bekletmesini önler; boyut dosyanın büyüklüğüne değil okunan bayta bakar.
+ *
+ * `realpath` ile `open` atomik DEĞİLDİR: O_NOFOLLOW yalnız SON bileşenin sonradan bağa çevrilmesini önler, yolun
+ * ortasındaki bir klasör denetimden sonra dışarıyı gösteren bağa çevrilirse `open` dışarıdaki dosyayı açar (g-22
+ * incelemesi, `test/body-file-race.test.ts`). Açtıktan sonra tutamacın aygıt/düğümü yolun taze `stat`'ıyla
+ * karşılaştırılır ve `realpath` yeniden koşturulur: yol aynı yere çözülmüyor ya da izinli kökün dışına düşüyorsa okuma
+ * reddedilir. Bu pencereyi DARALTIR, kapatmaz — iki denetim arasında geri çevrilen bir bağ yine görülmez; tam çözüm
+ * (`openat2` RESOLVE_BENEATH) Node'da yoktur. Okunan bayt yine de açılan tutamaçtan gelir.
+ */
+async function readGuardedFile(tool, label, absolute, extensions, maxBytes, roots, config) {
+    const accepted = extensions.join(', ');
+    if (!extensions.includes(extname(absolute).toLowerCase())) {
+        throw new PlatformApiError(`${tool}: ${label} yalnız ${accepted} okur — verilen: ${absolute}. İstek gönderilmedi.`, 400);
     }
     let real;
     try {
         real = await realpath(absolute);
     }
     catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile okunamadı — ${absolute} (${error instanceof Error ? error.message : String(error)}). Yol gateway sürecinin çalıştığı makineye göre çözülür.`, 400);
+        throw new PlatformApiError(`${tool}: ${label} okunamadı — ${absolute} (${error instanceof Error ? error.message : String(error)}). Yol gateway sürecinin çalıştığı makineye göre çözülür. İstek gönderilmedi.`, 400);
     }
-    if (extname(real).toLowerCase() !== '.json') {
-        throw new PlatformApiError(`${tool}: bodyFile'ın hedefi .json değil — ${real} (${absolute} bağının hedefi). İstek gönderilmedi.`, 400);
+    if (!extensions.includes(extname(real).toLowerCase())) {
+        throw new PlatformApiError(`${tool}: ${label} hedefi ${accepted} değil — ${real} (${absolute} bağının hedefi). İstek gönderilmedi.`, 400);
     }
-    const roots = await Promise.all([process.cwd(), config.inputDirectory]
-        .filter((root) => typeof root === 'string' && root.length > 0)
-        .map(root => realpath(resolve(root)).catch(() => undefined)));
-    const allowed = roots.some(root => root !== undefined && (real === root || real.startsWith(`${root}${sep}`)));
-    if (!allowed) {
-        throw new PlatformApiError(`${tool}: bodyFile izinli dizinlerin dışında — ${real}${real !== absolute ? ` (${absolute} bağının hedefi)` : ''}. Gateway yalnız çalışma dizininin (${process.cwd()}) ve .env'deki MCP_INPUT_DIR'in (${config.inputDirectory ?? 'tanımsız'}) altındaki dosyaları okur. İstek gönderilmedi.`, 400);
+    const root = roots.find(candidate => real === candidate.path || real.startsWith(`${candidate.path}${sep}`));
+    if (!root) {
+        throw new PlatformApiError(`${tool}: ${label} izinli dizinlerin dışında — ${real}${real !== absolute ? ` (${absolute} bağının hedefi)` : ''}. Gateway yalnız çalışma dizininin (${process.cwd()}) ve .env'deki MCP_INPUT_DIR'in (${config.inputDirectory ?? 'tanımsız'}) altındaki dosyaları okur. İstek gönderilmedi.`, 400);
     }
-    // Denetim ve okuma AYNI tutamaçtan: yol denetimden sonra değişse de okunan, denetlenen dosyadır.
-    // O_NOFOLLOW son bileşenin sonradan bağa çevrilmesini, O_NONBLOCK `.json` adlı FIFO'nun çağrıyı
-    // bekletmesini önler; boyut dosyanın büyüklüğüne değil okunan bayta bakar.
     let handle;
     try {
         handle = await open(real, constants.O_RDONLY | constants.O_NOFOLLOW | constants.O_NONBLOCK);
     }
     catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile açılamadı — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+        throw new PlatformApiError(`${tool}: ${label} açılamadı — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
     }
-    let bytes;
-    let text;
     try {
         const info = await handle.stat();
         if (!info.isFile()) {
-            throw new PlatformApiError(`${tool}: bodyFile düzenli dosya değil — ${real}. İstek gönderilmedi.`, 400);
+            throw new PlatformApiError(`${tool}: ${label} düzenli dosya değil — ${real}. İstek gönderilmedi.`, 400);
+        }
+        const fresh = await stat(real).catch(() => undefined);
+        const again = await realpath(absolute).catch(() => undefined);
+        const stillInside = again !== undefined && (again === root.path || again.startsWith(`${root.path}${sep}`));
+        if (!fresh || fresh.dev !== info.dev || fresh.ino !== info.ino || again !== real || !stillInside) {
+            throw new PlatformApiError(`${tool}: ${label} yolu denetimden sonra değişti — ${real} artık ${again ?? 'çözülemeyen bir yere'} gösteriyor (araya bir bağ girdi). Okunmadı. İstek gönderilmedi.`, 400);
         }
-        const buffer = Buffer.alloc(maxBodyFileBytes + 1);
-        const { bytesRead } = await handle.read(buffer, 0, buffer.length, 0);
-        bytes = bytesRead;
-        if (bytes > maxBodyFileBytes) {
-            throw new PlatformApiError(`${tool}: bodyFile 5 MB sınırını aşıyor. Tanımı parçalara bölün — sayfa için page_schema_patch'e birden çok batch, akış için flow_patch. İstek gönderilmedi.`, 400);
+        const buffer = Buffer.alloc(maxBytes + 1);
+        let bytesRead = 0;
+        // Tek `read` dosyanın tamamını döndürmek zorunda değildir; EOF'a ya da sınırın bir baytı ötesine kadar okunur.
+        while (bytesRead < buffer.length) {
+            const chunk = await handle.read(buffer, bytesRead, buffer.length - bytesRead, bytesRead);
+            if (chunk.bytesRead === 0)
+                break;
+            bytesRead += chunk.bytesRead;
         }
-        text = buffer.subarray(0, bytes).toString('utf8');
+        if (bytesRead > maxBytes) {
+            throw new PlatformApiError(maxBytes === maxBodyFileBytes
+                ? `${tool}: ${label} 5 MB sınırını aşıyor. Tanımı parçalara bölün — sayfa için page_schema_patch'e birden çok batch, akış için flow_patch. İstek gönderilmedi.`
+                : `${tool}: ${label} ${maxBytes / (1024 * 1024)} MB sınırını aşıyor — ${real}. Kodu birden çok dosyaya bölün. İstek gönderilmedi.`, 400);
+        }
+        return { real, root, buffer: buffer.subarray(0, bytesRead) };
     }
     finally {
         await handle.close();
     }
-    let value;
-    try {
-        value = JSON.parse(text);
+}
+/** Kök JSON Pointer'ı boş dizgidir; mesajda `''` ile `/` (adı boş anahtar) karışmasın diye adıyla yazılır. */
+function pointerLabel(at) {
+    return at === '' ? '(kök)' : at;
+}
+function pointerToken(key) {
+    return String(key).replace(/~/g, '~0').replace(/\//g, '~1');
+}
+/**
+ * Anahtarlarından biri büyük/küçük harf duyarsız `$file` olan her nesne ekleme NİYETİDİR. Yalnız tam
+ * `{ "$file": "<yol>" }` biçimi eklemedir; dizi/sayı değer, ek anahtar ya da `$File` yazımı sessizce nesne olarak
+ * platforma gitmesin diye `malformed`'a düşer (g-22 incelemesi 2).
+ */
+function findInclusions(value, at, found, malformed) {
+    if (Array.isArray(value)) {
+        value.forEach((item, index) => findInclusions(item, `${at}/${index}`, found, malformed));
+        return;
     }
-    catch (error) {
-        throw new PlatformApiError(`${tool}: bodyFile JSON değil — ${real} (${error instanceof Error ? error.message : String(error)}). İstek gönderilmedi.`, 400);
+    if (!value || typeof value !== 'object')
+        return;
+    const record = value;
+    const keys = Object.keys(record);
+    const marker = keys.find(key => key.toLowerCase() === '$file');
+    if (marker !== undefined) {
+        if (keys.length === 1 && marker === '$file' && typeof record.$file === 'string') {
+            found.push({ at, file: record.$file });
+        }
+        else {
+            const problem = marker !== '$file'
+                ? `anahtar '${marker}' yazılmış, '$file' olmalı`
+                : keys.length > 1
+                    ? `'$file' yanında başka anahtar var (${keys.filter(key => key !== '$file').join(', ')})`
+                    : `'$file' değeri dizgi değil (${JSON.stringify(record[marker])})`;
+            malformed.push(`${pointerLabel(at)}: ${problem}`);
+        }
+        return;
+    }
+    for (const [key, item] of Object.entries(record))
+        findInclusions(item, `${at}/${pointerToken(key)}`, found, malformed);
+}
+/**
+ * Satır içi gövdede `$file` açılmaz: dosya okuma yalnız bodyFile yolunda vardır. Açılmayan nesne platforma nesne
+ * olarak giderdi; istek gitmeden söylenir. `$file` anahtarı yoksa yalnız bir ağaç yürüyüşüdür, okuma yapılmaz.
+ */
+function assertNoInlineInclusions(tool, names, args) {
+    for (const name of names) {
+        const found = [];
+        const malformed = [];
+        findInclusions(args[name], '', found, malformed);
+        const sites = [...found.map(site => pointerLabel(site.at)), ...malformed];
+        if (sites.length > 0) {
+            throw new PlatformApiError(`${tool}: '${name}' içinde $file nesnesi var (${sites.join(' · ')}) — $file yalnız bodyFile gövdesinde açılır. Metni satır içinde doğrudan yazın ya da gövdeyi bodyFile ile (.json dosyası) verin. İstek gönderilmedi.`, 400);
+        }
+    }
+}
+function replaceInclusions(value, at, texts) {
+    const text = texts.get(at);
+    if (text !== undefined)
+        return text;
+    if (Array.isArray(value))
+        return value.map((item, index) => replaceInclusions(item, `${at}/${index}`, texts));
+    if (value && typeof value === 'object') {
+        return Object.fromEntries(Object.entries(value).map(([key, item]) => [key, replaceInclusions(item, `${at}/${pointerToken(key)}`, texts)]));
+    }
+    return value;
+}
+/**
+ * Eklenen metin bir kez okunur ve olduğu gibi konur: satır sonu korunur, metin yeniden JSON olarak ayrıştırılmaz —
+ * eklenen dosyanın içindeki `$file` bu yüzden metin kalır (iç içe ekleme yok). UTF-8 olmayan dosya sessizce � ile
+ * bozulacağına reddedilir; baştaki UTF-8 BOM'u çözücü düşürür (`bytes` onu yine sayar). Yer bilgisi (`at`) gövde argümanına göre JSON Pointer'dır.
+ */
+async function includeFiles(tool, value, folder, bodyBytes, roots, config) {
+    const sites = [];
+    const malformed = [];
+    findInclusions(value, '', sites, malformed);
+    if (malformed.length > 0) {
+        throw new PlatformApiError(`${tool}: bodyFile'da biçimi bozuk $file nesnesi — ${malformed.join(' · ')}. Ekleme yalnız tam { "$file": "<yol>" } biçimidir (tek anahtar, dizgi değer). İstek gönderilmedi.`, 400);
+    }
+    if (sites.length === 0)
+        return { value, files: [] };
+    if (sites.length > maxInclusions) {
+        throw new PlatformApiError(`${tool}: bodyFile ${sites.length} $file eklemesi taşıyor; sınır ${maxInclusions}. İlk fazlası: ${pointerLabel(sites[maxInclusions]?.at ?? '')} — gövdeyi birden çok çağrıya bölün. İstek gönderilmedi.`, 400);
+    }
+    const decoder = new TextDecoder('utf-8', { fatal: true });
+    const texts = new Map();
+    const files = [];
+    let total = bodyBytes;
+    for (const site of sites) {
+        const label = `$file (${pointerLabel(site.at)} → '${site.file}')`;
+        const read = await readGuardedFile(tool, label, resolve(folder, site.file), includedExtensions, maxIncludedFileBytes, roots, config);
+        total += read.buffer.length;
+        if (total > maxBodyFileBytes) {
+            throw new PlatformApiError(`${tool}: bodyFile ve $file eklemeleri birlikte 5 MB toplam gövde sınırını aşıyor (${pointerLabel(site.at)} eklemesinde). Tanımı parçalara bölün. İstek gönderilmedi.`, 400);
+        }
+        try {
+            texts.set(site.at, decoder.decode(read.buffer));
+        }
+        catch {
+            throw new PlatformApiError(`${tool}: ${label} UTF-8 değil — ${read.real}. Dosyayı UTF-8 olarak kaydedin. İstek gönderilmedi.`, 400);
+        }
+        files.push({ at: site.at, path: read.real, bytes: read.buffer.length });
     }
-    return { args: { ...rest, [argument]: value }, note: `${bodyFile} → ${argument} (${bytes} B)` };
+    return { value: replaceInclusions(value, '', texts), files };
 }

package/dist/platform/capture/actions.js

@@ -1,4 +1,5 @@
 import { INTERNAL_ROLE_SEPARATOR } from '../../knowledge/componentCatalog.js';
+import { AWAITING_WINDOW_SELECTOR } from './readiness.js';
 import { studioWebTarget } from './targets/studio-web.js';
 /**
  * `swipe` jestinin adım sayısı ve aralığı: react-native-web yanıtlayıcısı tek seferde atılan hareketi jest saymaz
@@ -38,12 +39,23 @@ export function actionScript(action, captureTarget = studioWebTarget) {
         return `(function () {
       var count = performance.getEntriesByType('resource').length;
       var node = document.querySelector(${selector});
-      if (!node) return { found: false, applied: false, requests: count };
+      if (!node) {
+        // g-11: açık önizleme penceresi (onay/uyarı/biyometri) sayfanın düğmesini örtüyor olabilir; not hangisi açık söyler.
+        var open = document.querySelector('${AWAITING_WINDOW_SELECTOR}');
+        return { found: false, applied: false, requests: count, openWindow: open ? { id: String(open.getAttribute('data-element-id')), kind: open.getAttribute('data-dialog-kind') } : null };
+      }
       // g-04 sırası: düğümün kendisi basılabilirse o → <id>__press → içteki ilk basılabilir öğe.
       // Mobil çoklu seçim tetikleyicisi kökte role="combobox" taşır ve içindeki ilk role="button"
       // çipin "kaldır" düğmesidir — eskiden ona basılıp seçim siliniyordu (37 S-18). Tek basışlı
       // denetimin yüzeyi <id>__press'tir (ui-native press-role-guard), anahtarınki role="switch".
       var press = document.querySelector(${JSON.stringify(`[data-element-id="${String(action.target ?? '')}${INTERNAL_ROLE_SEPARATOR}press"]`)});
+      // g-11 incelemesi: önizleme penceresi (onay/uyarı/biyometri) açıkken altında kalan sayfa öğesine gerçek kullanıcı
+      // basamaz; DOM tıklaması basardı ve sayfa eylemi pencere yanıtlanmadan koşardı.
+      var shield = document.querySelector('${AWAITING_WINDOW_SELECTOR}');
+      if (shield && !shield.contains(node)) {
+        var shieldId = String(shield.getAttribute('data-element-id'));
+        return { found: true, applied: false, requests: count, openWindow: { id: shieldId, kind: shield.getAttribute('data-dialog-kind') }, note: "önizleme penceresi " + shieldId + " açık ve sayfayı örtüyor: gerçek kullanıcı alttaki öğeye basamaz, eylem uygulanmadı — önce pencereyi yanıtlayın (" + shieldId + "__confirm / __cancel, biyometride __verify / __cancel)" };
+      }
       var target = ${pressSurface} || node.matches('button, a, [role="button"], [role="switch"], [role="combobox"]') ? node
         : (press || node.querySelector('button, a, [role="button"], [role="switch"]') || node);
       // S-2: sekme grubunun KÖKÜNE click, DOM sırasındaki ilk sekmeye gider ve "uygulandı" der —
@@ -433,6 +445,13 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     // K1 (g-04): gerçek kullanıcı alana odaklanır, yazar ve çıkar. Blur'suz yazımda odak kaybına
     // bağlı akış (ui-native girişlerin 'changed'i) hiç koşmuyordu (37 S-19). focus() odağı alamazsa
     // (görünmez alan, odaksız belge) olaylar elle atılır: Svelte 'blur'u, React 'focusout'u dinler.
+    // blur: false (g-12) telefonda klavye açıkken yazılan hâli sınar: odak alanda kalır, not söyler.
+    var keepFocus = ${JSON.stringify(action.blur === false)};
+    var done = function () {
+      var result = { found: true, applied: true, requests: count };
+      if (keepFocus) result.note = "blur: false — odak alanda kaldı; odak kaybına bağlı akış ('changed') bu adımda koşmaz";
+      return finish(result);
+    };
     var focusField = function () {
       field.focus();
       if (document.activeElement === field) return;
@@ -448,15 +467,15 @@ export function actionScript(action, captureTarget = studioWebTarget) {
     if (field instanceof HTMLInputElement && (field.type === 'checkbox' || field.type === 'radio')) {
       var shouldCheck = wanted === 'true' || wanted === '1' || wanted === 'on';
       if (field.checked !== shouldCheck) field.click();
-      blurField();
-      return finish({ found: true, applied: true, requests: count });
+      if (!keepFocus) blurField();
+      return done();
     }
     var setter = Object.getOwnPropertyDescriptor(proto, 'value').set;
     setter.call(field, ${value});
     field.dispatchEvent(new Event('input', { bubbles: true }));
     field.dispatchEvent(new Event('change', { bubbles: true }));
-    blurField();
-    return finish({ found: true, applied: true, requests: count });
+    if (!keepFocus) blurField();
+    return done();
   })()`;
 }
 /** `rf_range__start` → `rf_range`: iç rol hedefinin prop'ları kök düğümde yaşar. */