@appaflytech/zeyrek-ai-mcp 0.0.58 → 0.0.60

package/dist/knowledge/rules.js

@@ -31,7 +31,8 @@ const stepKindMatrix = {
     response: ['workflow', 'middleware'],
     convert: ['workflow'],
     revert: ['automation'],
-    balance: ['workflow', 'automation', 'middleware']
+    balance: ['workflow', 'automation', 'middleware'],
+    push: ['workflow', 'automation']
 };
 function asArray(value) {
     return Array.isArray(value) ? value : [];
@@ -84,6 +85,31 @@ function carriesValue(value) {
  * Etiketteki "(loop çocuğu)" bulguyu okuyan
  * ajanı adımın `rule.stepRule`'una yönlendirir.
  */
+/**
+ * WF-036 kapısının sorusu alt akışlarla birlikte: tanım ya da `workflow` adımıyla (loop çocuğu dahil)
+ * çağırdığı akışlardan biri `push` taşıyor mu. Her akış bir kez okunur (döngüye karşı). Okunamayan alt
+ * akış hata fırlatır — çağıran kapı kapalı kalır.
+ */
+export async function pushReachable(root, loadWorkflow) {
+    const pending = [root];
+    const visited = new Set();
+    while (pending.length > 0) {
+        const body = workflowBody(pending.pop(), 'automation');
+        if (stepCallSites(body, 'push').length > 0)
+            return true;
+        for (const { rule } of stepCallSites(body, 'workflow')) {
+            const workflowId = typeof rule.workflowId === 'string' ? rule.workflowId : '';
+            if (workflowId === '' || visited.has(workflowId))
+                continue;
+            visited.add(workflowId);
+            const child = await loadWorkflow(workflowId);
+            if (!child)
+                throw new Error(`alt workflow '${workflowId}' okunamadı`);
+            pending.push(child);
+        }
+    }
+    return false;
+}
 function stepCallSites(body, type) {
     return workflowSteps(body).flatMap((step) => {
         const rule = (step.rule ?? {});

package/dist/platform/bodyFile.js

@@ -98,7 +98,7 @@ async function allowedRoots(config) {
  * reddedilir. Bu pencereyi DARALTIR, kapatmaz — iki denetim arasında geri çevrilen bir bağ yine görülmez; tam çözüm
  * (`openat2` RESOLVE_BENEATH) Node'da yoktur. Okunan bayt yine de açılan tutamaçtan gelir.
  */
-async function readGuardedFile(tool, label, absolute, extensions, maxBytes, roots, config) {
+async function readGuardedFile(tool, label, absolute, extensions, maxBytes, roots, config, tooLarge) {
     const accepted = extensions.join(', ');
     if (!extensions.includes(extname(absolute).toLowerCase())) {
         throw new PlatformApiError(`${tool}: ${label} yalnız ${accepted} okur — verilen: ${absolute}. İstek gönderilmedi.`, 400);
@@ -145,6 +145,8 @@ async function readGuardedFile(tool, label, absolute, extensions, maxBytes, root
             bytesRead += chunk.bytesRead;
         }
         if (bytesRead > maxBytes) {
+            if (tooLarge)
+                throw new PlatformApiError(`${tool}: ${label} ${tooLarge} İstek gönderilmedi.`, 400);
             throw new PlatformApiError(maxBytes === maxBodyFileBytes
                 ? `${tool}: ${label} 5 MB sınırını aşıyor. Tanımı parçalara bölün — sayfa için page_schema_patch'e birden çok batch, akış için flow_patch. İstek gönderilmedi.`
                 : `${tool}: ${label} ${maxBytes / (1024 * 1024)} MB sınırını aşıyor — ${real}. Kodu birden çok dosyaya bölün. İstek gönderilmedi.`, 400);
@@ -258,3 +260,26 @@ async function includeFiles(tool, value, folder, bodyBytes, roots, config) {
     }
     return { value: replaceInclusions(value, '', texts), files };
 }
+/**
+ * 2026-10-30, QM SAML girişi (ADR 0027): inline microfunction kodu dosyadan okunur. Paketlenmiş `saml-dogrula`
+ * 433 KB'tı; satır içi `code` onu bütünüyle ajan bağlamından geçirirdi. Dosya JSON değil ham kaynaktır (`.js` /
+ * `.py`) ve backend'in `MaxInlineCodeBytes` sınırı (`MicrofunctionOptions.cs`, 524288) burada da denetlenir.
+ */
+export const CODE_FILE_TOOLS = new Set(['microfunction_create', 'microfunction_update']);
+const maxCodeFileBytes = 524288;
+export function codeFileParam() {
+    return z.string().min(1).optional().describe("'code' yerine okunacak yerel kaynak dosyası (.js ya da .py, en çok 512 KB — backend MaxInlineCodeBytes): kod ajan bağlamından geçmez, gateway dosyanın metnini 'code' olarak gönderir. 'code' ile birlikte verilemez. Yol gateway sürecinin çalışma dizininin ya da MCP_INPUT_DIR'in altında olmalı (sembolik bağ çözülür). Yanıtın codeFile alanı hangi dosyanın okunduğunu söyler.");
+}
+export async function loadCodeFile(tool, args, config) {
+    if (!CODE_FILE_TOOLS.has(tool) || !args || typeof args !== 'object' || Array.isArray(args))
+        return { args };
+    const { codeFile, ...rest } = args;
+    if (typeof codeFile !== 'string' || codeFile.length === 0)
+        return { args };
+    if (rest.code !== undefined) {
+        throw new PlatformApiError(`${tool}: codeFile ile 'code' birlikte verilemez — kod ya dosyadan ya satır içinden gelir. Birini kaldırın. İstek gönderilmedi.`, 400);
+    }
+    const base = config.inputDirectory ? resolve(config.inputDirectory) : process.cwd();
+    const code = await readGuardedFile(tool, 'codeFile', resolve(base, codeFile), ['.js', '.py'], maxCodeFileBytes, await allowedRoots(config), config, "512 KB inline sınırını (backend MaxInlineCodeBytes) aşıyor. Paketi küçültün (minify, yinelenen bağımlılık) ya da sourceKind: 'archive' ile zip'i Studio'dan yükleyin.");
+    return { args: { ...rest, code: code.buffer.toString('utf8') }, note: `${code.real} → code (${code.buffer.length} B)` };
+}

package/dist/platform/responses.js

@@ -193,7 +193,8 @@ export function toolResult(payload, config, expectFailure) {
         ...(Object.keys(tokenRefs).length > 0 ? { tokenRefs, tokenRefNote: `Maskelenen JWT'ler gateway içinde tutuldu; bu referansları microservice_execute / microservice_debug / page_runtime_get / page_screenshot 'asUser' alanına verebilirsiniz (${tokenTtlMinutes()} dk geçerli; kompleks projede referans access_session_create'ten gelir). Jetonun kendisi yanıta ve günlüğe hiç girmez.` } : {}),
         ...(truncated ? { truncated: true, truncationNote: 'Liste, yanıt boyutu sınırı nedeniyle kırpıldı; sayfalama ya da daha dar filtre kullanın.' } : {}),
         ...(argumentNotes().aliasesApplied.length > 0 ? { aliasesApplied: argumentNotes().aliasesApplied } : {}),
-        ...(argumentNotes().bodyFile ? { bodyFile: argumentNotes().bodyFile } : {})
+        ...(argumentNotes().bodyFile ? { bodyFile: argumentNotes().bodyFile } : {}),
+        ...(argumentNotes().codeFile ? { codeFile: argumentNotes().codeFile } : {})
     };
     return {
         content: [{ type: 'text', text: JSON.stringify(enriched) }],

package/dist/platform/strictArguments.js

@@ -1,7 +1,7 @@
 import { z } from 'zod';
 import { diagnosticsParam, runWithDiagnostics } from './diagnostics.js';
 import { applyArgumentAliases, closestArgument, runWithArgumentNotes } from './argumentAliases.js';
-import { BODY_FILE_ARGUMENTS, bodyFileParam, loadBodyFile } from './bodyFile.js';
+import { BODY_FILE_ARGUMENTS, CODE_FILE_TOOLS, bodyFileParam, codeFileParam, loadBodyFile, loadCodeFile } from './bodyFile.js';
 import { PlatformApiError } from './errors.js';
 import { logError } from '../observability/trace.js';
 /** Doğrulanmış argümanlara takılan çeviri notları (`ArgumentNotes`); JSON'a ve platform isteğine girmez. */
@@ -46,15 +46,17 @@ export function rejectUnknownArguments(server, platform) {
         const validate = validator.validateToolInput.bind(server);
         validator.validateToolInput = async (tool, args, name) => {
             try {
-                const loaded = await loadBodyFile(name, args, platform.config);
+                const body = await loadBodyFile(name, args, platform.config);
+                const code = await loadCodeFile(name, body.args, platform.config);
+                const loaded = { args: code.args, note: body.note };
                 const requiredBody = requiredBodies.get(name);
                 if (requiredBody && loaded.args?.[requiredBody] === undefined) {
                     throw new PlatformApiError(`${name}: '${requiredBody}' zorunlu — satır içinde ya da bodyFile ile (.json dosyası) verin. İstek gönderilmedi.`, 400);
                 }
                 const { args: aliased, applied } = await applyArgumentAliases(name, loaded.args, { platform, shape: tool.inputSchema?.shape ?? {} });
                 const parsed = await validate(tool, aliased, name);
-                const notes = { aliasesApplied: applied, ...(loaded.note ? { bodyFile: loaded.note } : {}) };
-                return (applied.length > 0 || loaded.note) && parsed && typeof parsed === 'object' ? Object.assign(parsed, { [ARGUMENT_NOTES]: notes }) : parsed;
+                const notes = { aliasesApplied: applied, ...(loaded.note ? { bodyFile: loaded.note } : {}), ...(code.note ? { codeFile: code.note } : {}) };
+                return (applied.length > 0 || loaded.note || code.note) && parsed && typeof parsed === 'object' ? Object.assign(parsed, { [ARGUMENT_NOTES]: notes }) : parsed;
             }
             catch (error) {
                 // Doğrulamadan önceki çeviri (dosya, takma ad) `handle`'ın dışında koşar: hata burada günlüğe yazılır.
@@ -81,6 +83,7 @@ export function rejectUnknownArguments(server, platform) {
         const shape = {
             ...config.inputSchema,
             ...(bodyArgument && bodySchema ? { [bodyArgument]: bodySchema.optional(), bodyFile: bodyFileParam(bodyArgument) } : {}),
+            ...(CODE_FILE_TOOLS.has(name) ? { codeFile: codeFileParam() } : {}),
             ...(exposesDiagnostics ? { diagnostics: diagnosticsParam } : {})
         };
         const invoke = (args, extra) => {

package/dist/resources/guides/microfunction.md

@@ -279,6 +279,14 @@ Paketler zip'teki `requirements.txt` / `package.json`'a yazılır ve Built-In ya
 - **Tek parça zip yükleme ve indirme MCP'de yok:** zip'in içeriği dosya düzeyinde okunur ve yazılır
   (§Zip kaynağı). Zip'in tamamı platform ucunda okunabilir durumdadır
   (`GET /{proje}/microfunctions/{id}/archive`, `application/zip`) ve Studio'dan indirilir.
+- **Büyük kod dosyadan verilir:** `microfunction_create` / `microfunction_update` `codeFile` ile `.js` / `.py` dosyasını
+  okur (inline sınırı **512 KB**, `MaxInlineCodeBytes`) ve metnini `code` olarak gönderir — kod ajan bağlamından geçmez; `code` ile birlikte verilemez. Yazma yanıtı kodu geri
+  getirmez (uzunluk + SHA-256 özeti); `microfunction_get` / `_list` 64 KB üstü kodu aynı özete indirir — yerel paketle
+  karşılaştırmak için özeti kullanın.
+- **Ortam değişkeni başka kayıttan kopyalanır:** `environmentFrom: <microfunction id>` kaynağın değişkenlerini gateway'de
+  kopyalar, değerler yanıtta `***` döner; `environmentVariables` aynı anahtarda kazanır. **Güncellemede değişkenleri
+  korumanın yolu budur** (`environmentFrom` = kaydın kendi id'si): PUT gövdesinde `environmentVariables` yoksa platform
+  hepsini siler.
 - `timeoutSeconds` ve `memoryMb` komutta non-nullable int'tir: **göndermezseniz 0 gider ve platform
   422 döner.** Gateway değer uydurmaz, eksikliği çağrıdan önce söyler (MF-001, block; ürün
   varsayılanları 30 / 256). Aynı kural provider ↔ `runtimeId` eşleşmesini, inline kaynakta `code`

package/dist/resources/guides/microservice.md

@@ -124,7 +124,9 @@ servis formunda görünür ve `microservice_get` outline görünümünde geri ok
    adım adım executionItems ağacı döner. Zamanlanmış (`schedule-job`) uçta sıra farklıdır:
    `workflow_preview` → `microservice_debug` → `microservice_schedule_control` `trigger` →
    `microservice_job_history`; geçmişteki `completed` başarı kanıtı DEĞİLDİR (§Zamanlanmış işin
-   gerçek sonucunu görmek).
+   gerçek sonucunu görmek). **`microservice_debug` production'da kapalıdır** (adım izi giriş
+   istemeden okunur; platform 404 döner, gateway isteği göndermez): debug development'ta ya da
+   dalda yapılır, production'da `microservice_execute` + `microservice_job_history` kalır.
    Çağrı parametrelerini (sorgu parametresi, filtre değeri) üst düzey `parameters: { ad: değer }`
    ile ver; gateway GET'te query-string'e, POST/PUT'ta gövdeye koyar. Değeri NULL bağlanan query
    parametresini debug yanıtı `unboundParameters` ile söyler — ağaçta o satırın `value` anahtarı

package/dist/resources/guides/mobile.md

@@ -459,6 +459,7 @@ değişiminde koşar. Bağ: `page_update` `events: [{ name: 'focus', value: <flo
 Sunucudan gönderilen bildirim yerel `notification-schedule`'dan ayrıdır. Kanal ikiliye bağlıdır (NTF-004):
 `expo` = oynatıcı (**dev build** gerekir, Expo Go almaz), `apns` / `fcm` = mağaza sürümü iOS / Android.
 
+- **Olaya bağlı, kişiye özel bildirim workflow'un `push` adımıdır** (`platform_guide('workflow')` §Push adımı); giriş yapan kullanıcının telefonu ona bağlanır.
 - **Kayıt kendiliğindendir.** Uygulama açılınca cihazını anonim kaydeder (kanal, dil, platform, izin, token);
   sayfaya adım eklenmez. Mağaza sürümü yalnız production'a kaydolur.
 - **Mağaza sürümünün push kimlikleri insanın işidir** (Studio › Yayınla; ajan yükleyemez). Durum:

package/dist/resources/guides/workflow.md

@@ -213,6 +213,7 @@ olan ilk adıma** odaklanmaktır; hata yoksa son adıma. Aynı okumayı sen de y
 | Middleware ve `user` | koşmaz | koşar | **koşmaz** — `user` yok |
 | `email`, `http`, `code` içi HTTP | **gerçekten koşar** (SMTP gönderilir, dış uç çağrılır) | gerçek | gerçek |
 | `microfunction` | `preview: true` bayrağıyla çağrılır | gerçek | gerçek |
+| `push` | **göndermez** — yayın commit'e bağlı, rollback onu düşürür; çıktı `deviceCount` verir, `notificationId` geri alınan kaydındır (aranmaz) | gerçek | gerçek |
 | `table` / `file` yazmaları | geri alınır | yukarıdaki commit/rollback | yukarıdaki commit/rollback |
 | Adım izi | **tam** (bu bölüm) | yok — yalnız yanıt gövdesi; ağaç için `microservice_debug` | yok — geçmiş satırı `status + süre + errorMessage` (`Step 'x' failed: <sebep>` ya da `The job's workflow returned 500 (<code>): <mesaj>`) |
 
@@ -403,6 +404,28 @@ dalına** gider; `BalanceInsufficientException` kodu `errorCode` olarak okunur.
   istemci tarafı `Entitlements.<hak>` yalnız ekranı gizler, sunucu denetimi bunun yerine geçmez.
 - Önizleme (`workflow_preview`) işlemi geri alır: `grant`/`spend` gerçekten koşar ve kalıcı satır bırakmaz.
 
+## Push adımı: kullanıcılara uzak bildirim (kök ADR 0032, `StepType.Push`)
+
+Workflow ya da otomasyon, olay anında BELİRLİ uygulama kullanıcılarına (ya da kurulumlara) push gönderir. Girdi tek
+`rule.expression` nesne literalidir:
+`({ application?, to: { users?, installations? }, title, body, defaultLanguage?, path?, query?, badge? })`.
+
+- `application` (slug) ya da `applicationId`; ikisi de boşsa workflow'un kendi uygulaması (mobil değilse 404, hata dalı).
+- `to.users` uygulama kullanıcı kimlikleri, `to.installations` kurulum kimlikleri; ikisi **birleşim** (VEYA) olarak
+  hedeflenir, toplam 1–500. Daha büyük kitle için `loop`; "herkese" gönderim adımda yok, Studio › Bildirimler'de.
+- `title` / `body` metin ya da `{ dil: metin }`; varsayılan dilde (`defaultLanguage`, boşsa projenin) başlık zorunlu,
+  ≤ 200 / ≤ 2000. Her telefon kendi dilini alır, yoksa varsayılanı.
+- `path` dokununca açılacak sayfa; `query` nesne (`{ id: 42 }` → `id=42`) ya da metin.
+- Çıktı `{ notificationId, deviceCount }`. **Telefonu olmayan kullanıcı hata değildir:** `deviceCount: 0`,
+  `notificationId: null`, başarı dalı. Biçim hatası 400 (parametre adı iletide: `To`, `Title`…) → hata dalı.
+- **Kullanıcının telefonu nasıl bilinir:** kullanıcı uygulamada giriş yapınca telefon ona bağlanır, çıkışta (aynı
+  oturumun) bağı kalkar. Yalnız `Complex` erişim modelli projede; `simple` projede yalnız `installations` işe yarar.
+  Bağı `notification_device_list` (arama: e-posta) gösterir.
+- **Önizleme göndermez** (yukarıdaki tablo; `email`'den farkı). Canlı uç, otomasyon ve zamanlanmış iş gönderir.
+- **WF-036:** `push` taşıyan workflow'u (alt workflow'lar dahil) AI production'da `microservice_execute` ya da
+  `automation_trigger` ile çalıştıramaz — istek gitmeden reddedilir. Development'ta deneyin.
+- `to.users` GUID olmalı; uygulama `applicationId` ile verilirse o da mobil olmalı (değilse 404, hata dalı).
+
 ## Step tipi × workflow tipi izin matrisi
 
 | Step | workflow | automation | middleware |
@@ -414,6 +437,7 @@ dalına** gider; `BalanceInsufficientException` kodu `errorCode` olarak okunur.
 | revert (Fail and Rollback) | – | ✓ | – |
 | process (BPM süreci) | ✓ | ✓ | – |
 | balance (uygulama bakiyesi / hak denetimi) | ✓ | ✓ | ✓ |
+| push (kullanıcılara uzak bildirim) | ✓ | ✓ | – |
 
 > **`process` adımı süreci başlatır ya da ona sinyal/vekalet yazar, BEKLEMEZ (2026-09-18).**
 > Kural alanları `processSlug`, `processOperation: start | signal | delegate` (boş = `start`) ve

package/dist/resources/schema-fingerprint.json

@@ -1,6 +1,6 @@
 {
-  "hash": "34361b013283a252757338ed07d8cdcd70294df1c334d35723a9b194c62d1c4b",
-  "generatedAt": "2026-11-03T11:41:34.837Z",
+  "hash": "68157be9624742c7086f9e40a9c8fb5565d612d82bf0a7d7d1ae063044ac7465",
+  "generatedAt": "2026-11-03T19:09:26.033Z",
   "types": 377,
   "files": 196,
   "note": "Şemaları üreten backend kaynaklarının parmak izi. Elle düzenlemeyin: 'npm run generate-schemas' yazar, 'npm run schema:check' denetler.",
@@ -9,4 +9,4 @@
     "System.Text.Json.Nodes.JsonNode",
     "System.Text.Json.Nodes.JsonNodeOptions"
   ]
-}
+}

package/dist/resources/schemas/CreateWorkflowCommand.json

@@ -234,7 +234,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/PreviewWorkflowCommand.json

@@ -172,7 +172,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/StepDto.json

@@ -77,7 +77,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/UpdateWorkflowCommand.json

@@ -234,7 +234,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/tools/automations.js

@@ -7,6 +7,7 @@ import { languageHeader } from '../knowledge/languageCodes.js';
 import { handle } from '../platform/responses.js';
 import { z } from 'zod';
 import { constraintSummary } from '../knowledge/backendConstraints.js';
+import { assertNoPushInProduction } from './workflows.js';
 const policyOverrideParam = z.boolean().optional()
     .describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)');
 export function registerAutomationTools(server, platform) {
@@ -106,6 +107,15 @@ export function registerAutomationTools(server, platform) {
     }, handle(config, async ({ project, environment, entityId, id, operation, recordIds }) => {
         const resolver = new RefResolver(platform, project, environment);
         const resolvedEntityId = await resolveEntityId(resolver, entityId);
+        let automationApplicationId = '';
+        await assertNoPushInProduction('automation_trigger', environment, config, () => platform.tenant('GET', project, `/entities/${resolvedEntityId}/automation/${id}`, { environment }).then(payload => {
+            const record = payload;
+            const body = ((record?.data ?? record) ?? {});
+            automationApplicationId = String(body.applicationId ?? '');
+            return payload;
+        }), workflowId => automationApplicationId === ''
+            ? Promise.reject(new Error('automation applicationId taşımıyor'))
+            : platform.tenant('GET', project, `/workflows/${automationApplicationId}/${workflowId}`, { environment }));
         return withResolved(await platform.tenant('POST', project, `/entities/${resolvedEntityId}/automation/${id}/trigger`, {
             environment,
             body: { operation, recordIds: recordIds ?? [] }

package/dist/tools/microfunctions.js

@@ -4,7 +4,9 @@ import { unmappedMembers, withUnmappedMembers } from '../knowledge/schemaGuard.j
 import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/policy.js';
 import { policyRules, microfunctionArchiveEntrypointFindings } from '../knowledge/rules.js';
 import { handle } from '../platform/responses.js';
+import { PlatformApiError } from '../platform/errors.js';
 import { z } from 'zod';
+import { createHash } from 'node:crypto';
 const policyOverrideParam = z.boolean().optional()
     .describe("true: politika block bulgularını warn'a indirir (bilinçli istisna; yanıtta işaretlenir)");
 const behaviorParam = z.enum(['primitive', 'object', 'array']);
@@ -29,6 +31,7 @@ const definitionInput = {
     timeoutSeconds: z.number().int().min(1).max(900).optional().describe("Fonksiyon bütçesi; varsayılan 30. Built-In üst sınırı 300, Lambda 900. Bütçe dolarsa çağrı MicrofunctionInvocationTimeoutException ile step'in fail dalına düşer"),
     memoryMb: z.number().int().min(128).max(3008).optional().describe("Varsayılan 256. Built-In'de yalnız kaydedilir (küme environment limiti geçerlidir); Lambda'da gerçekten uygulanır"),
     environmentVariables: environmentVariablesParam.optional(),
+    environmentFrom: guid.optional().describe("Ortam değişkenlerini bu microfunction'dan kopyalar: gateway kaynağı okur, değerler ajan bağlamından geçmez ve yanıtta '***' döner. environmentVariables ile birlikte verilirse aynı anahtarda environmentVariables kazanır. GÜNCELLEMEDE değişkenleri korumak için kaydın kendi id'sini verin: PUT gövdesinde environmentVariables yoksa platform hepsini siler (Microfunction.cs, environmentVariables ?? [])"),
     dependencies: z.string().optional().describe("Inline kaynağın dış paketleri, SATIR BAŞINA BİR PAKET (≤ 16 KB; boş ve '#' satırları yorum). python: requirements.txt satırı olduğu gibi — 'pillow==11.1.0', 'requests>=2.32'; pip seçeneği ('-r', '--index-url', '-e') YASAK. node: 'ad@aralık' — 'sharp@^0.33.0', '@scope/ad@1.2', aralıksız 'dayjs' → latest. Built-In'de yayın paketleri Fission builder'da kurar: yayın build süresince (5 dk'ya kadar) 'publishing' kalır, kurulum düşerse publish-failed ve publishError'da build günlüğünün son 4 KB'ı. aws-lambda'da KURULMAZ (MF-007) — paketler zip'te gelmeli. archive kaynağında yok sayılır (manifest zip'te). Built-In Python 3.13, Node 22 (Lambda'daki sürümlerle aynı); C uzantılı paketler (Pillow gibi) hazır wheel'den kurulur"),
     testArguments: z.string().optional().describe("Studio Test call'unun kayıtlı argüman metni (≤ 64 KB, MicrofunctionTestArgumentsTooLarge); olduğu gibi saklanır, JSON geçerliliği DENETLENMEZ ve koşuma girmez. update TAM GÖVDEDİR: verilmezse kayıtlı metin silinir — önce microfunction_get'ten alın. Kaydetmek revision'ı artırır (yayındaki kayıt hasUnpublishedChanges: true olur)"),
     publish: z.boolean().optional().describe("true: kayıt açıldıktan/güncellendikten sonra aynı çağrıda yayın istenir ('Kaydet ve yayınla'). Yayın ASENKRONDUR — çağrı status: 'publishing' döner; sonucu microfunction_get ile izleyin (published | publish-failed + publishError)")
@@ -48,6 +51,51 @@ const runtimeInput = {
     secretAccessKey: z.string().min(1).describe("AWS secret access key. Kayıt düz metin tutulur; platform DTO'da maskeler (**** + son 4), gateway bu tool'ların yanıtında değeri tümüyle '***' yapar"),
     roleArn: z.string().optional().describe("Lambda execution rolü: arn:aws:iam::<12 hane>:role/<ad>. Rolü müşteri oluşturur; fonksiyon bu rolle koşar")
 };
+// 2026-10-30, QM SAML girişi (ADR 0027): kayıtlı bir anahtarı (OIDC_SECRET_KEY) ikinci bir microfunction'a taşımak değeri çağrıya
+// düz yazmayı gerektiriyordu; güncellemede de PUT gövdesi değişkensizse platform hepsini siliyor. Kopya gateway'de yapılır ve
+// yanıttaki değerler maskelenir — değer ne çağrıya ne yanıta girer.
+async function withEnvironmentFrom(platform, project, environment, body, sourceId) {
+    if (!sourceId)
+        return body;
+    let source;
+    try {
+        source = await platform.tenant('GET', project, `/microfunctions/${sourceId}`, { environment });
+    }
+    catch (error) {
+        throw new PlatformApiError(`environmentFrom (${sourceId}) okunamadı: ${error instanceof Error ? error.message : String(error)}. Kaynak kayıt bu projede ve bu ortamda olmalı (microfunction_list). İstek gönderilmedi.`, 400);
+    }
+    const record = source?.data ?? source;
+    const copied = record?.environmentVariables;
+    const variables = copied && typeof copied === 'object' && !Array.isArray(copied) ? copied : {};
+    return { ...body, environmentVariables: { ...variables, ...body.environmentVariables } };
+}
+// 2026-10-30 canlı koşu: platform yazılan kaydı `code` ile birlikte döndürüyor; codeFile ile gönderilen 433 KB'lık saml-dogrula
+// yanıtta 283 bin karakter olarak geri geldi. Yazmada kod hiç yansıtılmaz (çağıran onu gönderdi); okumada 64 KB üstü kod özetlenir.
+const codeSummaryBytes = 64 * 1024;
+function summarizeCode(value, always) {
+    if (!value || typeof value !== 'object')
+        return value;
+    if (Array.isArray(value))
+        return value.map(item => summarizeCode(item, always));
+    return Object.fromEntries(Object.entries(value).map(([key, entry]) => {
+        if (key !== 'code' || typeof entry !== 'string')
+            return [key, summarizeCode(entry, always)];
+        const bytes = Buffer.byteLength(entry, 'utf8');
+        if (!always && bytes <= codeSummaryBytes)
+            return [key, entry];
+        return [key, `[kod yanıtta gösterilmez: ${bytes} bayt, sha256 ${createHash('sha256').update(entry, 'utf8').digest('hex')}]`];
+    }));
+}
+function maskEnvironmentValues(value, active) {
+    if (!active || !value || typeof value !== 'object')
+        return value;
+    if (Array.isArray(value))
+        return value.map(item => maskEnvironmentValues(item, active));
+    return Object.fromEntries(Object.entries(value).map(([key, entry]) => [key,
+        key === 'environmentVariables' && entry && typeof entry === 'object' && !Array.isArray(entry)
+            ? Object.fromEntries(Object.keys(entry).map(name => [name, '***']))
+            : maskEnvironmentValues(entry, active)]));
+}
 export function registerMicrofunctionTools(server, platform) {
     const config = platform.config;
     server.registerTool('microfunction_list', {
@@ -61,35 +109,37 @@ export function registerMicrofunctionTools(server, platform) {
             ...pagingParams
         },
         annotations: readOnly
-    }, handle(config, ({ project, environment, status, searchTerm, pageIndex, pageLength, order, isDescending }) => platform.tenant('GET', project, '/microfunctions', {
+    }, handle(config, async ({ project, environment, status, searchTerm, pageIndex, pageLength, order, isDescending }) => summarizeCode(await platform.tenant('GET', project, '/microfunctions', {
         environment,
         query: { status, searchTerm, pageIndex: pageIndex ?? 0, pageLength: pageLength ?? 200, order, isDescending }
-    })));
+    }), false)));
     server.registerTool('microfunction_get', {
         title: 'Microfunction getir',
-        description: "Tek bir microfunction'ın tanımını ve yayın durumunu getirir: status, revision/publishedRevision, hasUnpublishedChanges (kayıt yayında ama üstüne yazılmış), publishError, parameterScheme/returnScheme. Yayın asenkron olduğu için 'publishing' durumunda birkaç saniye arayla tekrar çağırın.",
+        description: "Tek bir microfunction'ın tanımını ve yayın durumunu getirir: status, revision/publishedRevision, hasUnpublishedChanges (kayıt yayında ama üstüne yazılmış), publishError, parameterScheme/returnScheme. Yayın asenkron olduğu için 'publishing' durumunda birkaç saniye arayla tekrar çağırın. 64 KB üstü kod yanıtta uzunluk ve SHA-256 özetine indirilir; yerel paketle karşılaştırmak için özeti kullanın.",
         inputSchema: { project: projectParam, environment: environmentParam, id: guid },
         annotations: readOnly
-    }, handle(config, ({ project, environment, id }) => platform.tenant('GET', project, `/microfunctions/${id}`, { environment })));
+    }, handle(config, async ({ project, environment, id }) => summarizeCode(await platform.tenant('GET', project, `/microfunctions/${id}`, { environment }), false)));
     server.registerTool('microfunction_create', {
         title: 'Microfunction tanımla',
         description: "Yeni microfunction kaydeder. Kayıt DRAFT doğar; yayına almadan hiçbir workflow step'i onu koşturamaz (publish: true ile aynı çağrıda yayın isteyebilirsiniz). Yayın adımı kodu runtime'a kurar ve bir 'probe' çağrısıyla duman testi yapar: sözdizimi/import hatası yayın anında publish-failed olur, koşumda değil. Protokol ve sınırlar: platform_guide('microfunction'). " + constraintSummary('CreateMicrofunctionCommand'),
         inputSchema: { project: projectParam, environment: environmentParam, ...definitionInput, policyOverride: policyOverrideParam },
         annotations: writes
-    }, handle(config, async ({ project, environment, policyOverride, ...body }) => {
+    }, handle(config, async ({ project, environment, policyOverride, environmentFrom, ...input }) => {
+        const body = await withEnvironmentFrom(platform, project, environment, input, environmentFrom);
         const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'microfunction', body, { operation: 'create' }, policyOverride));
         const drift = unmappedMembers('CreateMicrofunctionCommand', body);
-        return attachFindings(withUnmappedMembers(await platform.tenant('POST', project, '/microfunctions', { environment, body }), drift), findings);
+        return summarizeCode(maskEnvironmentValues(attachFindings(withUnmappedMembers(await platform.tenant('POST', project, '/microfunctions', { environment, body }), drift), findings), environmentFrom !== undefined), true);
     }));
     server.registerTool('microfunction_update', {
         title: 'Microfunction güncelle',
         description: "Microfunction'ın TAMAMINI değiştirir (PUT — değiştirmediğiniz alanları da gönderin; önce microfunction_get). Her güncelleme revision'ı artırır: yayındaki kayıt güncellenirse runtime ESKİ sürümü koşmaya devam eder ve kayıt hasUnpublishedChanges: true olur — yeni kodu canlıya almak için publish: true verin ya da microfunction_publish çağırın. PROVIDER YAYINDAYKEN DEĞİŞMEZ: bir kez yayınlanmış kaydın provider'ını değiştiren PUT 400 döner (MicrofunctionProviderChangeNotAllowedException) — kaydı silip yeniden oluşturun. " + constraintSummary('UpdateMicrofunctionCommand'),
         inputSchema: { project: projectParam, environment: environmentParam, id: guid, ...definitionInput, policyOverride: policyOverrideParam },
         annotations: updates
-    }, handle(config, async ({ project, environment, id, policyOverride, ...body }) => {
+    }, handle(config, async ({ project, environment, id, policyOverride, environmentFrom, ...input }) => {
+        const body = await withEnvironmentFrom(platform, project, environment, input, environmentFrom);
         const findings = enforcePolicy(evaluatePolicy(config, policyRules, 'microfunction', body, { operation: 'update' }, policyOverride));
         const drift = unmappedMembers('UpdateMicrofunctionCommand', body);
-        return attachFindings(withUnmappedMembers(await platform.tenant('PUT', project, `/microfunctions/${id}`, { environment, body }), drift), findings);
+        return summarizeCode(maskEnvironmentValues(attachFindings(withUnmappedMembers(await platform.tenant('PUT', project, `/microfunctions/${id}`, { environment, body }), drift), findings), environmentFrom !== undefined), true);
     }));
     server.registerTool('microfunction_publish', {
         title: 'Microfunction yayınla',

package/dist/tools/microservices.js

@@ -16,6 +16,7 @@ import { PlatformApiError } from '../platform/errors.js';
 import { existingMatch, ifExistsParam, listAll, platformRename, withOutcome, withRename } from '../platform/ifExists.js';
 import { outlineWrite, recordWriteViewParam } from '../platform/writeView.js';
 import { handle } from '../platform/responses.js';
+import { assertNoPushInProduction } from './workflows.js';
 import { headersForMode } from '../platform/http.js';
 import fastJsonPatch from 'fast-json-patch';
 import { jsonArray } from '../platform/jsonArray.js';
@@ -113,6 +114,19 @@ function hasAuthorization(headers) {
  * ucun ÖNÜNDE koşar ve ağaçta hiç görünmez — 09-04 koşusunda sessizce açık kalan şirket kapısı
  * (Y-03) bu yüzden adım ağacından teşhis edilemedi. Gateway zinciri kendisi çözüp listeler.
  */
+/** Ucun workflow tanımı (WF-036 kapısı için); workflow kaynaklı değilse adımsız bir gövde. */
+async function microserviceWorkflow(platform, project, environment, application, microservice) {
+    const applicationId = await new RefResolver(platform, project, environment).applicationId(application);
+    const list = await platform.tenant('GET', project, `/microservices/${applicationId}`, { environment, query: { pageIndex: 0, pageLength: 200 } });
+    const record = (list?.data ?? []).find(entry => String(entry.slug ?? '') === microservice);
+    if (!record)
+        throw new Error(`'${microservice}' ucu bulunamadı`);
+    const detail = await platform.tenant('GET', project, `/microservices/${applicationId}/${String(record.id ?? '')}`, { environment });
+    const definition = (detail?.data ?? detail ?? {});
+    if (typeof definition.workflowId !== 'string' || definition.workflowId === '')
+        return { steps: [] };
+    return platform.tenant('GET', project, `/workflows/${applicationId}/${definition.workflowId}`, { environment });
+}
 async function middlewareChain(platform, project, environment, application, microservice, httpStatus) {
     try {
         const resolver = new RefResolver(platform, project, environment);
@@ -467,6 +481,7 @@ export function registerMicroserviceTools(server, platform) {
         },
         annotations: writes
     }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, asUserId, cookies, language, includeHeaders }) => {
+        await assertNoPushInProduction('microservice_execute', environment, config, () => microserviceWorkflow(platform, project, environment, application, microservice), async (workflowId) => platform.tenant('GET', project, `/workflows/${await new RefResolver(platform, project, environment).applicationId(application)}/${workflowId}`, { environment }));
         const notes = [];
         const eye = await impersonationHeaders(platform, 'microservice_execute', project, environment, { asUserId, asUser, anonymous, ownAuthorization: hasAuthorization(headers) }, { runtime: true });
         const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);
@@ -478,10 +493,17 @@ export function registerMicroserviceTools(server, platform) {
     }));
     server.registerTool('microservice_debug', {
         title: 'Microservice debug',
-        description: "Microservice'i debug modunda çalıştırır; yanıtta adım adım executionItems ağacı döner (her adımın girdi/çıktısı). executionItems YALNIZ ucun kendi adımlarını kapsar — ucun ÖNÜNDE koşan middleware'ler ayrıca 'middlewares' alanında adım özetiyle listelenir (09-04 Y-04). Değeri NULL bağlanan query parametreleri 'unboundParameters' alanında adıyla listelenir (ağaçta bu satırların value anahtarı görünmez). Preview semantiğiyle koşar: tek transaction + sonunda rollback, kalıcı satır yazmaz. httpStatus akışın kendi sonucudur (4xx/5xx'te runtimeErrors eklenir); ağaç düğümlerinde hata bayrağı YOKTUR — patlayan adımın output'u boştur, hata gövdesi hata dalındaki response adımının çıktısındadır. Zamanlanmış (schedule-job) uçlar da slug yoluyla debug edilir (method: 'POST', parametresiz): job geçmişi hatayı yalnız mesaj olarak yazar, adım adım girdi/çıktı burada görülür (platform_guide('microservice') §Zamanlanmış işin gerçek sonucunu görmek). Kompleks projede kullanıcı gözü asUserId (parolasız) ya da asUser ile verilir ve yanıta 'accessDecision' eklenir: { decision: allow | deny | not-enforced | unknown, mode, code?, permission?, reason, next } — 401/403'ün erişim kararından mı geldiğini ve sıradaki adımı söyler.",
+        description: "Microservice'i debug modunda çalıştırır; yanıtta adım adım executionItems ağacı döner (her adımın girdi/çıktısı). PRODUCTION'DA KAPALIDIR: istek gönderilmez, development'ta ya da dalda debug edin. executionItems YALNIZ ucun kendi adımlarını kapsar — ucun ÖNÜNDE koşan middleware'ler ayrıca 'middlewares' alanında adım özetiyle listelenir (09-04 Y-04). Değeri NULL bağlanan query parametreleri 'unboundParameters' alanında adıyla listelenir (ağaçta bu satırların value anahtarı görünmez). Preview semantiğiyle koşar: tek transaction + sonunda rollback, kalıcı satır yazmaz. httpStatus akışın kendi sonucudur (4xx/5xx'te runtimeErrors eklenir); ağaç düğümlerinde hata bayrağı YOKTUR — patlayan adımın output'u boştur, hata gövdesi hata dalındaki response adımının çıktısındadır. Zamanlanmış (schedule-job) uçlar da slug yoluyla debug edilir (method: 'POST', parametresiz): job geçmişi hatayı yalnız mesaj olarak yazar, adım adım girdi/çıktı burada görülür (platform_guide('microservice') §Zamanlanmış işin gerçek sonucunu görmek). Kompleks projede kullanıcı gözü asUserId (parolasız) ya da asUser ile verilir ve yanıta 'accessDecision' eklenir: { decision: allow | deny | not-enforced | unknown, mode, code?, permission?, reason, next } — 401/403'ün erişim kararından mı geldiğini ve sıradaki adımı söyler.",
         inputSchema: executeInput,
         annotations: writes
     }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, asUserId, cookies, language }) => {
+        // Debug rotası [AllowAnonymous]'tır ve adım izini (girdi/çıktı, okunan sırlar dahil) döner;
+        // backend production'da 404 verir (DebugMicroserviceCommand, 2026-10-28). Gateway isteği
+        // göndermeden durur: o backend dağıtılmadan önce de iz production'dan okunmaz ve ara katmanlar
+        // ile dış çağrılar (http adımı, AD bind) koşmaz.
+        if (platform.resolveEnvironment(environment) === 'production') {
+            throw new PlatformApiError("microservice_debug: debug production'da kapalı — adım izi giriş istemeden okunabildiği için platform bu rotayı production'da reddeder; istek gönderilmedi. Akışı development'ta ya da bir dalda debug edin. Production'da sonucu microservice_execute ile, zamanlanmış işin hatasını microservice_job_history ile görün.", 400);
+        }
         const notes = [];
         const eye = await impersonationHeaders(platform, 'microservice_debug', project, environment, { asUserId, asUser, anonymous, ownAuthorization: hasAuthorization(headers) }, { runtime: true });
         const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);

package/dist/tools/platformInfo.js

@@ -103,7 +103,7 @@ export function registerPlatformTools(server, platform) {
         'Modülün iş kuralları rehberini döner. Bir modülde İLK yazma işleminden önce ilgili rehberi okuyun:',
         ...guides.map(name => `- ${name}${guideRouting[name] ? `: ${guideRouting[name]}` : ''}`),
         "Büyük rehberler (page ~120 KB) section'sız çağrıda TAM METİN DÖNMEZ: giriş + bölüm listesi (outline) döner, truncated: true olur. Gövdeyi section ile bölüm bölüm alın.",
-        "Büyük gövdeyi (sayfa şeması, akış adımları, uç/workflow tanımı, patch op'ları) dosyaya yazıp bodyFile ile verin: gövde bağlamınızdan geçmez, satır içiyle aynı doğrulamadan geçer (page_*/flow_*/microservice_*/workflow_* create/update/patch). Uzun kod alanı ayrı dosyada durabilir: gövdede { \"$file\": \"./adim.js\" } o dosyanın METNİYLE değişir (çalıştırılmaz; yol bodyFile'ın klasörüne göre, GW-013). microservice_execute yanıt başlıkları varsayılan kısadır; ucun kendi başlığı için includeHeaders:'all'.",
+        "Büyük gövdeyi (sayfa şeması, akış adımları, uç/workflow tanımı, patch op'ları) dosyaya yazıp bodyFile ile verin: gövde bağlamınızdan geçmez, satır içiyle aynı doğrulamadan geçer (page_*/flow_*/microservice_*/workflow_* create/update/patch); microfunction kodu codeFile ile (.js/.py). Uzun kod alanı ayrı dosyada durabilir: gövdede { \"$file\": \"./adim.js\" } o dosyanın METNİYLE değişir (çalıştırılmaz; yol bodyFile'ın klasörüne göre, GW-013). microservice_execute yanıt başlıkları varsayılan kısadır; ucun kendi başlığı için includeHeaders:'all'.",
         "Örnek gövdeler ve kural katalogları (ngapps://examples/<ad>, ngapps://rules/<ad>) istemci MCP resource okuyamıyorsa da bu araçla okunur: platform_guide({ resource: 'ngapps://rules/connect-data' }) — guide verilmez; dizin için 'ngapps://examples/index'."
     ].join('\n');
     server.registerTool('platform_whoami', {

package/dist/tools/workflows.js

@@ -4,7 +4,8 @@ import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/poli
 import { workflowOutline, resolvePart, resolvePatchOperations } from '../knowledge/outlines.js';
 import { patchResult, baseVersionOf } from '../platform/patch.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
-import { policyRules, microfunctionStepFindings, workflowStepFindings, undefinedInputFieldFindings } from '../knowledge/rules.js';
+import { policyRules, microfunctionStepFindings, workflowStepFindings, undefinedInputFieldFindings, pushReachable } from '../knowledge/rules.js';
+import { PolicyBlockError } from '../knowledge/policy.js';
 import { identityMiddlewareFindings } from '../knowledge/access.js';
 import { languageHeader } from '../knowledge/languageCodes.js';
 import { handle } from '../platform/responses.js';
@@ -73,6 +74,32 @@ async function enrichMiddlewareVariables(platform, project, environment, applica
         };
     });
 }
+/**
+ * WF-036 (kök ADR 0032): `push` adımı taşıyan bir akışı AI production'da çalıştırmaz ve tetiklemez —
+ * bildirim kullanıcının telefonuna gider, geri alınamaz. Tanım YALNIZ production'da okunur ve `workflow`
+ * adımlarının çağırdığı alt akışlar da izlenir (`pushReachable`); biri okunamazsa kapı kapalı kalır.
+ * Önizleme kapıya girmez: push önizlemede göndermez (commit'e bağlı yayın).
+ */
+export async function assertNoPushInProduction(tool, environment, config, load, loadWorkflow) {
+    if ((environment ?? config.defaultEnvironment) !== 'production')
+        return;
+    const bodyOf = (payload) => {
+        const record = payload;
+        return ((record?.data ?? record) ?? null);
+    };
+    const definition = await load().then(bodyOf, () => null);
+    const sends = definition === null
+        ? null
+        : await pushReachable(definition, workflowId => loadWorkflow(workflowId).then(bodyOf)).catch(() => null);
+    if (sends === false)
+        return;
+    throw new PolicyBlockError([{
+            ruleId: 'WF-036',
+            severity: 'block',
+            message: `${tool}: push adımı taşıyan akış (alt workflow'lar dahil) production'da AI tarafından çalıştırılmaz — bildirim kullanıcıların telefonuna gider ve geri alınamaz.${sends === null ? ' Tanım ya da bir alt workflow okunamadı; kapı kapalı kalır.' : ''} Development'ta deneyin; production'da çalıştırmak insanın işidir.`,
+            guide: 'ngapps://guides/workflow'
+        }], false);
+}
 export function registerWorkflowTools(server, platform) {
     const config = platform.config;
     server.registerTool('workflow_list', {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@appaflytech/zeyrek-ai-mcp",
-  "version": "0.0.58",
+  "version": "0.0.60",
   "type": "module",
   "description": "Zeyrek (NgApps) platform APIs as MCP tools — data, logic and Studio design surface in one gateway",
   "license": "UNLICENSED",