@appaflytech/zeyrek-ai-mcp 0.0.59 → 0.0.61

package/dist/knowledge/rules.js

@@ -31,7 +31,8 @@ const stepKindMatrix = {
     response: ['workflow', 'middleware'],
     convert: ['workflow'],
     revert: ['automation'],
-    balance: ['workflow', 'automation', 'middleware']
+    balance: ['workflow', 'automation', 'middleware'],
+    push: ['workflow', 'automation']
 };
 function asArray(value) {
     return Array.isArray(value) ? value : [];
@@ -84,6 +85,31 @@ function carriesValue(value) {
  * Etiketteki "(loop çocuğu)" bulguyu okuyan
  * ajanı adımın `rule.stepRule`'una yönlendirir.
  */
+/**
+ * WF-036 kapısının sorusu alt akışlarla birlikte: tanım ya da `workflow` adımıyla (loop çocuğu dahil)
+ * çağırdığı akışlardan biri `push` taşıyor mu. Her akış bir kez okunur (döngüye karşı). Okunamayan alt
+ * akış hata fırlatır — çağıran kapı kapalı kalır.
+ */
+export async function pushReachable(root, loadWorkflow) {
+    const pending = [root];
+    const visited = new Set();
+    while (pending.length > 0) {
+        const body = workflowBody(pending.pop(), 'automation');
+        if (stepCallSites(body, 'push').length > 0)
+            return true;
+        for (const { rule } of stepCallSites(body, 'workflow')) {
+            const workflowId = typeof rule.workflowId === 'string' ? rule.workflowId : '';
+            if (workflowId === '' || visited.has(workflowId))
+                continue;
+            visited.add(workflowId);
+            const child = await loadWorkflow(workflowId);
+            if (!child)
+                throw new Error(`alt workflow '${workflowId}' okunamadı`);
+            pending.push(child);
+        }
+    }
+    return false;
+}
 function stepCallSites(body, type) {
     return workflowSteps(body).flatMap((step) => {
         const rule = (step.rule ?? {});

package/dist/knowledge/sourceLeak.js

@@ -0,0 +1,72 @@
+// `//` önünde `:` (https://), `(` (url(//cdn)), tırnak (src="//cdn"), eğik çizgi ya da harf varsa yorum değildir.
+const commentPattern = /([ \t]*)(\/\*[\s\S]*?\*\/|<!--[\s\S]*?-->|(?<![:/\\(\w'"`])\/\/[^\n]*)(\n?)/g;
+const LEAKS = [
+    { label: 'dal adı', pattern: /\b(?:feature|feat|fix|hotfix|bugfix|chore|refactor|release)\/[\w.-]+/i },
+    { label: 'kaynak dizini', pattern: /\bzeyrek-(?:frontend|backend|mcp|monitoring|qm-extension)\b|\bng-apps-[a-z][\w-]*|\b(?:apps|packages|src|Contexts)\/[\w.*-]+|(?:^|[\s(])\.(?:superpowers|claude)\b/i },
+    { label: 'kaynak dosyası', pattern: /\b[\w*-]+\.(?:svelte|cs|csproj|tsx?|mts|cts|py)\b/i },
+    { label: 'çatı adı', pattern: /\bsvelte\b/i },
+    { label: 'mimari karar kaydı', pattern: /\bADR[\s-]?\d{2,4}\b/i }
+];
+const EXCERPT_RADIUS = 40;
+function mayHoldComment(text) {
+    return text.includes('/*') || text.includes('//') || text.includes('<!--');
+}
+export function commentsIn(text) {
+    if (!mayHoldComment(text))
+        return [];
+    return [...text.matchAll(commentPattern)].map(match => match[2]);
+}
+function leaksInComment(comment, path) {
+    return LEAKS.flatMap(({ label, pattern }) => {
+        const match = pattern.exec(comment);
+        if (!match)
+            return [];
+        const start = Math.max(0, match.index - EXCERPT_RADIUS);
+        const end = Math.min(comment.length, match.index + match[0].length + EXCERPT_RADIUS);
+        return [{ path, label, excerpt: comment.slice(start, end).replace(/\s+/g, ' ').trim() }];
+    });
+}
+function walk(value, path, leaks) {
+    if (typeof value === 'string') {
+        for (const comment of commentsIn(value))
+            leaks.push(...leaksInComment(comment, path));
+        return;
+    }
+    if (Array.isArray(value)) {
+        value.forEach((item, index) => walk(item, `${path}[${index}]`, leaks));
+        return;
+    }
+    if (value && typeof value === 'object') {
+        for (const [key, item] of Object.entries(value))
+            walk(item, path === '' ? key : `${path}.${key}`, leaks);
+    }
+}
+export function sourceLeaksIn(value) {
+    const leaks = [];
+    walk(value, '', leaks);
+    return leaks;
+}
+const LISTED = 5;
+export function sourceLeakFindings(leaks) {
+    const findings = leaks.slice(0, LISTED).map(leak => ({
+        ruleId: 'SRC-001',
+        severity: 'block',
+        message: `${leak.path || 'gövde'}: yorumda platform ${leak.label} geçiyor — \`${leak.excerpt}\`. Uygulama şemasına yorum dahil platform kaynak kodu bilgisi (dizin, dosya, dal, çatı adı, ADR) yazılmaz: yorumu kaldırın ya da atfı çıkarın; gerekçe repodaki docs/apps/<uygulama>/ dokümanına yazılır`
+    }));
+    if (leaks.length > LISTED)
+        findings.push({ ruleId: 'SRC-001', severity: 'block', message: `… ve ${leaks.length - LISTED} yerde daha` });
+    return findings;
+}
+/**
+ * Temizlikte yorumun yalnız sızan parçası değil tamamı silinir (kullanıcı, 2026-11-03): parça silmek yarım cümle
+ * bırakır. Satırın tek içeriği olan yorum satırıyla birlikte gider; kodun yanındaki yorum önündeki boşlukla gider.
+ */
+export function stripSourceLeakComments(text) {
+    if (!mayHoldComment(text))
+        return text;
+    return text.replace(commentPattern, (match, _lead, comment, newline, offset, whole) => {
+        if (leaksInComment(comment, '').length === 0)
+            return match;
+        return offset === 0 || whole[offset - 1] === '\n' ? '' : newline;
+    });
+}

package/dist/platform/http.js

@@ -4,6 +4,8 @@ import { AsyncLocalStorage } from 'node:async_hooks';
 import { TokenProvider } from './token.js';
 import { randomUUID } from 'node:crypto';
 import { request } from 'undici';
+import { PolicyBlockError } from '../knowledge/policy.js';
+import { sourceLeakFindings, sourceLeaksIn } from '../knowledge/sourceLeak.js';
 export const requestAuthStorage = new AsyncLocalStorage();
 const hiddenResponseHeaders = new Set(['set-cookie', 'authorization', 'proxy-authorization']);
 /**
@@ -140,6 +142,12 @@ export class Platform {
         return `Bearer ${await this.tokens.getToken()}`;
     }
     async send(api, method, path, options, raw = false, isRetry = false, networkAttempt = 1) {
+        // SRC-001 (2026-11-03): her yazma yolu buradan geçer; araç başına kapı bir yolu atlardı. Mutlak kapıdır.
+        if (options.body !== undefined && method !== 'GET' && method !== 'HEAD' && !isRetry && networkAttempt === 1) {
+            const leaks = sourceLeaksIn(options.body);
+            if (leaks.length > 0)
+                throw new PolicyBlockError(sourceLeakFindings(leaks), false);
+        }
         const baseUrl = api === 'org' ? this.config.orgApiBaseUrl : this.config.tenantApiBaseUrl;
         const context = { api, method, path, baseUrl, environment: options.environment, authMode: this.config.authMode };
         const url = new URL(`${baseUrl}${path}`);

package/dist/resources/guides/html.md

@@ -101,6 +101,10 @@ yeniden girilebilir yaz ya da `onCleanup` kullan.
 - ✘ `set_event` ile `kaydet` olayına bağ kurmaya çalışmak (PAGE-008 reddeder). ✔ `actions`
   satırının `flow` prop'u.
 - ✘ `setInterval`'i temizliksiz kurmak (içerik değişince ikinci kopya başlar). ✔ `onCleanup`.
+- ✘ CSS/JS/HTML yorumunda platformun kaynak kodunu anmak: dizin (`ng-apps-ui`, `packages/…`), dosya
+  (`Table.svelte`, `HttpStep.cs`), dal (`feature/…`), çatı adı (Svelte), ADR. ✔ Yorum yalnız uygulamanın
+  kendi diliyle ne yapıldığını söyler; gerekçe ve kaynak uygulamanın repodaki dokümanına yazılır.
+  Gateway böyle bir yorum taşıyan **her** yazmayı durdurur (SRC-001, `policyOverride` geçmez).
 
 Kaynak: `zeyrek-frontend/packages/ng-apps-ui/src/components/html/*` (Html.svelte, html.functions.ts,
 schema.ts) ve `zeyrek-frontend/docs/features/html-component.md`.

package/dist/resources/guides/mobile.md

@@ -459,6 +459,7 @@ değişiminde koşar. Bağ: `page_update` `events: [{ name: 'focus', value: <flo
 Sunucudan gönderilen bildirim yerel `notification-schedule`'dan ayrıdır. Kanal ikiliye bağlıdır (NTF-004):
 `expo` = oynatıcı (**dev build** gerekir, Expo Go almaz), `apns` / `fcm` = mağaza sürümü iOS / Android.
 
+- **Olaya bağlı, kişiye özel bildirim workflow'un `push` adımıdır** (`platform_guide('workflow')` §Push adımı); giriş yapan kullanıcının telefonu ona bağlanır.
 - **Kayıt kendiliğindendir.** Uygulama açılınca cihazını anonim kaydeder (kanal, dil, platform, izin, token);
   sayfaya adım eklenmez. Mağaza sürümü yalnız production'a kaydolur.
 - **Mağaza sürümünün push kimlikleri insanın işidir** (Studio › Yayınla; ajan yükleyemez). Durum:

package/dist/resources/guides/workflow.md

@@ -213,6 +213,7 @@ olan ilk adıma** odaklanmaktır; hata yoksa son adıma. Aynı okumayı sen de y
 | Middleware ve `user` | koşmaz | koşar | **koşmaz** — `user` yok |
 | `email`, `http`, `code` içi HTTP | **gerçekten koşar** (SMTP gönderilir, dış uç çağrılır) | gerçek | gerçek |
 | `microfunction` | `preview: true` bayrağıyla çağrılır | gerçek | gerçek |
+| `push` | **göndermez** — yayın commit'e bağlı, rollback onu düşürür; çıktı `deviceCount` verir, `notificationId` geri alınan kaydındır (aranmaz) | gerçek | gerçek |
 | `table` / `file` yazmaları | geri alınır | yukarıdaki commit/rollback | yukarıdaki commit/rollback |
 | Adım izi | **tam** (bu bölüm) | yok — yalnız yanıt gövdesi; ağaç için `microservice_debug` | yok — geçmiş satırı `status + süre + errorMessage` (`Step 'x' failed: <sebep>` ya da `The job's workflow returned 500 (<code>): <mesaj>`) |
 
@@ -403,6 +404,28 @@ dalına** gider; `BalanceInsufficientException` kodu `errorCode` olarak okunur.
   istemci tarafı `Entitlements.<hak>` yalnız ekranı gizler, sunucu denetimi bunun yerine geçmez.
 - Önizleme (`workflow_preview`) işlemi geri alır: `grant`/`spend` gerçekten koşar ve kalıcı satır bırakmaz.
 
+## Push adımı: kullanıcılara uzak bildirim (kök ADR 0032, `StepType.Push`)
+
+Workflow ya da otomasyon, olay anında BELİRLİ uygulama kullanıcılarına (ya da kurulumlara) push gönderir. Girdi tek
+`rule.expression` nesne literalidir:
+`({ application?, to: { users?, installations? }, title, body, defaultLanguage?, path?, query?, badge? })`.
+
+- `application` (slug) ya da `applicationId`; ikisi de boşsa workflow'un kendi uygulaması (mobil değilse 404, hata dalı).
+- `to.users` uygulama kullanıcı kimlikleri, `to.installations` kurulum kimlikleri; ikisi **birleşim** (VEYA) olarak
+  hedeflenir, toplam 1–500. Daha büyük kitle için `loop`; "herkese" gönderim adımda yok, Studio › Bildirimler'de.
+- `title` / `body` metin ya da `{ dil: metin }`; varsayılan dilde (`defaultLanguage`, boşsa projenin) başlık zorunlu,
+  ≤ 200 / ≤ 2000. Her telefon kendi dilini alır, yoksa varsayılanı.
+- `path` dokununca açılacak sayfa; `query` nesne (`{ id: 42 }` → `id=42`) ya da metin.
+- Çıktı `{ notificationId, deviceCount }`. **Telefonu olmayan kullanıcı hata değildir:** `deviceCount: 0`,
+  `notificationId: null`, başarı dalı. Biçim hatası 400 (parametre adı iletide: `To`, `Title`…) → hata dalı.
+- **Kullanıcının telefonu nasıl bilinir:** kullanıcı uygulamada giriş yapınca telefon ona bağlanır, çıkışta (aynı
+  oturumun) bağı kalkar. Yalnız `Complex` erişim modelli projede; `simple` projede yalnız `installations` işe yarar.
+  Bağı `notification_device_list` (arama: e-posta) gösterir.
+- **Önizleme göndermez** (yukarıdaki tablo; `email`'den farkı). Canlı uç, otomasyon ve zamanlanmış iş gönderir.
+- **WF-036:** `push` taşıyan workflow'u (alt workflow'lar dahil) AI production'da `microservice_execute` ya da
+  `automation_trigger` ile çalıştıramaz — istek gitmeden reddedilir. Development'ta deneyin.
+- `to.users` GUID olmalı; uygulama `applicationId` ile verilirse o da mobil olmalı (değilse 404, hata dalı).
+
 ## Step tipi × workflow tipi izin matrisi
 
 | Step | workflow | automation | middleware |
@@ -414,6 +437,7 @@ dalına** gider; `BalanceInsufficientException` kodu `errorCode` olarak okunur.
 | revert (Fail and Rollback) | – | ✓ | – |
 | process (BPM süreci) | ✓ | ✓ | – |
 | balance (uygulama bakiyesi / hak denetimi) | ✓ | ✓ | ✓ |
+| push (kullanıcılara uzak bildirim) | ✓ | ✓ | – |
 
 > **`process` adımı süreci başlatır ya da ona sinyal/vekalet yazar, BEKLEMEZ (2026-09-18).**
 > Kural alanları `processSlug`, `processOperation: start | signal | delegate` (boş = `start`) ve

package/dist/resources/schema-fingerprint.json

@@ -1,6 +1,6 @@
 {
-  "hash": "34361b013283a252757338ed07d8cdcd70294df1c334d35723a9b194c62d1c4b",
-  "generatedAt": "2026-11-03T11:41:34.837Z",
+  "hash": "68157be9624742c7086f9e40a9c8fb5565d612d82bf0a7d7d1ae063044ac7465",
+  "generatedAt": "2026-11-03T19:09:26.033Z",
   "types": 377,
   "files": 196,
   "note": "Şemaları üreten backend kaynaklarının parmak izi. Elle düzenlemeyin: 'npm run generate-schemas' yazar, 'npm run schema:check' denetler.",
@@ -9,4 +9,4 @@
     "System.Text.Json.Nodes.JsonNode",
     "System.Text.Json.Nodes.JsonNodeOptions"
   ]
-}
+}

package/dist/resources/schemas/CreateWorkflowCommand.json

@@ -234,7 +234,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/PreviewWorkflowCommand.json

@@ -172,7 +172,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/StepDto.json

@@ -77,7 +77,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/UpdateWorkflowCommand.json

@@ -234,7 +234,8 @@
           "set-user",
           "microfunction",
           "process",
-          "balance"
+          "balance",
+          "push"
         ],
         "type": "string",
         "format": ""

package/dist/tools/automations.js

@@ -7,6 +7,7 @@ import { languageHeader } from '../knowledge/languageCodes.js';
 import { handle } from '../platform/responses.js';
 import { z } from 'zod';
 import { constraintSummary } from '../knowledge/backendConstraints.js';
+import { assertNoPushInProduction } from './workflows.js';
 const policyOverrideParam = z.boolean().optional()
     .describe('true: politika block bulgularını warn\'a indirir (bilinçli istisna; yanıtta işaretlenir)');
 export function registerAutomationTools(server, platform) {
@@ -106,6 +107,15 @@ export function registerAutomationTools(server, platform) {
     }, handle(config, async ({ project, environment, entityId, id, operation, recordIds }) => {
         const resolver = new RefResolver(platform, project, environment);
         const resolvedEntityId = await resolveEntityId(resolver, entityId);
+        let automationApplicationId = '';
+        await assertNoPushInProduction('automation_trigger', environment, config, () => platform.tenant('GET', project, `/entities/${resolvedEntityId}/automation/${id}`, { environment }).then(payload => {
+            const record = payload;
+            const body = ((record?.data ?? record) ?? {});
+            automationApplicationId = String(body.applicationId ?? '');
+            return payload;
+        }), workflowId => automationApplicationId === ''
+            ? Promise.reject(new Error('automation applicationId taşımıyor'))
+            : platform.tenant('GET', project, `/workflows/${automationApplicationId}/${workflowId}`, { environment }));
         return withResolved(await platform.tenant('POST', project, `/entities/${resolvedEntityId}/automation/${id}/trigger`, {
             environment,
             body: { operation, recordIds: recordIds ?? [] }

package/dist/tools/microservices.js

@@ -16,6 +16,7 @@ import { PlatformApiError } from '../platform/errors.js';
 import { existingMatch, ifExistsParam, listAll, platformRename, withOutcome, withRename } from '../platform/ifExists.js';
 import { outlineWrite, recordWriteViewParam } from '../platform/writeView.js';
 import { handle } from '../platform/responses.js';
+import { assertNoPushInProduction } from './workflows.js';
 import { headersForMode } from '../platform/http.js';
 import fastJsonPatch from 'fast-json-patch';
 import { jsonArray } from '../platform/jsonArray.js';
@@ -113,6 +114,19 @@ function hasAuthorization(headers) {
  * ucun ÖNÜNDE koşar ve ağaçta hiç görünmez — 09-04 koşusunda sessizce açık kalan şirket kapısı
  * (Y-03) bu yüzden adım ağacından teşhis edilemedi. Gateway zinciri kendisi çözüp listeler.
  */
+/** Ucun workflow tanımı (WF-036 kapısı için); workflow kaynaklı değilse adımsız bir gövde. */
+async function microserviceWorkflow(platform, project, environment, application, microservice) {
+    const applicationId = await new RefResolver(platform, project, environment).applicationId(application);
+    const list = await platform.tenant('GET', project, `/microservices/${applicationId}`, { environment, query: { pageIndex: 0, pageLength: 200 } });
+    const record = (list?.data ?? []).find(entry => String(entry.slug ?? '') === microservice);
+    if (!record)
+        throw new Error(`'${microservice}' ucu bulunamadı`);
+    const detail = await platform.tenant('GET', project, `/microservices/${applicationId}/${String(record.id ?? '')}`, { environment });
+    const definition = (detail?.data ?? detail ?? {});
+    if (typeof definition.workflowId !== 'string' || definition.workflowId === '')
+        return { steps: [] };
+    return platform.tenant('GET', project, `/workflows/${applicationId}/${definition.workflowId}`, { environment });
+}
 async function middlewareChain(platform, project, environment, application, microservice, httpStatus) {
     try {
         const resolver = new RefResolver(platform, project, environment);
@@ -467,6 +481,7 @@ export function registerMicroserviceTools(server, platform) {
         },
         annotations: writes
     }, handle(config, async ({ project, environment, application, microservice, method, routeParams, query, body, parameters, headers, anonymous, asUser, asUserId, cookies, language, includeHeaders }) => {
+        await assertNoPushInProduction('microservice_execute', environment, config, () => microserviceWorkflow(platform, project, environment, application, microservice), async (workflowId) => platform.tenant('GET', project, `/workflows/${await new RefResolver(platform, project, environment).applicationId(application)}/${workflowId}`, { environment }));
         const notes = [];
         const eye = await impersonationHeaders(platform, 'microservice_execute', project, environment, { asUserId, asUser, anonymous, ownAuthorization: hasAuthorization(headers) }, { runtime: true });
         const member = anonymous === true ? asUser : await resolveIdentity(asUser, platform, project, environment);

package/dist/tools/workflows.js

@@ -4,7 +4,8 @@ import { evaluatePolicy, enforcePolicy, attachFindings } from '../knowledge/poli
 import { workflowOutline, resolvePart, resolvePatchOperations } from '../knowledge/outlines.js';
 import { patchResult, baseVersionOf } from '../platform/patch.js';
 import { writeDiff, withWriteDiff } from '../platform/writeDiff.js';
-import { policyRules, microfunctionStepFindings, workflowStepFindings, undefinedInputFieldFindings } from '../knowledge/rules.js';
+import { policyRules, microfunctionStepFindings, workflowStepFindings, undefinedInputFieldFindings, pushReachable } from '../knowledge/rules.js';
+import { PolicyBlockError } from '../knowledge/policy.js';
 import { identityMiddlewareFindings } from '../knowledge/access.js';
 import { languageHeader } from '../knowledge/languageCodes.js';
 import { handle } from '../platform/responses.js';
@@ -73,6 +74,32 @@ async function enrichMiddlewareVariables(platform, project, environment, applica
         };
     });
 }
+/**
+ * WF-036 (kök ADR 0032): `push` adımı taşıyan bir akışı AI production'da çalıştırmaz ve tetiklemez —
+ * bildirim kullanıcının telefonuna gider, geri alınamaz. Tanım YALNIZ production'da okunur ve `workflow`
+ * adımlarının çağırdığı alt akışlar da izlenir (`pushReachable`); biri okunamazsa kapı kapalı kalır.
+ * Önizleme kapıya girmez: push önizlemede göndermez (commit'e bağlı yayın).
+ */
+export async function assertNoPushInProduction(tool, environment, config, load, loadWorkflow) {
+    if ((environment ?? config.defaultEnvironment) !== 'production')
+        return;
+    const bodyOf = (payload) => {
+        const record = payload;
+        return ((record?.data ?? record) ?? null);
+    };
+    const definition = await load().then(bodyOf, () => null);
+    const sends = definition === null
+        ? null
+        : await pushReachable(definition, workflowId => loadWorkflow(workflowId).then(bodyOf)).catch(() => null);
+    if (sends === false)
+        return;
+    throw new PolicyBlockError([{
+            ruleId: 'WF-036',
+            severity: 'block',
+            message: `${tool}: push adımı taşıyan akış (alt workflow'lar dahil) production'da AI tarafından çalıştırılmaz — bildirim kullanıcıların telefonuna gider ve geri alınamaz.${sends === null ? ' Tanım ya da bir alt workflow okunamadı; kapı kapalı kalır.' : ''} Development'ta deneyin; production'da çalıştırmak insanın işidir.`,
+            guide: 'ngapps://guides/workflow'
+        }], false);
+}
 export function registerWorkflowTools(server, platform) {
     const config = platform.config;
     server.registerTool('workflow_list', {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@appaflytech/zeyrek-ai-mcp",
-  "version": "0.0.59",
+  "version": "0.0.61",
   "type": "module",
   "description": "Zeyrek (NgApps) platform APIs as MCP tools — data, logic and Studio design surface in one gateway",
   "license": "UNLICENSED",