@appaflytech/zeyrek-ai-mcp 0.0.60 → 0.0.62

package/dist/knowledge/sourceLeak.js

@@ -0,0 +1,72 @@
+// `//` önünde `:` (https://), `(` (url(//cdn)), tırnak (src="//cdn"), eğik çizgi ya da harf varsa yorum değildir.
+const commentPattern = /([ \t]*)(\/\*[\s\S]*?\*\/|<!--[\s\S]*?-->|(?<![:/\\(\w'"`])\/\/[^\n]*)(\n?)/g;
+const LEAKS = [
+    { label: 'dal adı', pattern: /\b(?:feature|feat|fix|hotfix|bugfix|chore|refactor|release)\/[\w.-]+/i },
+    { label: 'kaynak dizini', pattern: /\bzeyrek-(?:frontend|backend|mcp|monitoring|qm-extension)\b|\bng-apps-[a-z][\w-]*|\b(?:apps|packages|src|Contexts)\/[\w.*-]+|(?:^|[\s(])\.(?:superpowers|claude)\b/i },
+    { label: 'kaynak dosyası', pattern: /\b[\w*-]+\.(?:svelte|cs|csproj|tsx?|mts|cts|py)\b/i },
+    { label: 'çatı adı', pattern: /\bsvelte\b/i },
+    { label: 'mimari karar kaydı', pattern: /\bADR[\s-]?\d{2,4}\b/i }
+];
+const EXCERPT_RADIUS = 40;
+function mayHoldComment(text) {
+    return text.includes('/*') || text.includes('//') || text.includes('<!--');
+}
+export function commentsIn(text) {
+    if (!mayHoldComment(text))
+        return [];
+    return [...text.matchAll(commentPattern)].map(match => match[2]);
+}
+function leaksInComment(comment, path) {
+    return LEAKS.flatMap(({ label, pattern }) => {
+        const match = pattern.exec(comment);
+        if (!match)
+            return [];
+        const start = Math.max(0, match.index - EXCERPT_RADIUS);
+        const end = Math.min(comment.length, match.index + match[0].length + EXCERPT_RADIUS);
+        return [{ path, label, excerpt: comment.slice(start, end).replace(/\s+/g, ' ').trim() }];
+    });
+}
+function walk(value, path, leaks) {
+    if (typeof value === 'string') {
+        for (const comment of commentsIn(value))
+            leaks.push(...leaksInComment(comment, path));
+        return;
+    }
+    if (Array.isArray(value)) {
+        value.forEach((item, index) => walk(item, `${path}[${index}]`, leaks));
+        return;
+    }
+    if (value && typeof value === 'object') {
+        for (const [key, item] of Object.entries(value))
+            walk(item, path === '' ? key : `${path}.${key}`, leaks);
+    }
+}
+export function sourceLeaksIn(value) {
+    const leaks = [];
+    walk(value, '', leaks);
+    return leaks;
+}
+const LISTED = 5;
+export function sourceLeakFindings(leaks) {
+    const findings = leaks.slice(0, LISTED).map(leak => ({
+        ruleId: 'SRC-001',
+        severity: 'block',
+        message: `${leak.path || 'gövde'}: yorumda platform ${leak.label} geçiyor — \`${leak.excerpt}\`. Uygulama şemasına yorum dahil platform kaynak kodu bilgisi (dizin, dosya, dal, çatı adı, ADR) yazılmaz: yorumu kaldırın ya da atfı çıkarın; gerekçe repodaki docs/apps/<uygulama>/ dokümanına yazılır`
+    }));
+    if (leaks.length > LISTED)
+        findings.push({ ruleId: 'SRC-001', severity: 'block', message: `… ve ${leaks.length - LISTED} yerde daha` });
+    return findings;
+}
+/**
+ * Temizlikte yorumun yalnız sızan parçası değil tamamı silinir (kullanıcı, 2026-11-03): parça silmek yarım cümle
+ * bırakır. Satırın tek içeriği olan yorum satırıyla birlikte gider; kodun yanındaki yorum önündeki boşlukla gider.
+ */
+export function stripSourceLeakComments(text) {
+    if (!mayHoldComment(text))
+        return text;
+    return text.replace(commentPattern, (match, _lead, comment, newline, offset, whole) => {
+        if (leaksInComment(comment, '').length === 0)
+            return match;
+        return offset === 0 || whole[offset - 1] === '\n' ? '' : newline;
+    });
+}

package/dist/platform/http.js

@@ -4,6 +4,8 @@ import { AsyncLocalStorage } from 'node:async_hooks';
 import { TokenProvider } from './token.js';
 import { randomUUID } from 'node:crypto';
 import { request } from 'undici';
+import { PolicyBlockError } from '../knowledge/policy.js';
+import { sourceLeakFindings, sourceLeaksIn } from '../knowledge/sourceLeak.js';
 export const requestAuthStorage = new AsyncLocalStorage();
 const hiddenResponseHeaders = new Set(['set-cookie', 'authorization', 'proxy-authorization']);
 /**
@@ -140,6 +142,12 @@ export class Platform {
         return `Bearer ${await this.tokens.getToken()}`;
     }
     async send(api, method, path, options, raw = false, isRetry = false, networkAttempt = 1) {
+        // SRC-001 (2026-11-03): her yazma yolu buradan geçer; araç başına kapı bir yolu atlardı. Mutlak kapıdır.
+        if (options.body !== undefined && method !== 'GET' && method !== 'HEAD' && !isRetry && networkAttempt === 1) {
+            const leaks = sourceLeaksIn(options.body);
+            if (leaks.length > 0)
+                throw new PolicyBlockError(sourceLeakFindings(leaks), false);
+        }
         const baseUrl = api === 'org' ? this.config.orgApiBaseUrl : this.config.tenantApiBaseUrl;
         const context = { api, method, path, baseUrl, environment: options.environment, authMode: this.config.authMode };
         const url = new URL(`${baseUrl}${path}`);

package/dist/resources/guides/html.md

@@ -101,6 +101,10 @@ yeniden girilebilir yaz ya da `onCleanup` kullan.
 - ✘ `set_event` ile `kaydet` olayına bağ kurmaya çalışmak (PAGE-008 reddeder). ✔ `actions`
   satırının `flow` prop'u.
 - ✘ `setInterval`'i temizliksiz kurmak (içerik değişince ikinci kopya başlar). ✔ `onCleanup`.
+- ✘ CSS/JS/HTML yorumunda platformun kaynak kodunu anmak: dizin (`ng-apps-ui`, `packages/…`), dosya
+  (`Table.svelte`, `HttpStep.cs`), dal (`feature/…`), çatı adı (Svelte), ADR. ✔ Yorum yalnız uygulamanın
+  kendi diliyle ne yapıldığını söyler; gerekçe ve kaynak uygulamanın repodaki dokümanına yazılır.
+  Gateway böyle bir yorum taşıyan **her** yazmayı durdurur (SRC-001, `policyOverride` geçmez).
 
 Kaynak: `zeyrek-frontend/packages/ng-apps-ui/src/components/html/*` (Html.svelte, html.functions.ts,
 schema.ts) ve `zeyrek-frontend/docs/features/html-component.md`.

package/dist/resources/schema-fingerprint.json

@@ -9,4 +9,4 @@
     "System.Text.Json.Nodes.JsonNode",
     "System.Text.Json.Nodes.JsonNodeOptions"
   ]
-}
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@appaflytech/zeyrek-ai-mcp",
-  "version": "0.0.60",
+  "version": "0.0.62",
   "type": "module",
   "description": "Zeyrek (NgApps) platform APIs as MCP tools — data, logic and Studio design surface in one gateway",
   "license": "UNLICENSED",