@appaflytech/zeyrek-ai-mcp 0.0.61 → 0.0.63

package/.env.example

@@ -40,6 +40,12 @@ LOG_DIR=
 LOG_FILE=
 LOG_MAX_BODY_CHARS=2000
 
+# platform_gap_report kayitlarinin ekibe gidecegi webhook (JSON POST, 3 sn, tek deneme).
+# Bos birakilirsa kayit yalniz bu makinedeki gunlukte kalir ve yanit delivered: log-only der.
+# Adresi insan yazar; ornek ya da varsayilan adres yoktur. Govde: goal, blocker, severity, module,
+# attempted, workaround, project, gatewayVersion, at — metinlerdeki jetonlar maskelenir.
+GAP_REPORT_WEBHOOK_URL=
+
 # Yanit budama esigi (bayt) ve istek zaman asimi (ms)
 MAX_RESPONSE_BYTES=262144
 REQUEST_TIMEOUT_MS=100000

package/dist/config.js

@@ -146,6 +146,7 @@ const environmentSchema = z.object({
     LOG_DIR: z.string().min(1).optional(),
     LOG_FILE: z.string().min(1).optional(),
     LOG_MAX_BODY_CHARS: z.coerce.number().int().positive().default(2000),
+    GAP_REPORT_WEBHOOK_URL: z.string().url().optional(),
     MCP_PORT: z.coerce.number().int().positive().default(5100),
     STUDIO_BASE_URL: z.string().url().optional(),
     SCREENSHOT_BROWSER_PATH: z.string().min(1).optional(),
@@ -257,6 +258,7 @@ export function loadConfig(env) {
         logDirectory: values.LOG_DIR,
         logFile: values.LOG_FILE,
         logMaxBodyChars: values.LOG_MAX_BODY_CHARS,
+        gapReportWebhookUrl: values.GAP_REPORT_WEBHOOK_URL,
         port: values.MCP_PORT,
         studioBaseUrl: values.STUDIO_BASE_URL?.replace(/\/+$/, ""),
         screenshotBrowserPath: values.SCREENSHOT_BROWSER_PATH,

package/dist/knowledge/backendConstraints.js

@@ -417,8 +417,8 @@ function microserviceFindings(body) {
             findings.push(`sourceParameters.fields[${index}]: writeOn:'${String(field.writeOn)}' yalnız operation:'upsert' ucunda anlamlı; bu uç '${operation ?? '?'}' — writeOn'u kaldırın ya da 'always' bırakın (Fields.All(WriteOn == Always) when Operation != Upsert).`);
         }
     });
-    if (body.source === 'table' && operation !== undefined && operation.startsWith('bulk-') && asObjects(parameters.filters).length > 0) {
-        findings.push(`sourceParameters.filters: '${operation}' ucu filtre KULLANMAZ — bulk create/update satırları gövdeden, bulk delete birincil anahtarları gövdeden okur. Filtreleri kaldırın.`);
+    if (body.source === 'table' && operation === 'bulk-create' && asObjects(parameters.filters).length > 0) {
+        findings.push("sourceParameters.filters: 'bulk-create' ucu filtre KULLANMAZ — satırlar gövdeden okunur. Filtreleri kaldırın. (bulk-update/bulk-delete'te filtre kapsamdır: MS-027.)");
     }
     flattenFilters(parameters.filters).forEach((filter, index) => {
         if (!isSingleFilter(filter))

package/dist/knowledge/mobileStore.js

@@ -37,10 +37,9 @@ export const AD_UNITS_MAX_COUNT = 40;
 export const AD_FORMATS = ['banner', 'interstitial', 'rewarded', 'rewardedInterstitial', 'appOpen'];
 /** Reklam açıkken taşınması gereken izin: iOS ATT (backend `MobileStoreSettings.AdsPermission`). */
 export const ADS_PERMISSION = 'tracking';
-/** Uygulama kilidi (kök ADR 0021 madde 8): kapalı süre kümesi (saniye, `MobileStoreSettings.AppLockTimeouts`), kullandığı izin ve kabuk yeteneğinin sürümü (`MobileBuildOptions` `appLock`) */
+/** Uygulama kilidi (kök ADR 0021 madde 8): kapalı süre kümesi (saniye, `MobileStoreSettings.AppLockTimeouts`) ve kullandığı izin. Kabuk sürümü backend'in yetenek listesinden okunur (g-05). */
 export const APP_LOCK_TIMEOUTS = [0, 60, 300, 900];
 export const APP_LOCK_PERMISSION = 'biometric';
-export const APP_LOCK_SHELL_VERSION = '0.6.0';
 export const LISTING_LIMITS = {
     title: 30,
     subtitle: 30,
@@ -377,6 +376,25 @@ export function permissionStoreBuildWarnings(permissions, environment) {
             : [];
     });
 }
+/**
+ * MOB-044 (g-05) — kabuk yetenek tablosunun tek kaynağı backend'dir (`MobileBuildOptions.ShellCapabilities`, b-05): kabuk
+ * ucunun ve izin görünümünün `capabilities[] { name, minVersion, carried }` listesi ad → `{ carried, since }` biçimine
+ * çevrilir. Listeyi vermeyen eski backend'de yalnız sürüm döner.
+ */
+export function shellCapabilityView(shell) {
+    if (!isObject(shell))
+        return undefined;
+    const capabilities = Array.isArray(shell.capabilities) ? shell.capabilities.filter(isObject) : undefined;
+    return {
+        version: shell.version,
+        ...(capabilities ? { capabilities: Object.fromEntries(capabilities.map(capability => [text(capability.name), { carried: capability.carried === true, since: capability.minVersion }])) } : {})
+    };
+}
+const shellSince = (shell, name) => {
+    const capabilities = isObject(shell) && Array.isArray(shell.capabilities) ? shell.capabilities.filter(isObject) : [];
+    const since = capabilities.find(capability => capability.name === name)?.minVersion;
+    return typeof since === 'string' && since.length > 0 ? since : undefined;
+};
 /**
  * MOB-025 — açılışta sorma kabuğun ayrı bir yeteneğidir (`shell.carriesLaunchPermissions`). Yayındaki kabuk onu
  * taşımıyorsa ayar saklanır ama derleme sormaz: liste manifeste yazılmaz. Eski backend alanı söylemez; o zaman
@@ -386,7 +404,8 @@ export function permissionLaunchShellWarnings(permissions, shell) {
     const asked = permissions.filter(entry => entry.askOnLaunch === true).map(entry => text(entry.key));
     if (asked.length === 0 || !isObject(shell) || shell.carriesLaunchPermissions !== false)
         return [];
-    return [`${asked.join(', ')}: açılışta sorulacak diye ayarlı ama yayındaki kabuk paketi (${text(shell.version)}) açılışta izin sormuyor — ayar saklanır, mağaza derlemesi sormaz (ön kontrol P-12 uyarır). Daha yeni bir kabuk yayınlanana kadar izni bir akış adımından isteyin (MOB-025, ${guide}).`];
+    const since = shellSince(shell, 'launchPermissions');
+    return [`${asked.join(', ')}: açılışta sorulacak diye ayarlı ama yayındaki kabuk paketi (${text(shell.version)}) açılışta izin sormuyor${since ? ` (kabuk ${since} ister)` : ''} — ayar saklanır, mağaza derlemesi sormaz (ön kontrol P-12 uyarır). Daha yeni bir kabuk yayınlanana kadar izni bir akış adımından isteyin (MOB-025, ${guide}).`];
 }
 /**
  * MOB-031 — uygulama kilidi kabuğun ayrı bir yeteneğidir (`shell.carriesAppLock`, kök ADR 0021 madde 8). Kilit açıkken
@@ -397,7 +416,8 @@ export function permissionLockShellWarnings(permissions, shell) {
     const locked = permissions.some(entry => entry.key === APP_LOCK_PERMISSION && Array.isArray(entry.usage) && entry.usage.some(place => isObject(place) && place.source === 'lock'));
     if (!locked || !isObject(shell) || shell.carriesAppLock !== false)
         return [];
-    return [`appLock: uygulama kilidi açık ama yayındaki kabuk paketi (${text(shell.version)}) kilidi taşımıyor — kabuk ${APP_LOCK_SHELL_VERSION} ister; ayar saklanır, mağaza sürümü kilitsiz açılır (ön kontrol P-12 uyarır; kabuk uyarıları tek satırda birleştiği için kod kabuğun sürümüne göre değişir) (MOB-031, ${guide}).`];
+    const since = shellSince(shell, 'appLock');
+    return [`appLock: uygulama kilidi açık ama yayındaki kabuk paketi (${text(shell.version)}) kilidi taşımıyor — ${since ? `kabuk ${since} ister` : 'daha yeni bir kabuk ister'}; ayar saklanır, mağaza sürümü kilitsiz açılır (ön kontrol P-12 uyarır; kabuk uyarıları tek satırda birleştiği için kod kabuğun sürümüne göre değişir) (MOB-031, ${guide}).`];
 }
 /**
  * MOB-027 — izleme izni (kök ADR 0011): mağaza derlemesi `tracking`'i taşıyorsa App Store Connect App Privacy'de

package/dist/knowledge/normalize.js

@@ -2415,6 +2415,16 @@ export function orphanedFlowPlan(schema, pageEvents, ops) {
  * akışı, akıllı öneri bağlanınca çalışmaz oldu). Olaya ikinci akış eklemek `add_event`'tir; bilerek
  * değiştirmek için op'a `replaceBoundFlows: true` verilir. Okunan ağaçta olmayan hedef denetlenmez.
  */
+/**
+ * PAGE-052 (PS-19): `set_event`/`add_event` akışı `eventValue` ile alır. `flowId` başka araçlarda başka anlam taşır;
+ * platform yok sayar ve olaya boş bağ yazar, yanıt yine başarılıdır.
+ */
+export function flowIdEventOps(ops) {
+    return asObjects(ops)
+        .filter(op => (op.op === 'set_event' || op.op === 'add_event') && (typeof op.eventValue !== 'string' || op.eventValue === '') && typeof op.flowId === 'string' && op.flowId !== '')
+        .map(op => `PAGE-052: '${String(op.target ?? op.elementId ?? '?')}' ${String(op.op)} op'u akışı flowId ile veriyor — olay akışı eventValue ile alır, flowId okunmaz ve platform olaya boş bağ yazar. `
+        + `{ op: '${String(op.op)}', target: '${String(op.target ?? op.elementId ?? '')}', event: '${String(op.event ?? '')}', eventValue: '${String(op.flowId)}' } yazın.`);
+}
 export function boundEventOps(schema, ops) {
     const nodes = asObjects(schema);
     return asObjects(ops)

package/dist/knowledge/platform/mobileLayoutLint.js

@@ -189,6 +189,14 @@ function widthFindings(root) {
         if (!FLOW_TYPES[String(node.type ?? '')])
             return;
         if (flowDirection(node) === 'row') {
+            // MOB-043: yazılmış `row` ve sarmasız kapta üç ya da daha çok akış çocuğu, ikisi tam genişlik → telefonda dar
+            // sütunlara sıkışır, önizlemede de (ölçüldü 2026-11-04, f-10: 2 alan + düğme, her biri 106 dp). İki `fill`
+            // çocuğun eşit bölüşmesi ([İptal | Kaydet], Ad | Soyad) ve tek `fill` alan + düğme (arama satırı) bilinçli
+            // satırdır. Bağlı `wrap` çalışma anında açık olabilir; akış dışı tipler ve koşullu gizli çocuklar sayılmaz.
+            const inFlow = children.filter(child => !MOBILE_OUT_OF_FLOW_TYPES.includes(String(child.type ?? '')) && !boundVisibility(child));
+            if (['container', 'form'].includes(String(node.type ?? '')) && propData(node, 'direction') === 'row' && !setOrBound(node, 'wrap') && inFlow.length >= 3 && inFlow.filter(fills).length >= 2) {
+                findings.push(rule('MOB-043', label(node), "satır kapta üç ya da daha çok çocuk yan yana, en az ikisi tam genişlik (widthType: 'fill'): önizlemede de telefonda da dar sütunlara sıkışırlar. Alt alta isteniyorsa direction:'column' yazın; yan yana kalacaksa satırı ikiye bölün (iki fill çocuk eşit paylaşır)"));
+            }
             // Yazılmış `row` bilinçlidir (arama satırı: alan + düğme); yazılmamış yön unutulmuş sütundur.
             if (node !== root && propData(node, 'direction') === undefined && children.some(child => FIELD_TYPES.includes(String(child.type ?? '')))) {
                 findings.push(rule('MOB-020', label(node), "yönü yazılmamış kap form alanı taşıyor — yazılmamış yön satırdır, alanlar yan yana sıkışır. direction:'column' ve horizontalAlign:'stretch' yazın"));

package/dist/knowledge/platform/mobileRules.js

@@ -109,6 +109,12 @@ export const MOBILE_RULES = {
         sourceRef: 'zeyrek-mcp guides/mobile-layout.md §Sözleşme S8/S9; renderer.functions.ts containerDirection (yazılmamış yön satır)',
         summary: "Genişlik tutarsızlığı: sütunda fill olmayan tam genişlik öğesi ya da form alanı taşıyan satır kabı"
     },
+    'MOB-043': {
+        id: 'MOB-043',
+        severity: 'warn',
+        sourceRef: 'zeyrek-mcp guides/mobile-layout.md §Genişlik ve hiza; renderer.functions.ts resolveContainerStyle (wrap yoksa nowrap) + shellAxisStyle (satırda fill çocuk flexBasis 100%)',
+        summary: "Satırda üç ya da daha çok çocuk, ikisi tam genişlik: önizlemede ve telefonda dar sütunlara sıkışır"
+    },
     'MOB-021': {
         id: 'MOB-021',
         severity: 'info',

package/dist/knowledge/rules.js

@@ -806,6 +806,53 @@ export const policyRules = [
                     }];
         }
     },
+    {
+        id: 'MS-027',
+        module: 'microservice',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "zeyrek-backend ADR 0074 (b-03, 2026-11-04): bulk-update/bulk-delete ucunun filtresi kapsamdır — Microservice.Validate kök + single + and + eq + sunucu değerli (static/expression) ister, ifade çağıranın doldurduğu değişkeni okuyamaz (MicroserviceConstants.CallerValuedExpressionPattern), kapsam alanı uçta yazılamaz (BulkWriteScopeFilterException 400). Çalışmada kapsam her satırın UPDATE/DELETE WHERE'ine girer, kapsam dışı tek kimlik bütün partiyi 404 ile reddeder. Filtresiz uç her kimliği yazar",
+        check: definition => {
+            const parameters = (definition.sourceParameters ?? {});
+            const operation = String(parameters.operation ?? '').toLowerCase();
+            if (definition.source !== 'table')
+                return [];
+            if (operation !== 'bulk-update' && operation !== 'bulk-delete')
+                return [];
+            const filters = asArray(parameters.filters).filter((filter) => Boolean(filter) && typeof filter === 'object');
+            const written = new Set(asArray(parameters.fields)
+                .filter((field) => Boolean(field) && typeof field === 'object')
+                .flatMap(field => [field.fieldId, field.fieldSlug])
+                .filter(key => key !== undefined && key !== null)
+                .map(String));
+            const recipe = "Kapsamı sunucu belirler: { filterType: 'single', conditionType: 'and', field: <sahip alanı>, operator: 'eq', source: 'expression', value: 'user.id' } + auth middleware (middlewareIds).";
+            const broken = filters.filter(filter => filter.filterType === 'group' ||
+                asArray(filter.children).length > 0 ||
+                String(filter.conditionType ?? 'and') !== 'and' ||
+                String(filter.operator ?? 'eq') !== 'eq' ||
+                ['body', 'header', 'query-string'].includes(String(filter.source ?? '')) ||
+                (String(filter.source ?? '') === 'expression' && /\b(body|header|queryString|cookie|route|RequestUrl|RequestPathAndQuery)\b/.test(String(filter.value ?? ''))) ||
+                written.has(String(filter.fieldId ?? '')) ||
+                written.has(String(filter.fieldSlug ?? '')));
+            if (broken.length > 0) {
+                return [{
+                        ruleId: 'MS-027',
+                        severity: 'block',
+                        message: `operation '${operation}' filtresi kapsam olamaz (${broken.map(filter => String(filter.fieldSlug ?? filter.fieldId ?? '?')).join(', ')}): toplu yazma filtresi her satırın WHERE'ine girer, bu yüzden kök + 'and' + 'eq' olmalı, değeri istemciden (body/header/query-string ya da onları okuyan ifade) gelmemeli ve alan uçta yazılmamalı. Platform kaydı BulkWriteScopeFilterException ile reddeder. ${recipe}`,
+                        guide: 'ngapps://guides/microservice'
+                    }];
+            }
+            if (filters.length > 0 && asArray(definition.middlewareIds).length > 0)
+                return [];
+            return [{
+                    ruleId: 'MS-027',
+                    severity: 'warn',
+                    message: filters.length === 0
+                        ? `operation '${operation}' ucunda filtre yok: istemci gönderdiği her kimliği yazar, başkasının satırı dahil. ${recipe} Kapsam dışı tek kimlik bütün partiyi 404 ile reddeder.`
+                        : `operation '${operation}' ucunda middlewareIds boş: uç anonimdir ve kapsam ifadesi 'user' değişkenine ulaşamaz. Auth middleware'ini bağlayın (platform_guide('middleware')).`,
+                    guide: 'ngapps://guides/microservice'
+                }];
+        }
+    },
     {
         id: 'MS-002',
         module: 'microservice',
@@ -980,6 +1027,48 @@ export const policyRules = [
             });
         }
     },
+    {
+        id: 'WF-038',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "zeyrek-backend Branch.cs BranchType: success · fail · impersonation · global-error; StringEnumConverter bilinmeyen değeri InvalidEnumTokenException (400) ile reddeder, workflow kaydı ve önizlemesi aynı BranchDto'yu kullanır. 'start' başlangıç adımının dal ADIDIR (workflow.md asgari iskelet, examples/workflow-call-workflow.json). Saha: Defter workflow_preview 400 'success, fail, impersonation, global-error' (PS-27, 2026-11-04)",
+        check: (definition, context) => workflowSteps(workflowBody(definition, context.workflowKind)).flatMap((step) => {
+            const startTyped = asArray(step.branches)
+                .filter((branch) => Boolean(branch) && typeof branch === 'object')
+                .filter(branch => String(branch.type ?? '') === 'start');
+            return startTyped.length === 0
+                ? []
+                : [{
+                        ruleId: 'WF-038',
+                        severity: 'block',
+                        message: `'${stepLabel(step)}' adımının dalı type: 'start' taşıyor — platform 400 döner (dal tipi yalnız success · fail · impersonation · global-error). 'start' dalın ADIDIR, tipi success: { name: 'start', type: 'success', nextStepId: '<ilk adım>' }.`,
+                        guide: 'ngapps://guides/workflow'
+                    }];
+        })
+    },
+    {
+        id: 'WF-037',
+        module: 'workflow',
+        appliesTo: ['create', 'update', 'preview'],
+        sourceRef: "EmailStep.cs EvaluateAsync: alıcı yalnız rule.expression'dan okunur; ifade { to, cc, bcc } dizgi listeleri döndürür (eski toMail/bccMails de okunur). StepRule'da send/to/toMail/sendTo/recipients alanı yoktur, bağlanırken atılır. Dizgi olmayan öğe EmailRecipientInvalidException, alıcısız adım EmailRecipientsMissingException ile fail dalına düşer (zeyrek-backend incident #197, 2026-11-04). Saha: Defter/Anatoli 31 deneme 'No recipients have been specified.'",
+        check: (definition, context) => stepCallSites(workflowBody(definition, context.workflowKind), 'email').flatMap(({ label, rule }) => {
+            const recipe = 'Alıcı rule.expression ile verilir ve { to, cc, bcc } adres dizgisi listeleri döndürür: "({ to: [input.email] })" — cc/bcc isteğe bağlıdır; konu rule.subject, HTML gövde rule.body, gönderen adı rule.displayName.';
+            const ignoredKeys = ['send', 'to', 'toMail', 'toMails', 'sendTo', 'recipients', 'cc', 'bcc'].filter(key => carriesValue(rule[key]));
+            const problems = [
+                ignoredKeys.length > 0 ? `${ignoredKeys.map(key => `rule.${key}`).join(', ')} okunmaz, platform bağlarken atar` : '',
+                !hasText(rule.expression) ? 'rule.expression yok — adımın alıcısı bağlı değil, platform EmailRecipientsMissingException ile fail dalına düşer' : '',
+                hasText(rule.expression) && /\{\s*type\s*:/.test(String(rule.expression)) ? "alıcı öğesi { type, value } nesnesi — öğe adres dizgisi olmalı ('ad@alan'), platform EmailRecipientInvalidException ile fail dalına düşer" : ''
+            ].filter(problem => problem !== '');
+            return problems.length === 0
+                ? []
+                : [{
+                        ruleId: 'WF-037',
+                        severity: 'block',
+                        message: `'${label}' e-posta adımı alıcıyı yanlış yerden veriyor: ${problems.join('; ')}. ${recipe} workflow_step_schema'daki expression.to/cc/bcc bu ifadenin döndürdüğü şekildir.`,
+                        guide: 'ngapps://guides/workflow'
+                    }];
+        })
+    },
     {
         id: 'WF-032',
         module: 'workflow',

package/dist/observability/gapSink.js

@@ -0,0 +1,43 @@
+import { createRequire } from 'node:module';
+import { maskSecretText } from '../platform/secrets.js';
+import { logStep } from './trace.js';
+const gatewayVersion = String(createRequire(import.meta.url)('../../package.json').version ?? 'bilinmiyor');
+/**
+ * Kabiliyet boşluğu kaydını ekibin alıcısına gönderir (GW-014, ADR 0006). Adres yalnız `.env`'den gelir; tanımlı
+ * değilse hiçbir yere istek gitmez. Gövde boşluk kaydının kendisidir: proje adı dışında platform verisi, jeton ya da
+ * kullanıcı bilgisi eklemez. Serbest metinlerde yalnız jeton biçimleri (`Bearer …`, JWT) maskelenir; ajanın metne yazdığı
+ * başka bilgi (e-posta, satır verisi) olduğu gibi gider. Tek deneme, zaman aşımı kısa: alıcının
+ * yavaşlığı ajanı bekletmez, başarısızlık kaydı düşürmez — kayıt günlükte zaten durur.
+ */
+export async function deliverGapReport(url, gap, timeoutMs = 3000) {
+    if (!url)
+        return 'log-only';
+    const body = {
+        goal: maskSecretText(gap.goal),
+        blocker: maskSecretText(gap.blocker),
+        severity: gap.severity,
+        module: gap.module === undefined ? null : maskSecretText(gap.module),
+        attempted: (gap.attempted ?? []).map(entry => maskSecretText(entry)),
+        workaround: gap.workaround === undefined ? null : maskSecretText(gap.workaround),
+        project: gap.project ?? null,
+        gatewayVersion,
+        at: new Date().toISOString()
+    };
+    try {
+        const response = await fetch(url, {
+            method: 'POST',
+            headers: { 'content-type': 'application/json' },
+            body: JSON.stringify(body),
+            signal: AbortSignal.timeout(timeoutMs)
+        });
+        await response.body?.cancel();
+        if (response.ok)
+            return 'webhook';
+        logStep('boşluk webhook ⚠', `alıcı ${response.status} döndü — kayıt yalnız bu makinedeki günlükte`);
+        return 'webhook-failed';
+    }
+    catch (error) {
+        logStep('boşluk webhook ⚠', `alıcıya ulaşılamadı (${error instanceof Error ? error.name : 'hata'}) — kayıt yalnız bu makinedeki günlükte`);
+        return 'webhook-failed';
+    }
+}

package/dist/platform/argumentAliases.js

@@ -9,6 +9,12 @@ const hostAlias = (from, host) => ({
     apply: async (value) => ({ set: { host, hostId: value }, note: `${from} → host: '${host}', hostId: ${text(value)}` })
 });
 export const ARGUMENT_ALIASES = [
+    {
+        tool: 'component_get',
+        from: 'type',
+        when: (_shape, args) => args.slug === undefined && args.id === undefined,
+        apply: async (value) => ({ set: { slug: text(value) }, note: `type → slug: '${text(value)}'` })
+    },
     hostAlias('pageId', 'page'),
     hostAlias('layoutId', 'layout'),
     hostAlias('componentId', 'component'),

package/dist/platform/capture/actions.js

@@ -13,6 +13,25 @@ export const SWIPE_INTERVAL_MS = 16;
  * taşıma bir satır eksik inerdi (inceleme bulgusu 2, oyun alanında `row-0 → row-2` → `reorder 0→1`).
  */
 export const SWIPE_EDGE_INSET = 2;
+/**
+ * g-15 (K8) — `click`'in ikinci yarısı. Sayfa içi betik hedefi seçer ve basılacak noktayı (`press`) döndürür; basış
+ * gateway'den gerçek fare olayıyla yapılır, çünkü yalnız gerçek olay o noktada en üstteki öğeye iner ve telefondaki
+ * parmakla aynı sonucu verir. `press` taşımayan sonuç (bulunamadı, örtülü, pencere kalkanı) olduğu gibi döner.
+ */
+export async function pressPoint(page, raw) {
+    if (raw === null || typeof raw !== 'object' || !('press' in raw))
+        return raw;
+    const { press, ...rest } = raw;
+    if (!page.mouse)
+        return { ...rest, applied: false, note: 'tarayıcı fare olayı desteklemiyor: tıklama UYGULANMADI' };
+    try {
+        await page.mouse.click(press.x, press.y);
+    }
+    catch (error) {
+        return { ...rest, applied: false, note: `fare tıklaması düştü, eylem UYGULANMADI: ${error instanceof Error ? error.message : String(error)}` };
+    }
+    return { ...rest, applied: true };
+}
 /**
  * G-24 — gateway sayfayı kurabiliyor, okuyabiliyor ve çizdirebiliyordu ama üzerinde OLAY
  * TETİKLEYEMİYORDU: "filtre değişince veri yenileniyor" iddiası yalnız şema okumasıyla
@@ -63,8 +82,58 @@ export function actionScript(action, captureTarget = studioWebTarget) {
       if (target.closest && target.closest('[role="tablist"]') && !node.matches('[role="tab"]')) {
         return { found: true, applied: false, note: "hedef bir sekme grubu: click İLK sekmeye giderdi — sekme seçmek için { action: 'tab', target: '" + ${JSON.stringify(String(action.target ?? ''))} + "', value: '<sekme anahtarı ya da metni>' } kullanın", requests: count };
       }
-      target.click();
-      return { found: true, applied: true, requests: count };
+      // g-15 (K8): tıklama burada YAPILMAZ. Basılacak nokta döner, gateway oraya gerçek fare olayıyla basar (pressPoint).
+      // Basış alanı hedefin kutusudur; kutusu boş form denetiminde (web anahtarının gizli girdisi) etiketi, kutusu boş
+      // basış yüzeyinde düğümün kendisi. Nokta "hedefin" sayılır: alanın içinde ve en yakın basılabilir atası hedefin
+      // kendisi ya da hedefi saran bir öğe. Hedefin içindeki BAŞKA basılabilir öğe (kabın düğmesi, çipin "kaldır"ı)
+      // hedefin noktası değildir; ortası öyleyse alanın başka noktaları denenir.
+      var pressable = 'button, a, input, select, textarea, [role="button"], [role="switch"], [role="checkbox"], [role="combobox"], [data-element-id$="${INTERNAL_ROLE_SEPARATOR}press"]';
+      var filled = function (element) { var r = element.getBoundingClientRect(); return r.width > 0 && r.height > 0; };
+      var label = !filled(target) && target.labels && target.labels.length ? target.labels[0] : (!filled(target) && target.closest ? target.closest('label') : null);
+      var area = filled(target) ? target : label && filled(label) ? label : node;
+      var owns = function (hit) {
+        if (!hit || !area.contains(hit)) return false;
+        var owner = hit.closest ? hit.closest(pressable) : null;
+        return !owner || owner === target || owner.contains(target) || (label !== null && owner === label);
+      };
+      var spots = [[0.5, 0.5], [0.15, 0.5], [0.85, 0.5], [0.5, 0.2], [0.5, 0.8], [0.15, 0.2], [0.85, 0.2], [0.15, 0.8], [0.85, 0.8], [0.04, 0.5], [0.96, 0.5]];
+      var probe = function () {
+        var box = area.getBoundingClientRect();
+        if (box.width <= 0 || box.height <= 0) return { hidden: true };
+        var first = null;
+        for (var i = 0; i < spots.length; i++) {
+          var x = box.left + box.width * spots[i][0], y = box.top + box.height * spots[i][1];
+          if (x < 0 || y < 0 || x >= window.innerWidth || y >= window.innerHeight) continue;
+          var hit = document.elementFromPoint(x, y);
+          if (first === null) first = { hit: hit };
+          if (owns(hit)) return { at: { x: x, y: y } };
+        }
+        return first === null ? { outside: true } : first;
+      };
+      var found = probe();
+      // Ekran dışındaki ya da bir iç kaydırıcının görünen alanı dışında kalan hedef: kullanıcı önce kaydırır.
+      if (!found.at && !found.hidden && area.scrollIntoView) {
+        area.scrollIntoView({ block: 'center', inline: 'center' });
+        found = probe();
+      }
+      if (found.at) return { found: true, applied: false, requests: count, press: { x: found.at.x, y: found.at.y, id: target.getAttribute('data-element-id') } };
+      if (found.hidden || found.outside) {
+        return { found: true, applied: false, requests: count, note: "hedef görünmüyor (kutusu boş ya da kaydırınca da ekran dışında): gerçek kullanıcı ona basamaz, eylem uygulanmadı — görünürlüğü summaryText'ten okuyun" };
+      }
+      var hit = found.hit;
+      var inner = hit && area.contains(hit);
+      var cover = hit && hit.closest ? (inner ? hit.closest(pressable) : hit).closest('[data-element-id]') : null;
+      // Şema düğümü olmayan örtü (kabuğun bildirim katmanı, toast) kimlik taşımaz: rolü ve metni söylenir.
+      var described = function (element) {
+        var roled = element.closest ? element.closest('[role]') : null;
+        var shown = roled && roled.contains(element) && !roled.contains(area) ? roled : element;
+        var text = String(shown.textContent || '').replace(/\\s+/g, ' ').trim().slice(0, 40);
+        return String(shown.tagName).toLowerCase() + (shown.getAttribute && shown.getAttribute('role') ? '[role=' + shown.getAttribute('role') + ']' : '') + (text ? ' "' + text + '"' : '');
+      };
+      var coveredBy = cover ? String(cover.getAttribute('data-element-id')) : hit ? described(inner ? hit.closest(pressable) : hit) : 'bilinmeyen öğe';
+      return { found: true, applied: false, requests: count, coveredBy: coveredBy, note: inner
+        ? "hedefin her noktasında içindeki başka bir basılabilir öğe (" + coveredBy + ") var: basış ona gider, telefonda da — eylem uygulanmadı. O öğeyi istiyorsanız onu hedefleyin"
+        : "hedefin üstünde " + coveredBy + " var: basışı o alır, telefonda da — eylem uygulanmadı. Örten bir stack katmanı ya da yerleşim kabıysa boş alanı dokunuşu geçirmeli; bilerek üstteyse onu hedefleyin" };
     })()`;
     }
     // S-2 — sekme SEÇİLEMİYORDU: kimlik `<elementId>__tab-<key>` (frontend f-02) önce denenir,

package/dist/platform/capture/capture.js

@@ -3,7 +3,7 @@ import { parseDomSummary } from '../domSummary.js';
 import { INTERNAL_ROLE_SEPARATOR, knownInternalRoles } from '../../knowledge/componentCatalog.js';
 import { logStep } from '../../observability/trace.js';
 import { PersistentScreenshotBrowser, persistentContextOpener, screenshotProfileRoot } from './persistent-browser.js';
-import { actionScript, activeTabScript, rootElementId, runtimePropsScript } from './actions.js';
+import { actionScript, activeTabScript, pressPoint, rootElementId, runtimePropsScript } from './actions.js';
 import { domSummaryScript } from './summary.js';
 import { createPageConsoleLog, describePageFailure, isExpressionEcho, parseRenderErrors, renderErrorsScript, splitExpressionErrors } from './console-log.js';
 import { awaitingUserNote, decideReadiness, describeUnready, parseAwaitingWindow, parseReadiness, readinessScript, runtimePath } from './readiness.js';
@@ -334,7 +334,9 @@ export class StudioScreenshotter {
                         const online = await page.evaluate('navigator.onLine').catch(() => undefined);
                         return { found: true, applied: true, requests: typeof count === 'number' ? count : 0, ...(typeof online === 'boolean' ? { online } : {}) };
                     })()
-                : await page.evaluate(actionScript(action, request.target)).catch(error => ({
+                : await page.evaluate(actionScript(action, request.target))
+                    .then(result => action.action === 'click' ? pressPoint(page, result) : result)
+                    .catch(error => ({
                     found: false,
                     applied: false,
                     note: error instanceof Error ? error.message : String(error),
@@ -406,6 +408,7 @@ export class StudioScreenshotter {
                 ...(action.to === undefined ? {} : { to: action.to }),
                 found: before.found === true,
                 applied,
+                ...(typeof before.coveredBy === 'string' ? { coveredBy: before.coveredBy } : {}),
                 ...(propWritten === undefined ? {} : { propWritten }),
                 ...(note === undefined ? {} : { note }),
                 requests,

package/dist/platform/responses.js

@@ -169,7 +169,10 @@ function asStructured(payload) {
 }
 export function toolResult(payload, config, expectFailure) {
     const pruned = collapseStackTraces(prune(compactDiagnostics(payload)));
-    const { payload: safe, masked, tokenRefs } = maskSecrets(pruned);
+    const { payload: masked0, masked, tokenRefs } = maskSecrets(pruned);
+    const hinted = masked0 !== null && typeof masked0 === 'object' && !Array.isArray(masked0) && typeof masked0.truncationHint === 'string';
+    const truncationHint = hinted ? String(masked0.truncationHint) : undefined;
+    const safe = hinted ? Object.fromEntries(Object.entries(masked0).filter(([key]) => key !== 'truncationHint')) : masked0;
     const runtimeErrors = runtimeErrorSummary(safe);
     if (runtimeErrors.length > 0) {
         // Kasıtlı negatif test (expectFailure:true) bir kusur değil bir KANIT: çağıran beklediğini
@@ -191,7 +194,7 @@ export function toolResult(payload, config, expectFailure) {
         ...(runtimeErrors.length > 0 && expectFailure === true ? { expectedFailure: true } : {}),
         ...(masked.length > 0 ? { gatewayMasked: masked } : {}),
         ...(Object.keys(tokenRefs).length > 0 ? { tokenRefs, tokenRefNote: `Maskelenen JWT'ler gateway içinde tutuldu; bu referansları microservice_execute / microservice_debug / page_runtime_get / page_screenshot 'asUser' alanına verebilirsiniz (${tokenTtlMinutes()} dk geçerli; kompleks projede referans access_session_create'ten gelir). Jetonun kendisi yanıta ve günlüğe hiç girmez.` } : {}),
-        ...(truncated ? { truncated: true, truncationNote: 'Liste, yanıt boyutu sınırı nedeniyle kırpıldı; sayfalama ya da daha dar filtre kullanın.' } : {}),
+        ...(truncated ? { truncated: true, truncationNote: `Liste, yanıt boyutu sınırı nedeniyle kırpıldı; ${truncationHint ?? 'sayfalama ya da daha dar filtre kullanın.'}` } : {}),
         ...(argumentNotes().aliasesApplied.length > 0 ? { aliasesApplied: argumentNotes().aliasesApplied } : {}),
         ...(argumentNotes().bodyFile ? { bodyFile: argumentNotes().bodyFile } : {}),
         ...(argumentNotes().codeFile ? { codeFile: argumentNotes().codeFile } : {})

package/dist/platform/writeDiff.js

@@ -274,7 +274,8 @@ export function schemaOpDrops(schema, ops) {
     const drops = { dropped: [], droppedCount: 0, droppedCountCapped: false, notes: [] };
     if (!Array.isArray(ops))
         return drops;
-    for (const op of ops) {
+    const list = ops;
+    for (const [index, op] of list.entries()) {
         if (op.op === 'add_component') {
             const component = (op.component ?? {});
             const elementId = String(component.elementId ?? '');
@@ -298,8 +299,58 @@ export function schemaOpDrops(schema, ops) {
                 continue;
             }
             mergeNested(drops, writeDiff({ [op.prop]: unwrapProps(op.value) }, { [op.prop]: unwrapProps(props[op.prop]) }, {}, false), `replace_prop '${op.target}' → `);
+            continue;
+        }
+        if ((op.op === 'set_event' || op.op === 'add_event') && typeof op.target === 'string' && typeof op.event === 'string') {
+            const saved = findByElementId(schema, op.target);
+            const wanted = { name: op.event, value: op.eventValue };
+            // Aynı yamada sonra gelen `set_event` bağı değiştirir, `remove_event` (akışı verilmemişse ya da aynıysa) kaldırır:
+            // son hâli kayıtlı şemayla karşılaştırmak o op'un işidir.
+            const superseded = list.slice(index + 1).some(later => later.target === op.target
+                && (later.op === 'set_event' || later.op === 'remove_event')
+                && String(later.event ?? '').toLowerCase() === String(op.event).toLowerCase()
+                && (later.op === 'set_event' || later.eventValue === undefined || later.eventValue === null || later.eventValue === ''
+                    || String(later.eventValue).toLowerCase() === String(op.eventValue ?? '').toLowerCase()));
+            if (!saved || superseded)
+                continue;
+            const bound = Array.isArray(saved.events) && saved.events.some(event => sameEvent(event, wanted));
+            if (!bound)
+                addDrop(drops, `${op.op} '${op.target}.${op.event}': olay bağı şemada yok — yama 200 döndü ama bağ kaydedilmemiş.`);
+        }
+    }
+    return finishReport(drops);
+}
+/** Ad büyük/küçük harf duyarsız (platform `Page.AddEvent` böyle karşılaştırır); değer verilmediyse yalnız ad. */
+function sameEvent(saved, wanted) {
+    if (!saved || typeof saved !== 'object')
+        return false;
+    const record = saved;
+    const sameName = String(record.name ?? '').toLowerCase() === String(wanted.name ?? '').toLowerCase();
+    return sameName && (wanted.value === undefined || wanted.value === null || wanted.value === ''
+        || String(record.value ?? '').toLowerCase() === String(wanted.value).toLowerCase());
+}
+/**
+ * Tam sayfa yazımında (`page_update`, `page_create ifExists:'update'`) gönderilen olay ve düğüm sayısını PUT
+ * yanıtındaki KAYITLI sayfayla karşılaştırır (PAGE-053). Platform aynı akışa bağlı ikinci olayı hatasız atabiliyordu
+ * ve yanıt gönderilen gövdeden "korundu" diyordu. `saved` yoksa (yanıt kaydı taşımıyorsa) karşılaştırma yapılmaz.
+ */
+export function pageWriteDrops(sent, saved) {
+    const drops = { dropped: [], droppedCount: 0, droppedCountCapped: false, notes: [] };
+    if (!saved)
+        return drops;
+    const savedEvents = Array.isArray(saved.events) ? saved.events : [];
+    for (const event of Array.isArray(sent.events) ? sent.events : []) {
+        const record = (event ?? {});
+        if (!savedEvents.some(candidate => sameEvent(candidate, { name: record.name, value: record.value }))) {
+            addDrop(drops, `events[${String(record.name ?? '')} → ${String(record.value ?? '')}]: platform bu olayı kaydetmedi.`);
         }
     }
+    if (drops.droppedCount > 0) {
+        drops.notes.push("Aynı akış iki olaya bağlıysa eski backend sürümü ikincisini atar: olaya ayrı akış bağlayın ya da backend'i güncelleyin; sonucu page_get ile doğrulayın.");
+    }
+    if (saved.schemaNodes < sent.schemaNodes) {
+        addDrop(drops, `schema: ${sent.schemaNodes} düğüm gönderildi, ${saved.schemaNodes} düğüm kaydedildi — eksik düğümleri page_schema_get ile bulun.`);
+    }
     return finishReport(drops);
 }
 /** İç karşılaştırmanın satırlarını, sayısını ve notlarını dış rapora önekle taşır; kesme en dışta yapılır. */