docs: design hosted Office editing

docs/features/share-server/ui-design.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.2 |
-| 日期 | 2026-09-05 |
+| 版本 | 0.3 |
+| 日期 | 2026-09-09 |
 | 关联 PRD | [ShareServer PRD](./prd.md) |
 | 功能逻辑 | [功能逻辑设计](./logic-design.md) |
 
@@ -39,6 +39,7 @@ ShareServer 是独立 Web 产品，不直接复用 Electron 页面壳层实现
 发布与更新
 网关联邦
 任务与中继
+Office 编辑
 审计
 系统设置（仅系统管理员）
 ```
@@ -57,6 +58,7 @@ ShareServer 是独立 Web 产品，不直接复用 Electron 页面壳层实现
 - 包更新异常和紧急撤销。
 - 联邦连接异常。
 - 中继流量和容量，仅在中继启用时显示。
+- Office 编辑健康、活动会话、保存失败和待清理对象，仅在 Office 服务启用时显示。
 
 指标可点击进入已带筛选的对应页面。没有事件时不显示虚构趋势。
 
@@ -172,14 +174,36 @@ GPU-Worker-02    AI Team     Linux       离线      8        2 小时前
 时区和字段范围；大导出作为后台任务生成有时效下载。审计详情保持只读，不把原始内部错误、
 认证信息或任务正文显示给管理员。
 
-## 13. 系统设置
+## 13. Office 编辑
 
-只包含实例名称、公开地址、身份源、邮件、数据库/对象存储状态、中继开关与上限、保留策略、
-联邦总开关、证书和版本。秘密字段只支持替换或测试，不回显原值。
+Office 编辑页面属于系统管理员的服务配置和组织管理员的策略管理，不提供文档正文浏览器。
+
+系统管理员视图显示：
+
+- 服务状态、ONLYOFFICE 版本、许可证状态和最近一次完整健康检查。
+- Document Server、callback worker、对象存储的独立状态和稳定错误阶段。
+- 活动/断线/过期会话数、保存成功/失败/结果未知、存储用量和待清理对象。
+- 全局允许格式、最大文件、并发、会话期限、checkpoint 保留和紧急停用。
+
+组织管理员视图只显示本组织策略、用量和会话元数据，可以收紧允许格式、文件大小、并发、
+只读和 AI 编辑策略，不能修改基础设施地址或密钥。会话表显示用户、设备、文档显示名、类型、
+访问模式、状态、大小、创建时间、最后 checkpoint 和到期时间，不显示源文件路径或正文。
+
+“测试 Office 服务”必须执行最小文档创建、编辑器加载、保存 callback 和输出校验。结果按阶段
+显示，并说明测试会创建和自动清理临时文档。只检查端口不能显示为完整健康。
+
+紧急停用需要说明：停止创建新会话和新保存，现有 Desktop 源文件不会删除，服务端工作副本按
+保留策略处理。删除会话是危险操作，显示用户、设备、文件显示名、稳定 checkpoint 和未确认
+回写状态；不能提供管理员直接下载任意成员文档的默认入口。
+
+## 14. 系统设置
+
+只包含实例名称、公开地址、身份源、邮件、数据库/对象存储状态、中继开关与上限、Office 服务
+基础设施状态、保留策略、联邦总开关、证书和版本。秘密字段只支持替换或测试，不回显原值。
 
 运行时基础设施配置优先来自部署环境；Web 界面不能修改数据库连接串、主密钥或容器挂载路径。
 
-## 14. 状态、响应式与无障碍
+## 15. 状态、响应式与无障碍
 
 - 加载、无数据、无匹配、无权限、服务错误和部分不可用分别展示。
 - 管理表格支持键盘访问、可见焦点、表头关联和分页；行菜单有可访问名称。
@@ -187,7 +211,7 @@ GPU-Worker-02    AI Team     Linux       离线      8        2 小时前
 - 所有时间显示实例时区并可查看 ISO 时间；联邦事件同时显示对端时间时标明时区。
 - 状态不只依赖颜色。危险操作在确认后保持原页面上下文和可恢复错误。
 
-## 15. 交互原型视觉基线
+## 16. 交互原型视觉基线
 
 2026-09-05 的首个可运行原型采用深海科技控制台方向，并同时提供浅色主题。视觉实现遵循
 shadcn/ui 的本地组件模式和 Radix 可访问 primitives，布局参考成熟后台的侧栏、顶栏、数据
@@ -198,3 +222,4 @@ shadcn/ui 的本地组件模式和 Radix 可访问 primitives，布局参考成
 与品牌氛围；业务表格仍保持克制，状态继续同时使用图标与文字。原型操作会调用无持久化确认
 API，并持续标明不会写入生产数据，不能据此宣称真实审批、撤销、策略或任务操作已实现。
 `FR-13` 新增的数字人目录、“我的数字人”和 `@` 选择器尚未进入当前原型。
+`FR-14` 新增的 Office 编辑导航、配置、健康和会话管理也尚未进入当前原型。