goodbuddy-shareserver/docs/features/share-server/ui-design.md

ShareServer Web 管理界面设计

文档信息

项目	内容
状态	设计中
版本	0.5
日期	2026-09-28
关联 PRD	ShareServer PRD
功能逻辑	功能逻辑设计

ShareServer 是独立 Web 产品，不直接复用 Electron 页面壳层实现，但沿用 GoodBuddy 的语义 词汇、状态含义和克制的运营工具风格。界面以列表、表格和主从详情为主，不使用营销首页或 装饰性卡片墙。

1. 使用对象

• 普通成员主要在 GoodBuddy Desktop 协作和使用能力；Web 端管理自己的设备、申请、授权和已发布数字人。
• 组织管理员使用完整组织控制台。
• 系统管理员使用与组织控制台分开的实例管理范围。
• 审计员进入只读视图，不显示可变更控件。

登录后直接进入当前身份可用的实际控制台，不显示产品宣传页。

2. 全局框架

顶部栏：ShareServer 实例名 | 当前组织 | 全局搜索 | 审批 | 账号

侧栏：
概览
组织与成员
设备
能力目录
数字人
权限策略
审批
发布与更新
网关联邦
任务与中继
Office 编辑
审计
系统设置（仅系统管理员）

当前组织始终显示。切换组织会重新加载整个数据范围，不保留上一组织的选择、筛选或详情。 系统管理使用“实例范围”标识，不能伪装成某个组织。

3. 概览

概览只显示需要行动和运行事实：

• 待审批数量及最旧等待时间。
• 在线/离线/已撤销设备。
• 可用/离线/暂停能力。
• 当前任务、失败和结果未知。
• 包更新异常和紧急撤销。
• 联邦连接异常。
• 中继流量和容量，仅在中继启用时显示。
• Office 编辑健康、活动会话、保存失败和待清理对象，仅在 Office 服务启用时显示。

指标可点击进入已带筛选的对应页面。没有事件时不显示虚构趋势。

4. 组织与成员

使用“成员”“用户组”“角色”三个同级页签。成员表包含姓名、身份源、组、状态、设备数和 最近活动。邀请是唯一主操作；暂停和移除进入行末菜单。

成员详情采用抽屉，显示身份、组、角色、设备、有效 Grant、申请和审计。管理员不能查看成员 任务正文或桌面文件。

5. 设备

设备             所有者      平台        状态      能力      最近在线
Jiang-PC         Jiang       Windows     在线      2        刚刚
GPU-Worker-02    AI Team     Linux       离线      8        2 小时前

设备详情包含概览、连接、已发布能力、Grant 和活动。设备状态与 Publication 状态分别显示。 撤销设备使用危险确认，说明新任务、活动任务和重新注册影响。

6. 能力目录

目录以能力为第一列，提供者为可展开信息：

能力              版本       提供者       可见范围      可用性
图像生成          2.1.0      3 个节点     设计组        2/3 在线

详情包含 manifest、provider、Publication、允许输入、数据政策、调用趋势和最近错误。管理员 看到的是组织元数据，不通过目录读取能力内部数据。

6.1 数字人

数字人使用独立栏目呈现，不混入普通工具能力表。目录按 @handle、显示名、所有者、专业 说明、提供者、Runtime、版本、在线状态和可用范围筛选；只有当前成员可发现的数字人进入 搜索和提及补全。

数字人详情显示：

• 所有者、来源组织、执行设备或服务节点。
• Publication 版本、支持的输入/输出、可用时间、并发和有效期。
• 数据去向、路由、中继可读性、是否允许委托。
• 是否使用本地记忆、允许的分区种类，以及允许处理的数据敏感度；不显示记忆条目、具体分区 名称、来源正文和检索结果。
• 当前成员的 discover/inspect/invoke 权限、命中策略和审批要求。

成员可以在“我的数字人”中创建多个用途不同的发布草稿，选择一个本地 Agent、设置唯一 @handle 和开放范围、提交审批、暂停、恢复、更新或撤销。加入组织不会生成默认数字人， 创建本地 Agent 也不会自动发布。

发布表单的“可用记忆”默认全部关闭，并允许勾选数字人的 Agent、Global、指定 Project 和 指定 Automation 分区。Conversation 和 Run 不作为可选项。表单持续说明记忆只在提供者本地 检索，调用者和 ShareServer 看不到内容；新增分区在保存前明确标为权限扩大，移除分区明确 标为立即收紧。

直接能力调用输入区使用带搜索的显式选择器插入 @数字人，不能只靠自由文本猜测 handle。 选择后持续显示目标数字人；发送前确认实际接收者、执行位置、发送数据和授权。离线、无权或 需要审批的项保持可读并说明原因，但不能形成已发送调用。

工作空间的 @成员 是提及选择器，按第 17 节展示；“请求处理”单独选择处理人，不以分身在线状态限制本人收件。 上述本地记忆限制不阻止用户另行发布选定知识或回顾；内容入口按 FR-18 展示原文读取权限， 数字人目录仍不提供底层记忆浏览器。

7. 权限策略

策略页分“强制策略”和“Grant”。创建和编辑使用结构化表单：主体、能力、动作、输入、提供者、 时间、预算、批准和委托。保存前提供自然语言摘要：

允许“设计组”从合规设备调用组织内“图像生成”2.x；只发送文本和图片；每人每日 20 次； 不允许下游委托。

策略冲突预览显示最终结果和命中规则，但不提供允许规则覆盖拒绝规则的顺序拖拽。

8. 审批

审批收件箱按调用、发布、更新和联邦分类。详情必须显示申请人、能力或对象、目标范围、数据 类别、权限变化、期限和策略依据。批准按钮使用具体文案，例如“允许本次调用”“批准此版本 发布”，不能只有“同意”。

批量批准仅用于同类型、同策略且不包含权限扩大的低影响申请；联邦和权限扩大更新不支持 批量批准。

9. 发布与更新

页面分“能力包”“发布通道”“更新策略”“撤销记录”。Package 表显示版本、发布者、签名、 大小、目标平台、权限变化和状态。上传后先进入验证，不直接发布。

版本详情提供 manifest、摘要、签名、兼容范围、权限 diff、依赖和下载事实。紧急撤销位于 独立 danger zone，需要输入版本标识确认，并说明受影响设备和新任务。

10. 网关联邦

合作组织          对端地址                 状态       开放能力     有效期
法务服务商        share.legal.example      已连接     2 项         12-31

建立关系采用向导：填写端点、核对组织和指纹、选择公开范围、设置调用与数据限制、生成 offer、 等待对方确认、复核双方交集。只有双方完成后显示“已连接”。

详情明确展示“我方开放”“对方开放”“最终可用”三个集合。暂停和撤销说明对活动任务的处理。

11. 任务与中继

任务表显示调用方、能力、provider、路由、数据类别、状态、耗时和时间。默认不显示正文。 活动任务提供取消；结果未知使用独立状态并显示 provider 最后确认点。

中继未启用时页面显示控制面正常和启用位置，不展示零值图表。启用后显示活动连接、吞吐、 排队、容量和拒绝原因，不提供查看正文的调试入口。

12. 审计

提供操作者、动作、对象、组织、结果、时间和关联 ID 的可筛选表格。导出前显示条件、估算行数、 时区和字段范围；大导出作为后台任务生成有时效下载。审计详情保持只读，不把原始内部错误、 认证信息或任务正文显示给管理员。

13. Office 编辑

Office 编辑页面属于系统管理员的服务配置和组织管理员的策略管理，不提供文档正文浏览器。

系统管理员视图显示：

• 服务状态、ONLYOFFICE 版本、许可证状态和最近一次完整健康检查。
• Document Server、callback worker、对象存储的独立状态和稳定错误阶段。
• 活动/断线/过期会话数、保存成功/失败/结果未知、存储用量和待清理对象。
• 全局允许格式、最大文件、并发、会话期限、checkpoint 保留和紧急停用。

组织管理员视图只显示本组织策略、用量和会话元数据，可以收紧允许格式、文件大小、并发、 只读和 AI 编辑策略，不能修改基础设施地址或密钥。会话表显示用户、设备、文档显示名、类型、 访问模式、状态、大小、创建时间、最后 checkpoint 和到期时间，不显示源文件路径或正文。

“测试 Office 服务”必须执行最小文档创建、编辑器加载、保存 callback 和输出校验。结果按阶段 显示，并说明测试会创建和自动清理临时文档。只检查端口不能显示为完整健康。

紧急停用需要说明：停止创建新会话和新保存，现有 Desktop 源文件不会删除，服务端工作副本按 保留策略处理。删除会话是危险操作，显示用户、设备、文件显示名、稳定 checkpoint 和未确认 回写状态；不能提供管理员直接下载任意成员文档的默认入口。

14. 系统设置

只包含实例名称、公开地址、身份源、邮件、数据库/对象存储状态、中继开关与上限、Office 服务 基础设施状态、保留策略、联邦总开关、证书和版本。秘密字段只支持替换或测试，不回显原值。

运行时基础设施配置优先来自部署环境；Web 界面不能修改数据库连接串、主密钥或容器挂载路径。

15. 状态、响应式与无障碍

• 加载、无数据、无匹配、无权限、服务错误和部分不可用分别展示。
• 管理表格支持键盘访问、可见焦点、表头关联和分页；行菜单有可访问名称。
• 窄屏将表格转为字段列表，保持组织、来源、状态和风险信息，不把管理动作挤成不可辨图标。
• 所有时间显示实例时区并可查看 ISO 时间；联邦事件同时显示对端时间时标明时区。
• 状态不只依赖颜色。危险操作在确认后保持原页面上下文和可恢复错误。

16. 交互原型视觉基线

2026-09-05 的首个可运行原型采用深海科技控制台方向，并同时提供浅色主题。视觉实现遵循 shadcn/ui 的本地组件模式和 Radix 可访问 primitives，布局参考成熟后台的侧栏、顶栏、数据 表格和详情对话框，但不复制第三方示例业务页面。

原型已覆盖数字人需求加入前的一级栏目、管理员与成员自助视图切换、组织范围、搜索筛选、 页签、详情、创建表单、危险确认和 390px 窄屏导航。动态发光、网格和网络脉冲只用于运行状态 与品牌氛围；业务表格仍保持克制，状态继续同时使用图标与文字。原型操作会调用无持久化确认 API，并持续标明不会写入生产数据，不能据此宣称真实审批、撤销、策略或任务操作已实现。 FR-13 新增的数字人目录、“我的数字人”和 @ 选择器尚未进入当前原型。 FR-14 新增的 Office 编辑导航、配置、健康和会话管理也尚未进入当前原型。

17. Desktop 工作空间协作目标交互

本节补充 Desktop 与 ShareServer 交界处的用户交互，不改变独立 Web 控制台的页面壳层。

• 新建入口统一为“新建工作空间”，默认“仅本地”。开启“共享”后选择所属组织、空间成员和 内容范围；未加入组织时可引导加入，不阻塞本地创建。开启前提供历史内容预览。
• 空间列表允许多个本地及共享空间并存。标题附近展示共享状态、目标组织和消息连接状态； 资料面板展示最近成功同步时间、待同步数量和立即同步资料入口，失败可定位到条目。
• 资料定期／按需同步与“暂停资料自动同步”分别设置，不控制消息通道。“关闭共享”说明撤销访问的影响，离线操作保持 “待关闭共享”，不能以本地开关的外观冒充服务端确认。
• 默认输入框用于普通空间消息，支持回复线程和 @成员 提及，不要求处理人。提及仅通知， 单独开启“请求处理”后选择一个处理人，再显示“需要本人确认”。
• 选择器按当前空间过滤，姓名标记绑定稳定身份。发送区展示可见受众、上下文清单及内容预览； 无附带上下文也可提问。附件未就绪显示准备进度或失败，不能显示“已发送”。
• 消息即时出现，历史支持分页和断线补收。普通消息仅展示交付信息；处理请求同时展示交付和 处理信息，例如“待发送”或“已发送 · 待本人处理”。分身失败、处理人离线 和权限撤销分别说明，不能统一显示发送失败。
• 设置页按成员本人、空间保存“处理请求偏好”，不使用“收到 @ 时自动执行”的文案；分身模式选择明确的分身及来源授权。仅本人可以看到 自己的待确认草稿、编辑、确认和接手操作。实际产品禁止用 demo 的角色下拉框代替登录授权。
• 共享知识配置复用已有来源列表，授权预览说明目标受众。监督回顾的回答使用与原文阅读分别 设置；仅阅读场景不能被第二个开关或默认联动隐式改为允许回答。

docs/demo/client 是独立静态交互演示，已有成员消息与处理偏好；本地／共享统一创建、实时 消息、资料周期同步及撤销流程尚未实现。demo 仍把提及直接当作处理请求，需按本节调整； 其即时本地回复不是服务端送达或实时通信的验收证据。