fix: restore consistent controls, usable overlays and narrow layouts

Resolve 15 shared-control, overlay and responsive-layout issues plus the MCP editor being hidden behind settings. Restore theme contrast, danger and disabled states, visible keyboard focus, and consistent Continue fields. Keep the workbar add button reachable and model protocol values readable in narrow containers.

Make nested MCP and image dialogs usable above their parents with focus restoration, keep project Escape handling within the active modal, release native browser views for overlapping help, and restore keyboard access and Escape in sandboxed HTML previews without relaxing sandbox permissions. Add unit and real Electron regression coverage and update design and validation documentation.

Release note: 修复深浅主题下控件边框、危险操作、禁用状态和键盘焦点显示不一致的问题。MCP 编辑器与图片预览可在父弹窗上正常操作，HTML 全屏预览支持键盘进入和 Escape 返回；窄工作栏的添加按钮保持可用，模型连接协议文字完整可读。

Validation: the full suite recorded 5309 passed, 3 failed and 83 skipped. The ProjectSwitcher initial-focus regression was then fixed, and App, ProjectSwitcher and overlay Electron tests passed all 331 cases. The other two HeartbeatCenter failures were reproduced on isolated HEAD 11facf0 and remain pre-existing. Typecheck and lint passed after the fix; staged whitespace checks passed. The full suite was not rerun after the focused fix.

Limits: Electron evidence is from Windows development runs, with fixtures for unrelated services and native occlusion throttling disabled in some drivers. No production build, packaging, macOS/Linux, remote Agent host or external MCP connection validation; skipped tests and the documented scaling and native-select coverage gaps remain.

UI-DESIGN.md

@@ -116,6 +116,7 @@
 
 - 业务组件通过 `--font-family-ui` 与字体尺寸令牌继承字体，不创建页面专属字体栈。
 - 表单按钮、输入框、选择框和文本域必须继承界面字体，避免回退为原生控件字体。
+- 文本表单复用 `.field` 下的共享输入规则；不适合增加字段包装层的独立输入或文本域使用 `.field-control`。文本输入规则排除 Checkbox 和 Radio，保留全局 `:focus-visible` 轮廓，不清除 Switch 焦点环。
 - 连续阅读内容使用 `14px`，持久辅助信息不得小于 `11px`。
 - 本地兜底字体资源必须随生产包交付，并同时包含 Inter 与 Noto Sans SC 的 OFL 许可证。
 - 页面内不得通过同时放大字号、加粗和使用强调色制造多个同级主标题。
@@ -360,6 +361,7 @@
 - 已打开实例保留 `tablist`、`tab`、`tabpanel`、方向键、Home、End 和焦点恢复语义。
   实例过多时 Tab 区单行横向滚动，“+”保持可见，不换行或改成下拉框。不可关闭实例不渲染
   关闭按钮，也不响应关闭快捷命令。
+  “+”位于滚动容器外并占用固定宽度；滚动箭头限定在剩余的页签区域内，不能覆盖添加入口。
 - 当前工作栏 Tab 必须同时使用连续内容表面、可见边框、顶部指示、图标或较高字重中的至少
   两种信号；悬停反馈不得强于当前选中态。Tab 关闭按钮保留固定布局空间，默认仅在对应 Tab 悬停或
   `focus-within` 时显示；无悬停或粗指针设备始终显示，键盘与辅助技术始终可访问。
@@ -416,13 +418,13 @@
   绘制，避免被 Modal 或滚动容器遮挡。菜单和帮助挂在触发按钮所属 Modal 内，通知跟随当前活动
   Modal，无 Modal 时挂在 `body`；不能只提高 `z-index` 或解除背景的 `inert`。
 - 原生浏览器 `WebContentsView` 不受网页 `z-index` 控制。应用级 Modal 打开时统一释放
-  浏览器 viewport；非模态对话框、菜单、局部确认或应用通知与浏览器区域相交时也释放。
+  浏览器 viewport；非模态对话框、菜单、同行帮助 tooltip、局部确认或应用通知与浏览器区域相交时也释放。
   浮层关闭后只恢复当前活动实例的 viewport，不关闭、重建或刷新网页。接线与测试见
   [浏览器多实例技术设计](./docs/features/assistant-workbar/browser-tabs-technical-design.md#4-renderer-与-viewport)。
 - 遮罩必须 `inset: 0` 铺满整窗，并由 `styles.css` 中统一的遮罩选择器声明
   `-webkit-app-region: no-drag`，否则 `.brand` 与 `.topbar` 的原生拖动区域会截获指针，
   使遮罩上的控件无法悬停和点击。新增整窗遮罩时扩展该共享选择器，不要在各自规则里复制
-  `no-drag`，也不要用 `inset: 38px 0 0` 之类的偏移绕开标题栏。
+  `no-drag`，也不要用 `inset: 38px 0 0` 之类的偏移绕开标题栏。遮罩回归按 fixed/inset 声明发现，不能只按 `backdrop` 或 `modal` 类名后缀筛选；知识引用的 `-dialog` 同样适用。
 - 当前会话存在 Task 时，Task 上下文栏位于标题栏下方并承载任务摘要与详情；没有 Task 时
   整行隐藏。折叠状态保持为 `46px` 单行表面，与右侧工作栏标签栏等高，左右分隔线必须水平
   对齐。该栏不重复放置新建入口。
@@ -505,6 +507,7 @@ Switch 用于在两个持久状态之间立即切换，例如启用能力、开
 - `footer` 使用共享操作区，按钮整体右对齐，次要取消在前、主要保存在后。放弃修改确认沿用同一操作区，继续编辑在前、危险操作在后。
 - header、滚动 body、footer 是 surface 的三个直接子区域。沿用共享 Grid 的 `auto minmax(0, 1fr) auto`，只有 body 滚动，短窗口仍可见标题、关闭和提交操作；窄窗口沿用共享外边距、内边距和主题令牌。
 - X、取消、Escape 和遮罩关闭共用业务关闭检查，不绕过未保存确认或提交锁定。确认中的 Escape 或 X 返回编辑；继续复用 `activateModalFocus`、`trapTabFocus`，保留背景隔离、初始焦点和关闭后的焦点恢复。保存失败保留草稿及可恢复错误。
+- 从已有 Modal 打开的子 Modal 同样复用 `--z-dialog` 和 `activateModalFocus`，以较后挂载的 body Portal 绘制在父层上方，并隔离父层；不能只手动聚焦或使用旧的页面层级常量。子层关闭后恢复父层的隔离状态与触发按钮焦点，Escape 不继续关闭父层。
 
 ## 7. 交互状态
 
@@ -521,6 +524,8 @@ Switch 用于在两个持久状态之间立即切换，例如启用能力、开
 
 异步提交成功后更新内容并通过统一应用通知提供明确反馈。失败时保留用户输入和筛选上下文。
 
+共享控件的状态规则须在容器组合中生效：菜单通用按钮样式不能覆盖危险按钮，普通图标悬停不能覆盖危险图标或作用于禁用按钮，页签悬停保留当前选中态。深色主题通过令牌提供控件颜色，避免用页面祖先下的通用输入规则替换控件边框。验证时读取最终 computed style；共享令牌对比度与源码规则存在性检查不能代替容器内、body Portal 和伪状态回归。修复与验证记录见[共享控件审查](docs/quality/shared-controls-review-2026-09-27.md)。
+
 ## 8. 范围与数据语义
 
 ### 8.1 页面范围
@@ -659,6 +664,7 @@ GoodBuddy 是可调整窗口大小的桌面应用。响应式设计优先保证
   全屏预览遵循统一 Modal 的背景隔离、初始焦点、Tab 循环、Escape 关闭和焦点恢复规则，
   并沿用同一套清理与 Sandbox/CSP 边界。关闭平台功能后必须显示 HTML 源码，不能隐藏内容
   或保留旧预览。
+  Tab 和 Shift+Tab 必须能进入及离开 iframe；焦点在预览内部时 Escape 仍关闭当前全屏层并返回入口。空 sandbox 与禁脚本 CSP 保持不变，跨文档键盘接线见[HTML 渲染技术设计](docs/features/conversation-html-rendering/technical-design.md#ui-与无障碍)。
 - Mermaid 大图支持缩放和拖动；图形超过画布时，四个边缘都必须能通过滚动到达，不能因居中而裁掉顶部或左侧。
   弹窗工具栏提供“导出 PNG”，保存完整图形，不受当前缩放和滚动位置影响；背景使用当前主题的画布底色。
   导出按原图四周留出 `16px`，以 2 倍分辨率绘制，任一边最多 `4096px`。导出期间禁用重复点击，失败在按钮旁提示重试。
@@ -815,6 +821,7 @@ GoodBuddy 是可调整窗口大小的桌面应用。响应式设计优先保证
   “打开智能心跳”导航，不复制创建、暂停、恢复或删除表单。
 - 保存或测试成功统一进入应用通知视口，并按全局规则自动消失，不在分类页头或内容卡片中保留持久成功文案。加载、保存和测试错误显示在分类页头下方，并保留可处理的上下文。
 - “模型连接”的认证字段按“认证方式 → API Key → 凭据状态”排列；只有选择 API Key 时显示输入框。已保存的 API Key 属于该连接，修改模型服务地址或临时选择“无需认证”不得自动清除，也不得要求重新输入；仅由明确的“清除凭据”或“删除连接”操作移除。
+- 设置中的连接列表与详情共用 `.model-connection-manager`，按容器可用宽度响应：不超过 `640px` 时上下排列，列表内部滚动高度最多 `180px`；更宽时恢复左右排列。LLM、向量连接和角色编辑复用此规则，不以整窗宽度代替表单宽度。接口协议的中英文当前值须完整可读。回归范围见[窄容器布局修复记录](docs/quality/responsive-controls-review-2026-09-27.md)。
 - “保存并测试模型”必须在保存后发送一次有界的真实模型请求。文本连接校验本次随机测试文本，图像连接校验实际返回的内联图片；仅收到成功 HTTP 状态、模型列表或健康检查响应不算测试成功。界面持续说明该操作可能产生少量服务商用量费用，成功反馈明确写为“真实生成测试通过”。
 - 所有显式保存的设置草稿都参与离开保护：关闭、切换分类、主侧栏或工作区导航及托盘导航不得静默丢弃，统一通过设置中心的就地确认提供继续编辑与明确放弃入口，保存失败后保留输入。“平台功能 / 通用设置”承载全局快捷唤起的共享 Switch、可访问 accelerator 录制输入、恢复默认、保存及注册、停用或冲突状态，不新增分类或页签；注册或持久化失败时保留上一组可用快捷键和当前草稿，保存或停用成功后同步更新输入区的快捷键提示。
 - “平台功能 / 通用设置”同时提供默认开启的“在会话中渲染 HTML”持久 Switch。说明必须