feat: pin conversations and float their action menus

Persist conversation pins across restarts and show pinned conversations first, including older history. Anchor action menus above the list without shifting neighboring rows, with keyboard dismissal and sidebar-close cleanup.

Add schema 36 migration, focused regression coverage, and feature documentation. File-level staging also includes existing workbar styles and browser contract adjustments in shared files.

Validation: 145 backend tests and 237 App tests passed; typecheck and lint passed. Full test run timed out with Runtime and Agent package failures; native Electron visual validation remains pending.

Release note: 会话菜单新增置顶和取消置顶，重启后仍保留；操作菜单现在悬浮显示，不再挤动下方会话。

docs/features/application-tool-navigation/technical-design.md

@@ -425,9 +425,10 @@ resourceMonitor.getLocalSnapshot(input: {
 - `AssistantDatabase.listTasks()` 保留最近历史窗口（默认 100 条），额外包含窗口外当前
   运行或等待处理的可见 Task；`activeVisibleTaskSelect` 与 `toTask` 的有效状态保持一致，
   待调度运行规范化为 `queued`，不因旧 Task 状态被误纳入实时集合。
-- `listConversations()` 保留最近 100 条活动会话，同时包含上述 Task 关联的较早活动会话，
-  以及含 `streaming` 消息的较早活动会话。两类列表去重后仍按原时间顺序返回，结果允许超过
-  历史窗口大小，避免后台工作被最近记录挤出。
+- `listConversations()` 的范围与排序遵守
+  [会话列表读取与前端保留](../assistant-workbar/execution-history-storage.md#会话列表读取与前端保留)，
+  包含上述 Task 关联及含 `streaming` 消息的较早活动会话，避免后台工作被最近记录挤出。
+  `listTasks()` 仍按原时间顺序返回；列表结果允许超过历史窗口大小。
 - `openActivityConversation` 按确切 Conversation ID 导航；内存中缺失时刷新持久化会话
   列表并合并，再查找同一 ID。刷新失败或会话已不存在时显示通知，不回退到项目最新会话。
   设置离开检查通过后才提交项目、会话及界面清理状态。

docs/features/application-tool-navigation/ui-design.md

@@ -199,6 +199,24 @@ CPU 4% · 内存 620 MB · 桌面进程 7
 - 工具提示不得超出窗口；靠近底边时显示在按钮上方。
 - 粗指针设备不依赖悬停，按钮的可访问名称和选中反馈保持有效。
 
+### 会话置顶与操作菜单
+
+会话行的“更多会话操作”提供“置顶会话／取消置顶”，本地与消息通道会话均可使用。
+置顶会话显示带“已置顶”可访问名称的图标；当前项目和搜索过滤仍生效，过滤后的列表先显示
+置顶会话，两组内各按更新时间倒序。取消置顶恢复时间排序，不改变会话更新时间。
+置顶状态重启后保留；保存成功后更新图标和顺序，失败保留原状态并显示应用错误通知。
+存储尚未就绪或置顶请求进行中时禁用置顶操作。
+
+操作菜单通过 body Portal 浮在会话列表上方，不撑开会话行。菜单锚定更多按钮，默认位于
+按钮下方，随滚动、窗口及菜单尺寸变化重新定位，距窗口边缘至少 `8px`；空间不足时限制
+宽高并允许菜单内部滚动。使用共享表面色、边框、圆角与浮层阴影。
+
+入口提供 `aria-haspopup="menu"`、展开状态和控制关系；菜单使用 `menu`／`menuitem`。
+打开后聚焦首个可用按钮，上下方向键循环移动，Home／End 到首尾；Escape 关闭并返回
+触发按钮，点击外部或焦点离开时关闭。本地会话继续提供分支、重命名和删除确认，复制与
+导出也适用于消息通道会话。持久化与刷新规则见
+[会话置顶存储](../assistant-workbar/execution-history-storage.md#会话置顶)。
+
 ## 9. 未来插件入口
 
 插件市场交付后另行定义插件区域、固定数量、溢出和权限界面。系统入口与四个系统工具的位置

docs/features/assistant-workbar/README.md

@@ -10,7 +10,7 @@
 | [多终端页签 PRD](./terminal-tabs-prd.md) | 工作栏应用的固定、可关闭、单实例和多实例策略，以及多终端生命周期 |
 | [浏览器多实例技术设计](./browser-tabs-technical-design.md) | 浏览器 Tab 身份、Conversation 绑定、IPC、BrowserService 和 MCP 路由 |
 | [实现与验证进度](./progress.md) | 工作区与 Runtime 相关改动的实现事实、验证证据与剩余阻塞 |
-| [执行记录存储与升级回收](./execution-history-storage.md) | 子任务差量存储、远程去重、旧库转换、会话摘要与完整历史按需读取、内存引用释放 |
+| [执行记录存储与升级回收](./execution-history-storage.md) | 子任务差量存储、远程去重、旧库转换、会话置顶、摘要与完整历史按需读取、内存引用释放 |
 | [Runtime 交互边界](./runtime-interactions.md) | 原生权限、结构化问答、后台拒绝、终端交互、并行与输出、消息请求状态及资源生命周期规则 |
 | [Runtime 进程复用技术设计](./runtime-process-reuse-technical-design.md) | 跨 Runtime 资源调研、锁定协议证据、进程与会话拆分、远端模型桥、实施顺序和性能验收 |
 | [Runtime 执行清单技术设计](./runtime-checklist-technical-design.md) | OC/CN 原生清单提取、远程 Agent 传递复用、消息恢复与真实部署验收；尚未实现 |

docs/features/assistant-workbar/execution-history-storage.md

@@ -39,11 +39,11 @@
 本次读取优化不修改 schema、迁移或用户数据：
 
 - Renderer 启动及焦点、会话、队列刷新使用 `conversations.listSummaries(detailIds)`。
-  普通未打开会话只返回标题、项目、上下文设置和消息数量／首条角色，不解析或跨 IPC
+  普通未打开会话只返回标题、项目、置顶状态、上下文设置和消息数量／首条角色，不解析或跨 IPC
   传输正文、工具、子任务及图片操作元数据。
 - 当前会话、现有 KeepAlive 视图，以及 Main 仍持有请求、数据库中仍有活动 Task 或
-  streaming 消息的会话返回完整消息。保留既有最近 100 条加较早活动会话的列表规则，
-  请求中的已缓存会话即使更早也仍能刷新。
+  streaming 消息的会话返回完整消息。列表包含最近 100 条、较早活动会话、请求中的已缓存
+  会话及全部置顶会话，按置顶优先、组内更新时间倒序返回；仅置顶不会加载完整历史。
 - 打开历史通过 `conversations.get(id)` 读取全部消息，不使用会截断历史的分页上限。
   加载时明确显示进度；失败保留会话与输入，提供原地重试。发送、队列派发和压缩上下文
   必须先确认完整历史；复制与导出临时读取完整内容，不把未打开会话留入视图缓存。
@@ -65,6 +65,20 @@
 此优化不等于工具折叠内容的延迟渲染，也不保证操作系统立即归还全部 Private Commit。
 实际测量与适用边界见[实现与验证进度](./progress.md)。
 
+## 会话置顶
+
+界面行为见[会话置顶与操作菜单](../application-tool-navigation/ui-design.md#会话置顶与操作菜单)。
+`conversations.pinned` 是桌面数据库维护的会话属性，本地和消息通道会话共用，默认未置顶。
+完整快照与摘要均返回 `pinned`，旧快照缺省按未置顶处理。写入只通过
+`conversations.setPinned({ conversationId, pinned })`，经 Preload、可信发送方校验和严格
+Schema 校验后更新活动会话，再发布会话变更通知；不存在的会话报错。该写入不修改时间戳、
+消息或其他会话字段，普通自动保存 header 排除 `pinned`，不会覆盖置顶状态。
+
+尚未落库的本地草稿先等待保存队列并保存，再设置置顶；消息通道会话直接调用专用接口。
+Renderer 合并时独立接收 Main 的置顶属性，即使本地正文更新时间更晚也不忽略它。
+请求修订号和进行中标记防止较早发出的列表／详情响应覆盖刚更新的置顶状态。
+此属性不修改 Runtime 或远端 Agent 协议。
+
 ## 旧库升级
 
 桌面在打开业务数据库之前启动独立 Node 工作线程，使用同一套编码和还原函数转换旧库。
@@ -77,8 +91,10 @@
 不建立额外的恢复状态表。最后运行 SQLite `VACUUM` 回收已释放的空间，而非
 在转换前复制整份膨胀内容。回收仍需要额外可用磁盘空间，失败保留已提交转换并允许重试。
 
-当前源码的业务初始化随后将数据库升级为 schema 35；schema 34 用户也会执行本次整理，
-成功后后续启动直接跳过。继续复用 schema 34 的子任务事件部分索引和同一差量表示。
+子任务整理对应 schema 35；schema 34 用户也会执行该整理，成功后后续启动直接跳过。
+继续复用 schema 34 的子任务事件部分索引和同一差量表示。当前业务初始化随后在事务中
+升级为 schema 36，新增 `pinned INTEGER NOT NULL DEFAULT 0 CHECK(pinned IN (0, 1))`，
+已有会话默认未置顶，保留原消息与时间戳；失败回滚本次字段迁移。
 低于该 schema 的旧版客户端不能重新打开已经升级的数据库。需要回退客户端时，必须使用
 升级前备份，不要修改 `user_version` 强行绕过版本检查。