工作台与 AI 助手
工作台只保留当前操作与状态；产品能力、流程背景和使用说明集中放在文档中心。
打开与调整右侧栏
AI 助手固定在工作台最右侧。收起时保留 48px 右侧 rail，可从“AI”或“会话”入口展开；桌面端默认宽 400px，可拖动左边界或聚焦分隔线后按方向键在 360–520px 内调宽，宽度按工作区保存。展开后主工作区会让出对应空间，不覆盖表单；820px 以下使用全宽 drawer。
关闭右侧栏只隐藏界面，不会归档或删除会话。再次打开时继续当前会话；会话创建于第一次发送，不保存空白会话。
Ask、Plan 与 Agent
| 模式 | 适合什么 | 边界 |
|---|---|---|
| Ask | 解释、分析、总结当前内容 | 只回答，不改内容 |
| Plan | 拆解步骤、列风险与验收点 | 只产生计划，不执行写回 |
| Agent | 为已选择的 Brief 或母稿字段提出修改 | 只生成待确认提案；必须查看差异并二次确认 |
模式在右侧栏顶部的单一菜单中选择，也可用 ⌘/Ctrl+1–3 切换。模式按每一轮消息记录；载入旧会话时，最后一轮模式只作为下一轮的默认值，不改写历史消息。
本轮 Payload 与可信上下文
- 展开“本轮上下文”，先检查当前页面、可信工作区、内容对象、revision 和证据来源。
- 在内容制作页选择 Brief 或统一母稿，再勾选本轮允许读取的字段（最多 10 个）。
selectedFields是字段白名单；空选择不授权写入。 - 浏览器只发送会话意图、对象引用和允许字段，不发送 owner 身份、数据库记录、API Key、Cookie 或平台凭据。Web Copilot 服务端从已认证会话解析 workspace 与用户，并重新读取当前内容。
- provider 返回后，可信服务再次核对 workspace、revision、policy、source 与字段指纹；上下文已变化时请求失败，不用迟到结果覆盖新版本。
注意：页面标签用于帮助模型理解任务，不是权限。提示词不能扩大角色、字段或发布权限。
会话列表怎样管理
- 活动会话按“置顶、今天、过去 7 天、更早”分组，并显示相对时间、消息数、处理中或需要重试。
- 可搜索、重命名、置顶、归档和恢复。切换会话不会随页面自动换会话；运行中的回复仍写回发起它的会话，不会抢走当前焦点。
- 归档把会话移出活动列表，可恢复；删除需要二次确认。当前 Web 删除是软删除，记录与审计事件保留，不等同于物理擦除。
- 列表只加载 metadata，打开某个会话时再按需加载 transcript。默认最多保留 200 个会话、每个会话 200 条消息，单条消息与请求还受 1MiB 和 prompt budget 限制。
provider 超时或失败时，该会话显示“需要重试”；刷新后仍显示“需要重试”，但不会自动重发最后一条用户消息。修复配置或网络后，需要由用户明确发送新一轮。已完成的同一 request ID 会恢复已持久化回复，不会重复生成。
提案怎样进入当前会话
- 在 Agent 模式选择一个已保存的 Brief 或 Canonical，并只勾选本轮允许读取和建议修改的字段。
- 模型返回结构化结果后，服务端重新核对字段、entity、revision、policy、source 和会话消息，再把请求、回复与不可变提案原子保存。右侧栏先收到不含正文和 patch 的安全摘要。
- 刷新或重新打开会话时，“本会话提案”待确认区会恢复待确认、已接受、已拒绝或已失效状态；列表只读 metadata，不批量下载正文。
- 点击“查看差异”才按 proposal ID 加载单条提案与当前 revision 的逐字段 before/after。若内容、策略或有效期已经变化，差异显示为 stale，不能接受。
- 点击“接受并生成新 revision”只展开确认区，不写数据库。阅读目标、原 revision、字段数量和重新审核提示后，再点击“确认生成新 revision”才提交；网络请求必须显式携带 proposal ID、expected revision 与
confirmed:true。 - 也可以明确拒绝提案。接受或拒绝是服务端终态；同一决定可安全重放，不同决定返回冲突，浏览器不能自行把提案标成成功。
提案、角色与人工确认
Web 可信服务当前只允许 brief.proposePatch 与 canonical.proposeSectionPatch 写回对应实体；工具、entity、revision 和 selectedFields 必须完全一致。服务端生成 proposal ID，并将原提案与决定分开、不可变地保存。过期、跨会话、跨 owner/workspace、锁定、来源变化、策略变化或 revision 漂移都会 fail closed。
接受提案会在同一事务中创建新的 Brief/Canonical revision、记录 accept 与 review-required 审计；任何一步失败都会整体回滚。编辑器只根据服务端返回的 receipt 重新读取新 revision，不直接套用浏览器内的旧 patch。接受不会生成 ReviewReport、人工 approval、排期或发布；旧 revision 的审核不能覆盖新版本。
owner 与 editor 可在所属工作区创建会话和决定提案；viewer 只能读取自己的会话、提案与差异，不能发送、接受、拒绝或修改会话。AI provider 未配置、超时或响应不合法时显示明确错误；测试 transport 只用于隔离验收，不能当作公网 live 模型成功。
安全边界：“待确认”“已接受”都不是“已审核”或“已发布”。真实发布仍需当前 revision 的规则审核、人工批准、平台能力授权和逐次确认，默认保持 dry-run。
三端 AI 封面图
Web、Windows 和 macOS 使用同一“AI 生成封面图”入口与图像合同，提交都是后台任务：按钮按下只把请求交出去，出图与存图在后台完成，界面立刻回到可操作状态，离开本页不会打断。网页版由服务端作业表跑完并存入当前 SSOS 工作区，桌面版由本机主进程跑完并写入本机 SQLite；Renderer 只读状态，不读取 API key、本地路径或上游响应。排队位置、批量候选、取消与重试的完整说明见 素材管理与 AI 封面图。正文信息卡继续使用确定性模板，避免模型在数字和中文排版上产生不可审计的内容。 三端版本通过 rendererCommit 对齐；桌面端目前保存到本机 SQLite，Web 保存到当前 SSOS 工作区，内容数据不会因为安装同一版本而自动跨设备合并。
图像 provider 未配置、上游失败或响应无法解码时，任务保持失败状态并给出固定错误码与中文说明（例如“生成请求被拒绝 · PROVIDER_REJECTED”），桌面版缺凭据时显示“上游不可用”，fail-closed 且不生成示例图；提交被挡住时按具体原因逐条说明，不会笼统报错。生成素材仍需当前 revision 的权利、AIGC 标记和审核检查；按钮成功不等于已审核或已发布。
工作台信息层级
- 页面标题、按钮、表单、列表和实时状态直接显示在工作台。
- 能力介绍、流程解释和规则背景在文档中心查看。
- 错误、加载、权限和安全门提示属于当前操作状态，会继续显示。