Web 工作台
AgentHub Web 是 Hub 驱动的协作界面。团队可以在这里查看项目、共享会话、运行历史、审查状态和集成入口创建的任务，但浏览器不会直接访问开发者的本机文件系统或本地 CLI 进程。
当前状态
Web 工作台是活跃开发面。它可以按 Hub-backed 产品概念做本地预览；完整的生产级 Web + Hub + Edge 路由、数据库驱动的工作台界面和远程执行证据仍在开发中。
何时使用 Web
当工作流需要的是团队可见性，而不是直接的本地执行时，选择 AgentHub Web：
| 场景 | Web 负责 | Desktop / Edge 负责 |
|---|---|---|
| 团队审查 | 共享会话、审查状态、审计轨迹 | 本地文件预览和本地 diff 审批 |
| 项目概览 | 项目上下文、任务、Agent、设备、运行历史 | 工作区白名单和 runtime 进程控制 |
| IM 创建任务 | 从飞书/Lark 或自动化创建 Hub 任务 | Hub 授权后的 runtime 执行 |
| 远程目标规划 | 目标选择、授权状态、降级状态 | 通过已批准 Edge 访问实际工作区 |
Web 不应静默启动本地 CLI、读取本地文件，或绕过 Hub 授权直连 Local Edge。本地执行属于 Desktop + Edge。
界面模型
完整的 Web 工作台应组织以下界面，而不是退化成通用聊天页：
| 界面 | 目的 | 当前公开口径 |
|---|---|---|
| 项目列表 | 团队工作入口 | 进行中 |
| 项目详情 | 上下文、文件、运行、Agent、任务、成员 | 进行中 |
| 共享会话 | 会话记录、已选 Agent、目标、事件、审批 | 进行中 |
| 审查视图 | diff、产物、评论、批准/驳回操作 | 进行中 |
| 目标/设备视图 | 在线状态、授权、最近在线、能力 | 开发中 |
| 审计/状态视图 | 产品事件、降级状态、失败原因 | 进行中 |
公开站点可以描述目标形态，但在截图、路由证据、Hub API 证据和 Edge 路由证据齐全前，不应把数据库驱动的 Web 工作台写成生产可用。
Hub 契约
Web 与 Hub 通信。Hub 管理身份、产品会话、项目成员、设备路由、任务创建、共享状态和审计。
一个最小可用的 Hub-backed Web 会话包括：
- TokenDance ID subject 和 AgentHub 产品会话。
- 项目 ID、角色和成员状态。
- 任务或运行 ID。
- 已选 Agent Profile 和目标 Edge。
- 会话事件和运行生命周期事件。
- 产物、diff、审批、失败的审查状态。
- 谁请求、批准、拒绝、取消或升级任务的审计事件。
只有 Hub 授权目标、且 Edge 发出安全事件后，Web 才能渲染本地执行状态。
本地文件边界
Web 最重要的规则很简单：Web 不拥有本地文件系统。
| 请求 | 正确行为 |
|---|---|
| 用户要求 Web 检查本地文件 | 创建 Hub 任务，并路由到已授权 Edge 目标 |
| 用户打开 Edge 生成的 diff | 渲染归一化的产物或 diff 数据，不渲染任意本地路径 |
| 用户点击批准 | 携带审计上下文发送 Hub/Edge 审批操作 |
| 用户要求执行终端命令 | 需要明确策略，并通过 Edge 审批路由 |
| Edge 离线 | 显示不可用或降级状态，不伪装成功 |
公开截图应避免私有绝对路径、密钥、provider key、内部主机名和真实用户数据。
交互状态
Web 应暴露稳定、桌面端和移动端都可读的产品状态：
| 状态 | 含义 | UI 预期 |
|---|---|---|
| Empty | 未选择项目或运行 | 紧凑提示选择或创建任务 |
| Ready | Hub 会话和项目上下文已加载 | 主操作清楚，目标状态可见 |
| Running | Edge 已接受运行并流式输出事件 | 事件流、进度、取消入口 |
| Needs approval | Edge 等待用户或审查者决策 | diff/产物可见，决策控件清楚 |
| Completed | 运行已完成并生成结果与产物 | 摘要、产物、下一步 |
| Failed | runtime、策略、schema、鉴权或网络失败 | 稳定错误码和恢复路径 |
| Degraded | 目标、Hub 或集成部分不可用 | 如实显示状态，不用隐藏重试改变含义 |
避免跳动布局、厚重 hover 阴影、旧紫色强调、纯黑页脚和浏览器默认蓝色 focus outline 出现在产品 mock 里。真实控件仍要有可访问的 focus 状态，但纯展示 mock 的装饰按钮不应看起来像被 DOM 选中。
审查流程
Web 审查流程应让决策链条可见：
- 用户、集成入口或自动化创建 Hub 任务。
- Hub 解析项目成员、产品授权、Agent Profile 和目标策略。
- Edge 只在授权和工作区策略通过后启动 runtime。
- Edge 流式输出归一化事件和候选产物。
- Web 渲染会话、产物、diff 和审批状态。
- 审查者批准、驳回、评论、升级或取消。
- Hub 记录审计事件，并暴露最终状态。
如果没有任务创建、事件流、diff/产物渲染、审批操作、最终状态和审计轨迹证据，不要把 Web 审查写成已完成。
设计要求
Web 应延续 AgentHub Desktop 和公开官网的产品方向：
- 浅色优先的 TokenDance Blue 界面。
- 紧凑但可读的工具布局。
- 小圆角和克制的玻璃质感。
- 常见操作优先使用图标控件。
- 工具面板内不放营销式卡片。
- 表格和面板在移动端不溢出。
- zh/en 文案描述同一能力和状态。
- 动效服务于连续性，不在 hydration 后改变布局。
证据清单
把 Web 文案从“进行中”升级为更强的断言前，需要留下：
| 证据 | 证明什么 |
|---|---|
| 路由截图 | 项目/会话/审查路由在桌面端和移动端正常渲染 |
| Hub API trace | Web 通过产品会话边界读取 Hub 状态 |
| Edge 路由 trace | 目标选择和 Edge 事件经过 Hub 授权 |
| 产物/diff 截图 | 审查界面可见且不暴露私有路径 |
| 审批审计 | 批准/驳回/取消操作产生记录事件 |
| 失败截图 | 离线目标、未授权目标、runtime 不可用、超时都可读 |