# 云工作台内部使用说明

本页面说明当前 Cloud Workbench 的前端区域与状态含义。默认 `/` 仍进入工作台；本说明只通过工作台内部的 `#help` 入口打开，不作为默认页。

## 左侧资源与功能导航

- 活动栏使用完整中文标签：`工作台` 回到默认工作台，`内部复核` 打开 Gate / 诊断 / 验收二级页面，`使用说明` 打开本说明，`资源树` 展开或收起资源树。
- 左侧不再放独立的可信记录跳转；可信记录保留在右侧子面板。
- 资源树只展示当前项目、Gateway-SIMU、BOX-SIMU、`hwlab-patch-panel`、Agent manager / worker 等用户可理解资源，不把 M0-M5 Gate 状态放在默认首屏。
- 常用能力区提供任务草稿、资源查看与接线核对入口。`LOCAL` 只表示浏览器本地草稿，不等同于 DEV-LIVE。

## 中间 Agent 对话与工作清单

- Agent 对话区显示用户工作台范围、建议起步方式和可查看内容，不展示 Gate、诊断、验收、BLOCKED 或 M0-M5 执行轨迹。
- 工作清单区提供描述目标、核对接线、留存记录三类用户动作。
- 底部输入栏只把文字保存为浏览器本地草稿，不调用硬件写 API，不提交 patch-panel 变更，也不写入审计或证据记录。

## 右侧硬件与状态面板

- BOX-SIMU / Gateway-SIMU / Patch Panel 卡片展示只读计数、source fallback 与硬件写入边界。
- 接线：`hwlab-patch-panel` 面板使用表格展示源设备、源端口、接线盘、目标设备、目标端口、状态、证据来源和 trace/evidence。
- M3 虚拟硬件可信闭环的上位约束是：`res_boxsimu_1:DO1 -> hwlab-patch-panel -> res_boxsimu_2:DI1`。只有观察到这条完整链路并带有可信记录时，才可作为 M3 DEV-LIVE 依据。
- Web 前端不会新增 `hardware.*` 写 RPC、patch-panel 写接口、audit 写接口或 evidence 写接口。

## 右侧工作面板

- 控制：显示本地草稿和只读能力边界。这里的控制项保持禁用或本地记录状态。
- 接线：解释 `hwlab-patch-panel` 当前 source wiring，帮助确认 DO1 到 DI1 的可信闭环路径是否仍由 patch-panel 拥有。
- 可信记录：合并 source fixture 与只读 `evidence.record.query` 结果。source、fixture、LOCAL、DRY-RUN 记录不能升级成 DEV-LIVE。
- 技术复核：Gate、诊断、验收、BLOCKED 和 M0-M5 执行轨迹只在活动栏 `内部复核` 打开的二级页面展示，不替代默认工作台。

## 内部复核页

- Gate / 诊断 / 验收：从活动栏 `内部复核` 进入，作为验收复核二级页面保留。
- 解阻路径：先完成 DB live readiness，让 same-origin `/health/live` 能证明 db.ready=true、db.connected=true；再通过 `hwlab-patch-panel` 建立 `res_boxsimu_1:DO1 -> hwlab-patch-panel -> res_boxsimu_2:DI1`，并附带可信 trace/evidence。
- 诊断探测只检查 same-origin `/health/live`、same-origin `/v1` 与只读 `/json-rpc` 方法。允许的方法包括 `system.health`、`cloud.adapter.describe`、`audit.event.query`、`evidence.record.query`。

## 来源标签含义

- `SOURCE`：来自仓库内 source report、静态配置或已签入摘要，用于解释当前界面。
- `LOCAL`：只存在于当前浏览器会话的本地输入或草稿。
- `DRY-RUN`：演练或 fixture 证据，不能声称真实硬件闭环已经通过。
- `DEV-LIVE`：必须来自同源只读探测或可信记录，并且满足 DB readiness、阻塞清零与 M3 闭环证据要求。
- `BLOCKED`：表示当前前置条件未满足、探测失败、证据不足或不能把 SOURCE / LOCAL / DRY-RUN / fixture 升级为 DEV-LIVE。

## 端口与只读边界

- 前端入口保持 `:16666`，API / edge 入口保持 `:16667`。
- 浏览器内 API 访问保持 same-origin `/v1`、只读 `/json-rpc` 与 `/health/live`。
- 旧公网 `:6666` / `:6667` 不是当前前端验收口径；内部 k3s 服务端口说明不改变浏览器入口。