tyx_AI_xhs/UIDesign.md

Dada UI Design

文档项	内容
文档版本	1.0
产品范围	P0-A Windows 单机版
设计状态	低保真交互与界面规范
主要画布	Windows 当前稳定版 Chrome / Edge，1920 × 1080 优先验收
产品需求权威	PRD.md v1.10
功能与状态导航	FeatureSummary.md 1.1
工程与接口约束	DevelopmentPlan.md 1.1
本阶段产出	页面、布局、组件、状态、文案、焦点顺序和可访问性规范
本阶段不产出	高保真视觉稿、前端代码、移动端、P0-B、部署人员 CLI

输入文件冻结校验：

文件	SHA-256
PRD.md	31F93674DF1A90B557FEE3AA9E74FB084E246CA8FE09F6BD4B1DC9D56D606565
FeatureSummary.md	6F80E272AAB08A5525B54501D83F16A4F6A7A170596947BBC25F1DA54F2FE844
DevelopmentPlan.md	7C579E9DF8D00DA9333F587D05FC966123437EE68575D87D73C903C1487FA9D6

文档使用规则

本稿只解释上游需求如何落到界面，不创建新的产品角色、状态、接口或错误动作。出现冲突时，PRD.md 是唯一产品需求权威；FeatureSummary.md 只用于导航；DevelopmentPlan.md 只约束已冻结的工程、接口和状态实现。

设计交付遵循以下边界：

• UI 可以决定布局、视觉、图标、控件、焦点顺序、提示层级和未被冻结的具体中文文案。
• UI 不得改变产品状态机、权限、错误动作、验收条件、API 语义、固定提示或数据范围。
• 后端返回的稳定 message_key 决定错误语义；前端只把它映射到本稿规定的标题、说明和允许动作，不用字符串猜测错误。
• 前端不得把已配置默认模型、运行时推荐模型和用户当前选择合并为一个状态。
• 页面展示不得暴露密钥、完整本机路径、私有正文、私有图片内容或不必要的个人信息。
• 本稿中的“卡片”仅用于重复项目、素材缩略项和弹层内的独立对象；页面区段本身不做层层嵌套卡片。

设计目标

Dada 是面向小规模内测创作者的本机图像创作工具。普通创作体验应直接、醒目、有作品感；后台和编辑器应安静、紧凑、可扫描。视觉表达不能掩盖本机数据风险、费用、模型状态和保存状态。

界面遵循六项原则：

• 先给状态，再给动作：生成、保存、容量、服务和冲突状态必须在动作附近可见。
• 视觉有识别度，操作不过度装饰：艺术表达集中在登录、注册和无项目工作台顶部。
• 危险动作明确且可逆时优先可逆：移入回收站与永久删除分离；不可逆操作使用对象名确认。
• 不暗换用户选择：模型失效、版本冲突和未提交导出都要求用户明确确认。
• 本机边界持续可见：固定本机数据提示不是首次启动提示，不可被永久关闭。
• 同一语义同一组件：相同状态、message_key 和错误动作在普通端、后台与辅助界面中保持一致。

视觉方向

主视觉

整体使用荧光黄、黑、白、冷灰的高对比系统。荧光黄用于主要动作、当前选择和有限的品牌面积；黑色用于标题、正文和关键轮廓；白与冷灰承担大面积操作背景。错误、成功和信息状态使用独立红、绿、蓝，不依赖黄色表达所有含义。

视觉特征：

• 方角模块、硬边分隔、粗体中文标题、细密数据行。
• 不使用大面积圆角、渐变、光斑、漂浮装饰球或卡片堆叠。
• 控件圆角最多 4 px；大区段保持直角。
• 页面级主标题不超过 28 px；高密度面板标题使用 16 至 20 px。
• 数字、括号和机能符号只在艺术带中少量出现，不作为导航编号。
• 所有动态信息预留稳定宽度，状态切换不推挤相邻控件。

原创机能风艺术带

艺术带只用于：

• 普通用户登录与注册页顶部。
• 普通用户首次进入且没有任何项目的工作台顶部。

艺术带不用于：

• 已有项目的工作台。
• 项目列表、项目详情、编辑器。
• super_admin 登录与后台。
• 浏览器阻断与启动失败等系统错误页。

后续高保真阶段制作原创位图，不复制参考图中的文字、标志或具体构图。视觉由巨大 DADA 字形、银灰材质碎片、细技术线、少量荧光黄切片和低密度标记组成。艺术带不得遮住页面 H1、表单、错误提示或主动作。

建议规格：

• 桌面横幅比例约 3.4:1，高度 180 至 240 px。
• 内容安全区左右各 48 px；主字形与装饰均不得越过安全区覆盖操作内容。
• 静态图为默认方案；如后续加入轻微位移，必须响应减少动态效果设置，并提供完全静态替代。
• 图片加载失败时显示白底、DADA 黑色字标和一条荧光黄分隔，不影响表单和导航。

设计令牌

颜色

令牌	色值	用途
Brand Yellow	#F2F400	主按钮、当前标签、关键品牌面
Ink	#111111	主标题、正文、主轮廓
Paper	#FFFFFF	页面与画布操作区
Cool Gray 050	#F7F7F5	次级背景、表格隔行
Cool Gray 100	#E8E8E5	分区、禁用背景
Cool Gray 300	#B9B9B3	边框、占位
Cool Gray 600	#62625D	次要文字
Danger	#C92A24	错误、破坏性动作
Success	#16794B	已保存、恢复、完成
Info	#1769AA	加载、排队、信息提示
Focus	#005FCC	键盘焦点环

使用约束：

• Brand Yellow 上只用 Ink，不用白字。
• Danger、Success、Info 不能只靠颜色表达，必须同时出现图标和文字。
• 页面正文与背景达到 WCAG AA；大号艺术字不承载唯一业务信息。
• 禁用态保持文字可读，不通过降低到近乎不可见的透明度表达。

排版

层级	字体	字号 / 行高	字重
页面标题	Microsoft YaHei UI, Segoe UI, sans-serif	28 / 40 px	700
区段标题	同上	20 / 28 px	700
面板标题	同上	16 / 24 px	700
正文与控件	同上	14 / 22 px	400 或 600
表格与辅助信息	同上	12 / 18 px	400
艺术带字形	系统粗黑或后续位图	72 至 96 px	800

字间距固定为 0，不随视口宽度缩放字号。金额、点数、日期和版本号使用 Segoe UI 的等宽数字特性；不引入产品包之外的远程字体。

间距与尺寸

• 基础间距：4、8、12、16、24、32、48 px。
• 顶部导航高 56 px；严重状态条最小高 36 px；固定本机提示条最小高 32 px。
• 普通按钮高 36 px；主要按钮高 40 px；图标按钮为 36 × 36 px。
• 表格行高 44 px；密集审计表格可用 40 px。
• 表单输入最小高 40 px；多行提示词输入最小高 120 px。
• 页面最大内容宽 1440 px；后台数据区可使用可用宽度，不用居中窄栏。
• 弹层宽度分为 480、640、800 px；不超过可用视口高度，正文区域内部滚动，标题和动作固定。

图标

实现阶段优先使用项目采用的 Lucide 图标。熟悉的工具只显示图标并提供 tooltip 和无障碍名称；业务命令使用图标加文字。

动作	图标
返回	ArrowLeft
撤销 / 重做	Undo2 / Redo2
保存	Save
下载 / 导出	Download
删除	Trash2
恢复	RotateCcw
当前任务	LoaderCircle 或 CircleCheck
状态警告	TriangleAlert
冲突	GitCompareArrows
查看详情	Eye
审计访问	ShieldCheck
诊断	Stethoscope
外部引导	ExternalLink

不手绘通用图标。加载图标旋转但不改变按钮宽度；减少动态效果时改为静态图标加“处理中”文本。

全局组件

按钮

• 主要按钮：荧光黄底、黑字，用于页面唯一主动作。
• 次要按钮：白底、黑色 1 px 边框，用于返回、取消、筛选。
• 文字按钮：无边框，用于表格内轻量动作。
• 危险按钮：红色边框或红底，只有最终确认使用实心红底。
• 图标按钮：固定 36 × 36 px；必须有 tooltip 和 aria-label。
• 处理中保持原宽，显示 spinner 与动词进行时，禁止重复提交。

输入与选择

• 输入框标签始终在控件上方；必填标记和错误说明不占用 placeholder。
• 邮箱与验证码使用原生可识别的 input 类型和自动完成语义。
• 模型、比例、格式等有限选项使用菜单或分段控件，不使用自由文本。
• 二元设置使用复选框或开关；危险设置不使用仅图标开关。
• 数字范围使用输入加步进器；JPG 质量使用滑杆与数值输入同步。
• 字段错误紧邻字段，页面级错误位于标题下方；二者可同时存在。

标签与状态徽标

状态徽标为方角短标签，固定最小宽，不使用只有颜色的圆点。状态词与后端状态一一映射，不用“差不多完成”等模糊措辞。

通知

类型	位置	行为
字段错误	字段下方	聚焦后仍保留，字段修正并重新校验后消失
页面错误	页面标题下	持续到重试成功或离开页面
场景状态条	受影响区段上方	服务恢复或场景退出后消失
全局容量条	普通端导航下 / 后台内容顶部	critical、full、unavailable 持续显示
Toast	右上角	仅用于低风险完成反馈，不承载唯一错误
冲突遮罩	编辑区或配置区	阻断写操作，保留规定的读取、导出或刷新动作

表格

• 表头固定，第一列可在横向滚动时固定。
• 支持筛选的列在表头提供明确按钮，不把筛选藏在列名点击中。
• 行动作统一放在最右侧“更多”菜单；高频唯一动作可直接显示。
• 空表格保留表头和筛选器，正文显示空状态与下一步动作。
• 加载时显示稳定行高骨架；失败时不清空上一次已成功数据，并标注其更新时间。

弹层

• 打开后焦点进入标题后的第一个可操作控件。
• 焦点限制在弹层内；Esc 仅关闭非破坏性弹层。
• 关闭后焦点返回触发按钮。
• 破坏性确认显示对象名、影响范围和不可恢复后果。
• 后端请求期间禁用关闭与重复提交；请求失败后恢复控件，保留用户输入。

全局状态语言

加载、空、失败和禁用

状态	视觉	默认动作
正常	完整内容与可用主动作	执行当前流程
空	明确空原因、一个主动作、可选次动作	创建、上传或清除筛选
加载	稳定尺寸骨架或行内进度	允许取消时显示取消
失败	红色标题、可理解说明、稳定 message_key 映射	重试、返回或诊断
禁用	控件保持可读，旁边说明前置条件	前往满足条件的入口
冲突	对象版本与最新状态并列	按产品规则刷新、重试或仅导出
容量限制	全局或场景状态条加受影响动作说明	清理、下载或重试计量

容量状态

LocalBackendStorageState 的状态与动作必须来自后端；前端不自行用浏览器剩余空间估算。

状态	全局表达	生图 / 参考图 / 成品保存	上传贴纸 / 生成缩略图	JSON 项目编辑	已有内容查看 / 下载 / 删除
normal，低于 80%	不显示全局条	允许	允许	允许	允许
warning，达到 80%	受影响场景显示黄色提示	允许	允许	允许	允许
critical，达到 90%	持续紧凑状态条	允许，但提交前再次显示预计占用	允许，但上传前再次确认	允许	允许
full，已达到 5 GB，或预计本次写入后超过上限	持续红色状态条	阻断新增受管二进制写入与 AI 调用；客户端只下载按上游规则保留	阻断	允许可提交的 JSON 编辑	允许
unavailable，不可写或系统磁盘满	持续红色状态条	阻断新增写入与 AI 调用；已有文件可下载	阻断	后端写入失败，页面进入 failed	允许查看、下载和删除入口

预计本次写入后恰好等于 5 GB 时，允许本次容量预留和写入继续；写入提交后 storage_status 进入 full，并阻断后续新增受管二进制写入与 AI 调用。

容量提示中显示已用量、5 GB 上限、最后计量时间和“管理存储”入口。前端不得在清理排队时预先减少已用量；只有物理清理完成并重新计量后更新。

服务异常

• Worker degraded：生成表单和当前任务入口显示；不影响项目查看、编辑已有 JSON 和本地可完成的导出。
• 无运行时可用模型：生成区持续显示，生成按钮禁用；不改写用户模型配置显示。
• Resend 异常：只在登录、注册和后台服务页显示。
• 高德异常：只在使用 DYN004 定位能力的素材场景和后台服务页显示。
• AI 网关余额或可用性异常：在模型选择、生成提交、当前任务和后台服务页显示。
• LocalDataRoot 容量异常：按上表全局表达。
• 普通用户错误不显示密钥、绝对路径、原始上游响应或私有正文。

页面与入口地图

访问前门禁

浏览器访问 localhost 后首先进入支持检查。门禁通过后才可加载普通端或后台产品界面；失败只进入浏览器不受支持引导页。

普通用户

普通用户顶部导航：

• 创作
• 项目
• 点数
• 设置

右侧固定区域：

• 当前生成任务入口：只要存在 queued 或 running 任务就持续显示。
• 点数余额。
• 账号菜单。

导航下方按需显示严重容量状态条。页面底部或固定底栏持续显示：

测试数据仅保存在本机，不自动备份，也不会迁移到正式系统。

普通用户页面：

• 登录 / 注册
• 创作工作台
• 当前生成任务
• 项目列表与回收站
• 项目详情
• 编辑器
• 导出
• 点数明细
• 设置与账号注销

内部预览账号沿用普通用户全部页面，只在授权素材批次内多看到允许的 internal_preview 或 passed 内容。它不是新角色，不出现后台入口。

super_admin

super_admin 使用独立登录和独立会话。后台左侧导航：

• 总览
• 用户
• 邀请码
• 模型
• 素材
• 内部预览
• 生成记录
• 服务与存储
• 审计

super_admin 不显示普通创作导航、创作工作台、项目或编辑器入口。

辅助系统界面

Windows 托盘和 Supervisor 提供：

• 打开 Dada
• 查看运行状态
• 打开诊断
• 退出 Dada

部署人员 CLI 不属于本稿。

权限矩阵

能力	未登录访问者	普通用户	内部预览账号	super_admin	辅助系统
浏览器不受支持引导	可见	门禁前可见	门禁前可见	门禁前可见	可打开支持页
登录 / 注册	可见	已登录后跳转创作	同普通用户	仅独立后台登录	不处理身份
创作与生成	不可	可	可	不可	只显示健康状态
已发布普通素材	不可	可	可	后台管理	只显示素材根健康
授权内部预览素材	不可	不可	可	管理授权与批次，不以普通用户身份消费	不可
项目、编辑器、导出	不可	可	可	不可	不可
后台运营	不可	不可	不可	可	不可
私有内容完整正文 / 图片	不可	不可	不可	告知确认后，逐次“打开并记录审计”	不可
诊断摘要	不可	设置中只看用户相关简化状态	同普通用户	后台可看脱敏运营诊断	可看脱敏系统诊断

账号被停用或注销后，服务端权限优先于已打开页面。页面收到拒绝时立即退出受保护内容并返回相应身份入口，不保留可交互的旧数据。

浏览器不受支持引导

入口与权限

支持检查返回 BROWSER_UNSUPPORTED，或任何产品路由在门禁前被拒绝时进入。所有身份均只能看引导，不能继续使用产品功能。

布局

• 白底全页，顶部 8 px 荧光黄规则线。
• 中央 640 px 文字列，显示 DADA 字标、标题“当前浏览器无法使用 Dada”、原因、受支持品牌和版本。
• 底部显示当前检测到的浏览器品牌 / major；识别不可用时只显示“无法可靠识别”。
• 不加载产品主导航、项目缩略图或后台框架。

控件

• “查看如何打开 Chrome / Edge”折叠说明。
• “重新检测”只重新执行门禁，不提供绕过。
• 若系统能力允许，提供“复制本机地址”；它不是继续使用入口。

状态与动作

reason	文案重点	允许动作
platform_unsupported	仅支持当前 Windows 电脑	查看引导、复制地址、重新检测
brand_unsupported	请使用已验收的 Chrome 或 Edge	查看引导、重新检测
version_unsupported	当前版本不在本次发布支持范围	查看支持 major、重新检测
identity_unavailable	无法可靠识别浏览器	检查浏览器设置、重新检测

焦点顺序：页面标题 → 折叠说明 → 重新检测 → 复制地址。错误摘要使用 assertive live region。页面没有“仍然继续”。

普通用户认证

登录 / 注册框架

页面顶部为原创机能风艺术带，下方为左对齐 480 px 表单列。艺术带不随字段展开改变高度。页面右上角只显示“管理员登录”文字入口，明确进入独立后台身份域。

登录与注册使用标签切换。切换时清除不属于目标模式的敏感字段，不把注册资料带到登录提交。

登录

字段与动作

• 邮箱
• 验证码
• 获取验证码 / 倒计时后重新获取
• 登录

登录模式不显示邀请码、创作署名、社交 ID 和内测告知。

焦点顺序：登录标签 → 邮箱 → 获取验证码 → 验证码 → 登录 → 注册标签 → 管理员登录。

状态

状态	表达	允许动作
初始	邮箱空，获取验证码禁用	输入邮箱
邮箱格式无效	字段错误	修正邮箱
发码中	按钮保持宽度并显示“发送中”	等待
已发码	显示倒计时和发送目标的脱敏邮箱	输入验证码、倒计时后重发
Resend 失败	页面错误，不清空邮箱	重试
验证码错误 / 过期	验证码字段错误	修正或重发
账号停用	页面错误	返回、联系管理员
登录成功	跳转创作	无重复提交

注册

注册分为两个可见阶段，但仍是一个页面和一条注册流程。

第一阶段

字段顺序固定为：

• 邀请码
• 邮箱
• 获取验证码

获取验证码只有在邀请码和邮箱均通过本地完整性检查后可用。点击后使用既有发码请求，由后端校验邀请码有效性和名额；前端不新增邀请码预检 API。

后端确认邀请码有效、名额未满并成功发码后，才展开第二阶段：

• 验证码
• 创作署名
• 社交 ID
• 《内测使用与隐私告知》阅读入口和必选同意框
• 注册

第二阶段展开后，邀请码和邮箱保持只读摘要，并提供“修改”动作。修改会收起第二阶段并使已发挑战按后端规则失效或重新申请。

焦点顺序：注册标签 → 邀请码 → 邮箱 → 获取验证码 → 验证码 → 创作署名 → 社交 ID → 告知阅读 → 同意复选框 → 注册 → 登录标签。

状态

状态	表达	允许动作
邀请码未填 / 邮箱未填	获取验证码禁用，并说明缺少字段	补充字段
邀请码无效	邀请码字段错误，第二阶段不展开	修正邀请码
邀请码已用 / 过期	显示对应稳定错误语义	更换邀请码
名额已满	页面级阻断，不发送验证码	返回登录
发码成功	展开第二阶段	完成资料
验证码错误 / 过期	保留资料字段	修正或重发
告知未同意	注册按钮禁用，说明必选	阅读并勾选
最终复核失败	保留非敏感资料，显示具体稳定错误	按错误动作修正
注册成功	建立普通用户会话并进入创作	无重复提交

告知正文必须覆盖 PRD 固定范围；界面不把长文塞入复选框标签。阅读弹层底部固定显示“我已阅读”，但只有返回表单后的复选框代表同意。

普通用户主框架

顶部导航

左侧为 DADA 字标和四个导航入口。当前入口使用荧光黄底与 3 px 黑色下边线，不能只靠颜色。右侧任务入口在 queued 或 running 时显示状态文字和进度；进入 succeeded、failed 或 rejected 后保留一次可查看结果提示，用户查看后恢复为隐藏。

顶部导航在页面滚动时保持可见。容量 critical/full/unavailable 状态条固定在导航下，不盖住页面内容。

本机数据提示

普通用户主框架底部持续显示固定文案：

测试数据仅保存在本机，不自动备份，也不会迁移到正式系统。

该条不可永久关闭。设置页重复显示更完整的数据风险说明和下载建议。屏幕阅读器首次进入页面时读出，站内导航时不重复打断。

创作工作台

无项目状态

布局

• 顶部原创机能风艺术带，标题为“开始一张新作品”。
• 艺术带下方直接进入生成表单，不把表单放进装饰卡。
• 右侧或下方显示“当前任务”；无任务时显示简洁空状态。

空状态动作

• 输入提示词。
• 选择模型和比例。
• 添加参考图（提交生成时上传）。
• 查看预计点数。
• 提交生成。

没有“浏览示例模板”之类未定义入口。

有项目状态

不显示艺术带。页面顶部为紧凑生成区，下方为最近项目与当前任务摘要。最近项目只展示真实项目数据；最多显示 6 个，之后使用“查看全部项目”。

生成表单

布局与控件

• 提示词多行输入。
• 模型选择菜单。
• 比例分段控件：3:4、1:1、4:3、9:16。
• 添加参考图区域，包含选择本地文件、标注“尚未提交，仅保留在当前页面”的缩略预览和移除；只有点击提交生成时才上传并绑定本次 GenerationJob。
• 已确认点数成本。
• 生成按钮。

首次新建创作时预选 recommended_model_id。界面同时区分：

• “系统配置默认”：只在模型详情说明中展示 configured_default_model_id。
• “当前推荐”：在推荐模型选项旁显示“推荐”。
• “你的选择”：菜单当前值。

如果 recommended_model_id 为空，模型不自动选中，生成按钮禁用并显示“当前没有可用于新任务的模型”。

若用户已选模型后，该模型变为不可用于新任务：

• 保留原选择并标红“当前不可用”。
• 不切换到推荐模型。
• 阻断提交。
• 若后端返回新推荐，显示“改用推荐模型”按钮；用户点击后形成新的显式选择。
• 重新显示成本和能力约束，用户再次确认后才可提交。

提交前状态

条件	生成按钮	邻近说明
提示词为空	禁用	请输入创作描述
模型未选	禁用	请选择当前可用模型
模型运行时不可用	禁用	保留原选择并显示原因、推荐替代
比例未选	禁用	请选择画面比例
参考图处理中	禁用	正在处理参考图
点数不足	禁用	显示所需与现有点数，入口到点数页
已有 queued / running 任务	不创建第二个任务	变为“查看当前任务”
Worker degraded	禁用或按后端能力阻断	显示生成服务暂不可用
storage full / unavailable	禁用	显示容量动作
条件均满足	可用	显示确认成本与模型

提交后立即进入当前任务视图，不乐观创建成功图片。

当前生成任务

当前任务既是顶部持续入口，也有独立详情抽屉或页面。抽屉宽 420 px，从右侧打开，不改变主页面状态。

状态	显示	允许动作
queued	排队时间、模型、比例、冻结点数	关闭抽屉、返回项目
running	运行状态、开始时间、模型	关闭抽屉、查看项目
succeeded	结果缩略图、实际点数、项目入口	打开项目、下载原图
failed	错误标题、是否释放点数、允许动作	按错误映射重试或修改
rejected	拒绝原因、点数释放状态和允许动作	按错误映射修改提示词或参考图

同一账号再次提交时若后端返回现有 queued / running 任务，界面打开该任务，不显示第二次冻结成功。

生成错误与提交阻断动作矩阵

具体 message_key 由后端返回。固定 GenerationErrorCategory 只有以下九类，前端不得新增、重命名或归并：

GenerationErrorCategory	用户说明重点	主动作	任务与点数
upstream_timeout	上游响应超时	使用原输入重试	failed，释放冻结点
upstream_failed	上游明确失败	使用原输入重试	failed，释放冻结点
safety_rejected	内容未通过安全检查	修改提示词或参考图	rejected，不保存输出并释放冻结点
model_disabled	模型因普通启停规则不可用	选择其他模型或等待	不创建任务、不冻结点
gateway_balance_insufficient	AI 网关余额不足	选择未受影响模型或联系管理员	未创建则不冻结；已创建则 failed 并释放
gateway_contract_invalid	网关契约未验证或失效	选择其他模型或联系管理员	未创建则不冻结；已创建则 failed 并释放
reference_invalid	参考图格式、大小、数量或内容无效	更换或移除参考图	未创建则不冻结；已创建则 failed 并释放
unknown_retryable	未知但判断为临时错误	稍后重试	failed，释放冻结点
unknown_non_retryable	未知且不应反复重试	联系管理员	failed，释放冻结点

以下情况是确定性业务阻断，不属于 GenerationErrorCategory：

阻断条件	用户说明重点	主动作	任务与点数
点数不足	显示所需点数与当前可用点数	查看点数明细	不创建任务、不冻结点
ModelConfig 版本变化	显示最新模型配置和成本	重新确认	不创建任务、不冻结点
已有 queued / running 任务	当前已有生成任务	查看当前任务	不创建第二个任务、不重复冻结
项目或生成历史达到上限	显示对应上限和清理要求	管理项目或删除旧历史图	不创建任务、不冻结点
storage full / unavailable	显示容量或可写性阻断原因	管理存储或打开诊断	不创建任务、不调用上游、不冻结点

项目

项目列表

入口与权限

普通用户及内部预览账号从顶部“项目”进入，只能看到自己的项目。

布局

• 页面标题、active 项目计数和上限。
• “项目”与“回收站”标签。
• 搜索、排序和状态筛选。
• 项目缩略图网格；卡片比例稳定，不因名称或状态变化改变尺寸。
• failed_empty 快捷清理区只在存在候选时出现。

项目卡片

• 当前底图或占位图。
• 项目名、比例、更新时间。
• 成功图数量。
• 项目状态。
• 打开主动作。
• 更多菜单：重命名、移入回收站；只有允许的对象显示对应动作。

项目名最多显示两行，之后省略；完整名称通过 tooltip 和无障碍名称可读。

状态

状态	表达	允许动作
正常	网格与计数	打开、重命名、按规则删除
空	“还没有项目”	前往创作
筛选为空	“没有符合条件的项目”	清除筛选
加载	固定比例骨架	等待
失败	保留上次列表并标注旧数据	重试
达到 20 个 active 上限	顶部阻断提示	清理 failed_empty 或移入回收站
批量 failed_empty	仅选择无成功图草稿	批量移入回收站

含成功图项目不得进入 failed_empty 快捷批量操作。前端复核展示条件，后端仍做最终校验。

焦点顺序：页面标题 → 标签 → 搜索 → 筛选 → 排序 → 项目卡片 → 分页或加载更多 → failed_empty 清理。

回收站

• 显示删除时间和剩余保留时间。
• 提供恢复和永久删除。
• 恢复若触发 active 项目上限，显示阻断并指向现有项目管理。
• 永久删除使用项目名确认；提交后显示清理进度。
• 永久删除完成前不乐观减少容量。

项目详情

布局

• 顶部：返回、可编辑项目名、项目状态、比例、更多菜单。
• 主区：当前底图大预览。
• 历史区：按时间展示最多 10 张成功图。
• 操作区：继续生成、进入编辑器、下载原始图。
• 最新导出区：每种格式最多展示最新一份；后端保存失败的本地下载不进入此区。

状态与动作

状态	表达	允许动作
active 且有成功图	正常详情	满足生成前置条件时继续生成；编辑、下载
failed_empty	无成功图与最后错误摘要	修改并重试、移入回收站
已达 10 张成功图	历史上限提示	编辑、下载；不再追加生成
trashed	回收站标识	恢复、永久删除；不编辑
state_version 冲突	版本冲突条	刷新后继续
加载失败	不展示部分可编辑数据	重试、返回列表

项目比例创建后固定。继续生成不提供改变比例的控件。继续生成入口始终保留，但受项目 10 张成功图上限、模型运行时可用性、点数、同账号单一 queued / running 任务和 storage full / unavailable 约束；条件不满足时禁用入口，并在入口旁说明具体原因和允许动作。

编辑器

总体布局

编辑器使用固定三栏框架：

• 顶部工具栏：56 px。
• 左栏：280 px，素材与底图来源。
• 中央：自适应画布工作区。
• 右栏：320 px，当前对象或底图参数。
• 底部状态行：32 px，缩放、对象计数和键盘状态。

1920 × 1080 下，画布完整可见且工具栏不换行。可用宽度缩小时左右栏各自内部滚动，不挤压画布到不可操作尺寸。

顶部工具栏

从左到右：

• 返回项目。
• 项目名与比例。
• 撤销、重做。
• 保存状态。
• 预览。
• 导出。

保存状态固定占用至少 128 px，覆盖：

状态	显示文案	图标 / 色彩	行为
dirty	有未保存修改	Circle / Ink	允许继续编辑，离开需确认
saving	正在保存	LoaderCircle / Info	保持布局，禁止重复手动保存
saved	已保存	CircleCheck / Success	显示最近保存时间
failed	保存失败	CircleX / Danger	显示重试；离开与刷新按失败规则提示
conflicted	版本冲突	GitCompareArrows / Danger	编辑区转只读，进入冲突处理

左栏

左栏使用文本标签，不使用数字编号：

• 底图
• 历史
• 文字模板
• 普通贴纸
• 色卡
• 动态贴纸

底图显示当前生成图和可用历史图。切换底图前显示说明：“覆盖元素会保留，底图编辑参数将重置。”用户确认后执行。

历史区按项目历史顺序显示，不能绕过项目 10 张成功图上限。素材列表使用虚拟滚动、懒加载和稳定缩略尺寸；内部预览账号只在授权素材上看到“预览”标识。

素材加载失败时：

• 已加载素材继续可用。
• 失败分区显示重试。
• 只读素材根异常时显示“素材暂不可用”，不显示绝对路径。
• 下架素材不得用于新添加；项目已有引用仍按保存版本渲染。

中央画布

• 画布背景为 Cool Gray 100，真实输出区域为白色或当前底图。
• 固定宽高比容器避免图片加载时跳动。
• 支持选择、移动、缩放、旋转、翻转、透明度、复制、层级、对齐吸附、循环选择、长按候选、多选和框选。
• 对齐参考线使用 Focus 蓝，吸附结果同时有视觉和短暂文字提示。
• 长按候选在指针附近显示对象列表，键盘用户可通过“循环选择”命令打开同一列表。
• 覆盖元素达到 50 个时，新增相关动作禁用并说明上限。

明确不提供：

• 图层面板。
• 隐藏。
• 锁定。
• 编组。

层级调整只作用于当前选中对象，通过置顶、上移、下移、置底命令完成。

右栏

右栏标题随选择变化，但宽度不变：

• 未选择对象：画布摘要和底图参数。
• 选择底图：裁剪、适配、亮度、对比度、饱和度、色温、固定滤镜。
• 选择文字：内容、模板允许的文字样式和对象变换。
• 选择贴纸 / 色卡 / 动态贴纸：对象变换、透明度和素材允许参数。
• 多选：对齐、分布、共同变换和删除。

数值控件使用滑杆与数值输入同步。拖动时画布即时预览，松开形成一个撤销记录；键盘步进结束后同样合并为合理的撤销单元。

编辑器状态

状态	中央区	顶部动作	允许动作
正常	可编辑	保存、导出可用	全部编辑
初次加载	固定画布骨架	导出禁用	返回项目
素材分区加载失败	画布保持可编辑	保存、导出可用	重试素材，编辑已有对象
dirty	可编辑	显示有未保存修改	保存、导出前确认
saving	可编辑但保存动作锁定	显示正在保存	继续本地编辑，按队列保存
failed	保留本地当前状态	显示保存失败	重试、按规则本地导出、返回需确认
conflicted	只读遮罩，显示本页版本和后端新版本	仅一次本地导出与刷新可用	本地导出一次、刷新最新版本
storage full	JSON 保存仍按上游允许，二进制写入提示	导出可客户端下载	编辑、保存 JSON、客户端下载
storage unavailable	保留当前内存状态，保存 failed	本地导出按上游可行性提示	查看、尝试本地下载、诊断

同机多标签发生 state_version 冲突时，不提供合并、覆盖后端或继续编辑。旧页只读，允许一次本地导出当前内存版本，然后必须刷新本地后端最新版本。关闭冲突提示不能恢复编辑。

离开与崩溃边界

• dirty：离开弹层提供“保存并离开”“不保存离开”“继续编辑”。
• saving：等待当前保存结果后再决定离开。
• failed：明确未写入本地后端；提供重试、按规则本地导出和继续编辑。
• conflicted：只允许一次本地导出和刷新最新版本，不提供覆盖。
• 强制刷新、关闭页面或浏览器崩溃时，不承诺恢复未提交私有草稿。

导出

导出使用 640 px 弹层。

控件顺序

• 格式分段控件：JPG / PNG。
• JPG 质量：滑杆和数值输入；选择 PNG 时隐藏且不保留为可聚焦控件。
• 输出尺寸与预计文件信息。
• 未提交修改确认区。
• “导出并下载”主按钮。
• 取消。

如果存在未提交文字或样式修改：

• 弹层显示“导出前需要提交当前修改”。
• 用户确认后形成一次撤销记录，再用提交后的同一画布状态合成。
• 用户取消时不提交，也不导出。

结果矩阵

客户端合成	浏览器下载	后端最新成品保存	结果表达
成功	成功	成功	“已下载并保存为最新成品”
成功	成功	失败	明确“文件已下载，但未保存为最新成品”；latest_exports 不更新
成功	失败	未开始或失败	显示浏览器下载失败，允许重新下载同一次合成结果
失败	未开始	未开始	显示合成失败，返回编辑器检查
冲突页允许的一次导出	成功或失败	不覆盖后端	明确“仅下载本页版本，未写入项目”

下载与后端持久化必须来自同一次合成。后端保存失败不能撤回已成功的客户端下载，也不能假装 latest_exports 已更新。每种格式只保留最新一份后端记录。

焦点顺序：格式 → JPG 质量 → 修改确认 → 导出并下载 → 取消。结果消息通过 polite live region 宣读；失败通过 assertive。

点数

点数明细

布局

• 当前可用点数。
• 冻结点数说明。
• 明细表：时间、事件、变动、任务 / 管理操作引用、余额。
• 筛选：日期、事件类型。

状态

• 空：显示“暂无点数变动”，不提供购买入口。
• queued / running 冻结：用“已冻结”状态，不算作已扣除。
• succeeded：显示实际结算。
• failed / rejected：显示对应释放，避免看起来重复加点。
• 加载失败：保留上次余额并标明更新时间，涉及新提交时仍以服务端实时校验为准。

upstream_cost_reconciliation 只用于后台诊断与本地监控，不改变 Dada 点数处理，也不在普通用户点数页显示为任务状态或点数状态。

普通用户不能调整点数。

设置与账号注销

设置

区段：

• 个人资料：创作署名、社交 ID。
• 账号：邮箱只读，登录与状态摘要。
• 本机数据：固定提示、容量状态、主动下载建议、诊断摘要入口。
• 注销账号。

本机数据区必须持续显示原文：

测试数据仅保存在本机，不自动备份，也不会迁移到正式系统。

同时说明数据依赖当前 Windows 用户登录和文件系统权限，不提供 Dada 应用层加密或云备份；机器损坏、重装或删除 LocalDataRoot 后不可恢复。界面只显示逻辑位置说明，不显示绝对路径。

注销

注销入口放在设置末尾危险区，不与退出登录相邻。流程：

• 打开 640 px 确认弹层。
• 展示影响范围、不可恢复内容和匿名保留规则。
• 输入指定确认词或账号邮箱。
• 再次获取验证码并验证。
• 提交后显示处理中，不允许关闭重复提交。
• 成功后结束普通用户会话并返回登录。

失败保留确认弹层和非敏感输入，按稳定错误显示重试动作。注销不提供将可编辑项目导入未来正式系统的承诺。

super_admin 登录与框架

管理员登录

独立 URL、独立会话和独立 audience。页面使用白底、黑色字标和窄荧光黄顶条，不使用创作艺术带。

字段：

• 管理员邮箱。
• 验证码。
• 获取验证码。
• 登录。

邮箱不在管理员白名单时，发码前按服务端结果阻断。错误文案不暴露某邮箱是否属于普通用户。普通用户登录成功不能跳入后台。

焦点顺序：邮箱 → 获取验证码 → 验证码 → 登录 → 返回普通用户登录。

后台框架

• 左侧导航 216 px，固定在视口。
• 顶部 52 px，显示页面标题、系统总体状态、管理员账号菜单。
• 主内容区优先使用表格和无框分区。
• critical/full/unavailable 容量条固定在主内容顶部。
• 服务 degraded 可聚合为顶部“有异常”入口，但详细影响仍在对应页面。
• 后台不显示创作、项目和编辑器入口。
• 后台身份域不能把当前 super_admin 会话切换为普通用户。若同一自然人另有独立普通账号，必须退出后台并从普通用户登录入口进入普通端；普通账号与 super_admin 仍是独立身份，不能原地提升或共用会话。

后台总览

总览是运营状态摘要，不做营销式仪表盘。使用一列关键状态带和两列紧凑数据区：

• 当前普通用户数与名额。
• queued / running 任务。
• 上游成本核对待人工核对数量和最早等待时间；该项来自 upstream_cost_reconciliation = pending_manual_review，不作为 GenerationJob 状态或点数状态显示。
• 三模型配置默认、运行时可用数量和当前推荐。
• LocalDataRoot 容量。
• Resend、高德、AI 网关、Worker、素材根状态。
• 最近后台操作。
• 需要处理的贴纸清理任务。

每个摘要都链接到唯一负责页面。空状态代表“当前无待处理项”，不能与加载失败混淆。

用户管理

布局

• 搜索与账号状态筛选。
• 用户表：脱敏邮箱、创作署名、社交 ID、状态、点数、注册时间、最近活动。
• 行动作：查看、停用 / 恢复、调整点数。

用户详情抽屉

• 账号资料。
• 项目与任务计数，不直接显示私有图片。
• 点数摘要与最近流水。
• 管理操作历史。

调整点数弹层要求：

• 正负方向明确。
• 数值、原因必填。
• 提交前显示调整前后余额。
• 处理中禁止重复提交。
• 成功后更新余额和审计摘要。

普通后台查看不自动打开完整提示词或私有图片。需要私有内容时只能进入受保护的生成记录流程。

邀请码

页面含邀请统计、筛选和表格：

• 邀请码脱敏显示。
• 状态。
• 创建时间、过期时间。
• 使用账号和使用时间。
• 创建人。

创建弹层只显示 PRD 允许字段。复制邀请码为低风险 Toast；禁用、过期或已用状态不能复制成“可用”。名额已满时创建或使用相关动作按后端规则禁用并说明。

模型

模型列表

每个模型一行，分别显示：

• 模型 ID 与显示名。
• configured enabled。
• configured default。
• recommendation_priority。
• contract_validation_status。
• runtime availability 及 reason、checked_at。
• 当前是否为 recommended_model_id。
• 成本、比例和参考图能力摘要。
• config_version。

“默认”“推荐”“运行时可用”必须是三个独立列，不用一个徽标覆盖。

完整配置集合编辑

模型配置以完整集合弹层或页面编辑，不提供逐行立即保存。顶部显示 config_set_version。

规则：

• 始终恰好一个已启用默认模型。
• recommendation_priority 为唯一正整数，不能重复。
• 停用非默认模型可直接纳入候选集合。
• 停用当前默认模型时，同一操作必须先指定另一个已启用、合法的默认模型。
• 保存以完整配置集合原子提交；任何字段失败整次不写入。
• 保存时版本冲突映射 MODEL_CONFIG_VERSION_CONFLICT，用户刷新最新集合后重新编辑。

固定错误动作：

message_key	界面动作
MODEL_DEFAULT_REPLACEMENT_REQUIRED	聚焦“替代默认模型”，不允许提交
MODEL_DEFAULT_REPLACEMENT_INVALID	标出替代模型不可作为默认的原因
MODEL_RECOMMENDATION_PRIORITY_INVALID	聚焦首个非正整数或缺失优先级
MODEL_RECOMMENDATION_PRIORITY_CONFLICT	同时标出重复优先级行
MODEL_CONFIG_VERSION_CONFLICT	整页阻断保存，提供刷新最新配置

外部服务临时异常只更新运行时可用显示，不自动修改 enabled、is_default 或 recommendation_priority。恢复后 recommended_model_id 可重新派生，但界面不把结果写回配置。

素材

素材页分为：

• 普通贴纸。
• 素材版本与发布。
• 历史文件清理。

普通贴纸

表格或缩略网格支持 part、状态、来源和稳定 ID 筛选。管理员上传流程：

• 选择 PNG / WebP。
• 填写稳定 ID、既有 part、顺序、启停和可选内部名称。
• 上传前显示原图将写入 LocalDataRoot，缩略图由 Dada 生成。
• 原图和缩略图都计入 managed_content_bytes。
• 只读规范素材库明确显示“不计入本机 5 GB 内容额度”。

storage full / unavailable 时，选择文件和提交上传均禁用，缩略图生成不启动。已有素材仍可查看和按规则下架。

下架只阻止新添加；已有项目引用保持可渲染。页面不能提供“下架并立即删除文件”的组合动作。

素材版本与发布

• 版本表显示稳定 ID、版本、状态、白名单范围、引用计数和发布时间。
• passed、internal_preview 与公开可见性分列展示。
• 发布、撤回和启停使用后端合法状态；UI 不创建额外“半发布”状态。
• 发布失败保留候选配置并显示具体 message_key。
• 只读素材根校验失败时暂停依赖动作，提供重新配置指引或诊断入口，不自动复制素材。

历史贴纸文件清理

清理是独立流程，不能藏在下架动作中。

阶段	页面表达	允许动作	容量显示
候选查询	列出历史原图、缩略图、预计字节和引用摘要	选择候选、刷新	不变
确认	显示文件数量、总字节、不可恢复说明	确认并提交、取消	不变
引用复核冲突	整批拒绝，列出引用类型与对象 ID 的安全摘要	打开引用对象、刷新候选	不变
已排队	显示 cleanup job 和排队时间	查看任务	不变
物理清理中	显示处理进度，不允许重复提交	查看任务	不变
物理清理失败	显示已处理 / 未处理摘要和重试条件	按后端结果重试或诊断	重新计量前不乐观减少
重新计量	显示“正在重新计量本机内容”	等待	使用旧值并标注
完成	显示实际释放与新容量状态	返回列表	以后端新计量为准

固定错误动作：

message_key	界面动作
ASSET_HISTORY_REFERENCE_CONFLICT	阻断整批清理，展示安全引用摘要
ASSET_CLEANUP_CANDIDATE_STALE	放弃旧候选，要求重新查询与确认
STORAGE_CAPACITY_EXCEEDED	阻断会新增受管二进制的动作，打开存储管理

每个阶段在后台操作审计中有记录。无引用只是候选条件，不代表系统可自动清理；必须由 super_admin 显式确认。

内部预览

页面管理：

• 预览批次。
• 批次内素材版本。
• 授权普通用户账号。
• 生效时间与状态。

授权对象仍是普通用户账号。界面不得创建“内部预览管理员”或单独角色。普通用户端仅在已授权批次范围内多显示素材，并在缩略项上加“预览”标识；不出现管理入口。

取消授权后，用户不再能新添加预览素材；已有项目引用按上游版本规则处理。后台变更必须显示影响范围并写入后台操作审计。

生成记录与私有内容

默认列表

生成记录表默认显示：

• 任务 ID。
• 脱敏账号。
• 模型。
• 比例。
• 状态。
• 上游成本核对状态，与任务状态分列；pending_manual_review 显示为“待人工核对”。
• 点数结算状态。
• 创建与完成时间。
• 错误类别。

默认隐藏：

• 完整提示词。
• 参考图。
• 生成图片。
• 其他私有正文。

列表筛选和普通详情摘要不触发私有内容访问。

私有内容告知

管理员首次进入私有内容区域时，后端按 super_admin 身份与当前告知版本校验。未确认时显示阻断弹层：

• 标题“查看私有内容前请确认”。
• 告知版本和生效时间。
• 可查看范围、自动审计、最小化查看和禁止外传说明。
• “确认并进入”主按钮。
• “返回生成记录”次按钮。

确认成功后由后端持久记录。相同管理员、相同版本不因新标签页、重启、重登或换浏览器再次提示；告知版本升级后重新提示。前端 session 或 localStorage 不能作为确认权威。

若后端返回 PRIVATE_CONTENT_NOTICE_ACK_REQUIRED，立即退出私有区域并打开告知弹层。

逐次访问

告知确认不替代逐次访问审计。每个完整提示词、参考图或生成图片入口统一显示：

打开并记录审计

动作流程：

• 入口附近只显示对象类型、自动审计提示和最小化查看说明；不要求填写原因，也不增加逐次确认。
• 用户点击。
• 后端先写 PrivateContentAccessLog。
• 审计成功后返回内容。
• 审计失败则不打开内容。

图片默认使用低信息占位，不在 hover、列表预取、键盘聚焦或浏览器缓存预览时自动加载。完整提示词不进入页面初始 HTML。关闭内容后回到安全摘要，页面不把正文留在其他列表行。

服务与存储

页面分为五个无框区段：

• Resend。
• 高德。
• AI 网关。
• Worker / API。
• LocalDataRoot 容量。

服务区段

每个服务显示：

• configured / paused 等后台允许状态。
• 最近健康检查时间。
• 影响范围。
• 当前错误安全摘要。
• 允许的暂停、恢复或重新检查动作。

密钥只显示是否已配置和安全引用版本，不显示值。上游响应脱敏，不显示完整请求正文。

AI 网关按模型级、账户级或 unknown 影响展示。任何临时停用都只影响 runtime availability；页面显式提醒“不修改配置默认与推荐优先级”。管理员确认真实余额恢复后，按后端允许动作恢复运行时状态并审计。

LocalDataRoot

显示：

• storage_status。
• managed_content_bytes / 5 GB。
• 80% 和 90% 阈值刻度。
• last_measured_at。
• 受影响动作清单。
• 项目清理与历史贴纸清理入口。
• 重新计量状态。

不显示绝对路径；只显示“当前 Windows 用户的 Dada 本机数据目录”等逻辑说明。只读规范素材库容量单独显示为参考信息，并标注“不计入 5 GB”。

full / unavailable 时，页面顶部和该区段同时显示阻断原因。恢复按钮只有在后端允许且已完成物理清理、可写检查和重新计量后出现；前端不能手工把状态改成 active。

审计

审计拆成两个同级标签，不混在一张表：

• 后台操作审计。
• 私有内容访问审计。

后台操作审计

覆盖用户状态、点数、邀请码、模型完整配置集合、运行时恢复、素材发布、贴纸清理各阶段、内部预览、服务操作等。列：

• 时间。
• 管理员。
• 操作类型。
• 对象安全摘要。
• 结果。
• request / operation ID。

私有内容访问审计

列：

• 时间。
• 管理员。
• 被查看任务或项目的安全目标标识。
• 查看内容类型。
• expires_at。

两类表均不显示被访问的完整提示词、图片或密钥。180 天内不可编辑或删除；UI 不提供行内修改、批量删除或清空审计按钮。

加载失败时保留上次结果并标注时间；筛选导出若上游未定义则不提供。搜索只针对允许的标识与摘要，不对私有正文建前端搜索。

Windows 辅助系统界面

辅助界面属于产品支持面，不属于运营后台或部署 CLI。

托盘菜单

状态图标和 tooltip 同时表达：

• 正常运行。
• 启动中。
• API degraded。
• Worker degraded。
• 存储 full / unavailable。
• 启动失败。

菜单顺序：

• 打开 Dada。
• 运行状态。
• 打开诊断。
• 重新启动服务，仅在 Supervisor 允许时显示。
• 退出 Dada。

退出时按工程约束执行优雅关闭。托盘不显示账号私有内容、提示词或完整错误堆栈。

启动中

小型 480 px 系统窗口：

• DADA 字标。
• “正在启动本机服务”。
• API、Worker、数据目录三个步骤状态。
• “打开诊断”仅在超过正常等待或发生异常时出现。
• 关闭窗口不等于退出服务；使用明确最小化到托盘行为。

启动失败

显示稳定标题、发生时间、安全错误摘要和 correlation ID。允许：

• 重试启动。
• 打开诊断。
• 退出 Dada。

不显示密钥、绝对路径、私有正文或完整堆栈。

端口占用

标题“Dada 无法使用固定端口启动”。说明另一个程序或残留实例占用了端口。允许：

• 检查是否已有 Dada 正在运行。
• 重试。
• 打开诊断。
• 退出。

不提供在 UI 中修改端口，不暗切随机端口。

API / Worker degraded

当 API 可用但 Worker degraded：

• 托盘显示警告。
• 浏览器可进入项目、编辑器和已有内容下载。
• 生成区显示服务异常并禁用受影响动作。
• 诊断页显示 Worker 最近健康检查和有限重启结果。

当 API degraded：

• 浏览器产品页显示全页连接状态，不继续展示可编辑旧数据。
• 提供重试连接和打开诊断。
• 托盘保持可操作。

诊断

诊断使用只读窗口或本地支持页，包含：

• 发布版本、支持的 Chrome / Edge major。
• API / Worker / Supervisor 状态与最近检查时间。
• storage_status、容量比例和 last_measured_at。
• 只读素材根校验状态。
• 固定端口状态。
• 最近有限数量的脱敏错误事件。
• correlation ID。
• “复制脱敏诊断”动作。

复制内容必须经过同一脱敏契约，不含：

• 密钥或安全配置值。
• Windows 用户名和绝对路径。
• 邮箱全值。
• 提示词、参考图或生成图片。
• 原始上游请求 / 响应正文。

焦点与键盘规范

全局

• 每页第一个 Tab 目标为“跳到主要内容”。
• 键盘焦点使用 2 px Focus 蓝外环和 2 px 间隔，在黄色、白色和灰色背景上均清晰。
• 页面导航顺序与视觉顺序一致，不使用正 tabindex。
• 图标按钮提供 aria-label；状态图标提供可读文字。
• Toast 不是焦点目标；其中如有动作，动作进入正常焦点顺序。
• 列表和表格不把整行及内部所有控件同时设为重复焦点。

编辑器

焦点区域顺序：

• 跳到主要内容。
• 顶部工具栏。
• 左栏标签与素材。
• 画布。
• 右栏属性。
• 底部状态。

画布获得焦点后，方向键执行已定义的对象微移；Esc 退出当前模式或选择；Delete 删除当前选中对象并保留撤销能力。所有快捷键必须能通过可见菜单完成，不在页面中放“使用说明”式常驻文字。

异步状态

• saving、queued、running、重新计量使用 polite live region，仅在状态变化时朗读。
• 保存失败、冲突、浏览器阻断、容量 full / unavailable 使用 assertive live region。
• 进度未知时不用虚假百分比，显示不定进度和开始时间。

文案与 message_key 绑定

以下文案固定，不得改写：

场景	固定文案
本机测试数据	测试数据仅保存在本机，不自动备份，也不会迁移到正式系统。
私有内容入口	打开并记录审计

稳定 message_key 至少覆盖以下 UI 动作：

code / message_key	展示位置	UI 动作
BROWSER_UNSUPPORTED / browser.unsupported	浏览器引导	硬阻断，无继续入口
MODEL_CONFIG_VERSION_CONFLICT	模型配置	刷新完整配置集合
MODEL_DEFAULT_REPLACEMENT_REQUIRED	模型配置	要求同一操作选择替代默认
MODEL_DEFAULT_REPLACEMENT_INVALID	模型配置	修正替代默认
MODEL_RECOMMENDATION_PRIORITY_INVALID	模型配置	修正优先级
MODEL_RECOMMENDATION_PRIORITY_CONFLICT	模型配置	修正重复优先级
PRIVATE_CONTENT_NOTICE_ACK_REQUIRED	私有内容区域	退出内容并要求确认当前版本告知
ASSET_HISTORY_REFERENCE_CONFLICT	贴纸清理	阻断整批清理
ASSET_CLEANUP_CANDIDATE_STALE	贴纸清理	重新查询并确认候选
STORAGE_CAPACITY_EXCEEDED	所有受管二进制写入	阻断写入并打开存储管理

后端返回未知 message_key 时，使用安全兜底：

• 标题“操作未完成”。
• 显示 correlation ID。
• 提供重试、返回或诊断中由接口允许的动作。
• 不把未知错误映射成成功、点数已释放或可继续覆盖。

关键流程

普通用户注册

邀请码与邮箱完整 → 点击获取验证码 → 后端校验邀请码和名额 → 成功发码 → 展开验证码与资料 → 阅读并同意告知 → 最终注册复核 → 进入创作。

任何前置失败都不展开第二阶段。最终复核仍由后端完成，前端展开状态不代表邀请码已占用或注册必然成功。

新建创作

进入创作 → 读取模型列表与 recommended_model_id → 首次预选推荐模型 → 输入提示词与比例 → 可选参考图 → 确认模型配置版本和点数 → 提交 → 进入 queued / running 任务 → 成功进入项目，失败按错误动作返回输入。

模型在提交前失效时保留旧选择、阻断提交；用户主动改选并重新确认后才能继续。

编辑与导出

打开项目 → 加载画布和素材版本 → 编辑形成 dirty → 保存进入 saving → saved 或 failed / conflicted → 打开导出 → 如有未提交修改则明确确认 → 同一次客户端合成用于下载和后端最新成品保存 → 分别反馈下载和持久化结果。

默认模型替换

进入模型配置 → 编辑完整集合 → 尝试停用当前默认 → 必须选择新的已启用合法默认 → 校验唯一正整数 recommendation_priority → 提交带 config_set_version 的完整集合 → 原子成功或整次失败。

外部临时不可用不走此流程，也不修改配置集合。

私有内容访问

进入生成记录 → 默认只看安全摘要 → 打开私有区域 → 后端检查管理员身份与告知版本 → 必要时确认告知 → 点击具体对象“打开并记录审计” → 后端先写逐次访问审计 → 成功后才返回正文或图片。

历史贴纸清理

查询候选 → 选择与确认 → 后端复核所有有效引用 → 有引用整批拒绝 / 无引用创建清理任务 → 排队 → 物理清理 → 重新计量 → 更新容量状态 → 展示真实释放结果。

综合状态矩阵

页面 / 区域	正常	空	加载	失败	禁用	冲突	容量
登录 / 注册	可发码与提交	字段初始空	发码 / 登录中	Resend、验证码、邀请错误	前置字段或告知未完成	不适用	非存储相关
创作工作台	可生成	无项目艺术带	模型 / 任务加载	服务、参考图、生成失败	模型、点数、单任务等前置不满足	模型配置变化需重确认	critical 提示；full / unavailable 阻断
当前任务	状态与结果	无活动任务	queued / running	failed / rejected 按稳定错误动作	不允许第二任务	不适用	storage 错误按任务结果显示
项目列表	active 项目	无项目或筛选空	卡片骨架	保留旧列表重试	20 项目上限	state_version 刷新	删除后重计量，不乐观减少
编辑器	三栏可编辑	无成功图不能进入正常编辑	画布 / 素材加载	保存失败或素材失败	50 元素等上限	旧页只读、一次导出、刷新	full 可按规则编辑；unavailable 保存失败
导出	下载并保存	不适用	合成 / 持久化中	下载与后端保存分别反馈	无画布或冲突次数用尽	冲突页只本地导出	后端失败不影响已下载文件
后台表格	数据与动作	无记录	稳定行骨架	保留旧数据	权限、状态前置	配置 CAS 冲突	顶部持续状态条
素材上传	上传并生成缩略	无上传素材	上传 / 处理	文件或编译失败	类型、状态、权限	稳定 ID / 版本冲突	full / unavailable 阻断
私有内容	告知已确认且逐次审计	无记录	审计写入中	审计失败不打开	未确认当前版本	版本升级重新确认	不适用
贴纸清理	候选到完成	无可清理文件	排队 / 清理 / 重计量	失败按任务结果	无选择或无权限	引用或候选过期	完成重计量后更新
辅助系统	正常托盘	不适用	启动中	启动失败	不允许的重启动作隐藏	端口占用	full / unavailable 告警

AC 界面追踪

AC	主要界面落点	必验 UI 行为
AC-24	浏览器不受支持引导、产品路由门禁、诊断	非支持品牌 / major / 识别失败均硬阻断，无继续入口
AC-25	私有内容告知、逐次访问、私有内容访问审计	身份+版本持久确认；升版重提示；每次打开独立审计
AC-30	模型完整配置集合、创作模型选择	唯一默认、优先级、原子替换、运行时推荐分层
AC-31	普通贴纸上传、历史文件清理、容量条	原图 / 缩略图计量；full / unavailable 阻断；显式清理
AC-35	项目详情、编辑器保存、导出	项目与成品保存失败动作清晰，不假成功
AC-36 P0-A 子集	编辑器冲突	同机多标签旧页只读、一次本地导出、刷新最新版本
AC-50	后台操作审计、私有内容访问审计	两类审计分离；清理全阶段有记录；正文不进入审计列表
AC-51	模型运行时状态、服务与存储、当前任务	临时不可用不回写默认 / 启停 / 优先级；推荐重新派生
AC-55	全局容量条、存储页、上传、生成、导出、清理	80% / 90% / 等于 5 GB / 超限 / unavailable 动作一致
AC-56	本机数据提示、设置、诊断、导出	无备份、不迁移持续可见；主动下载保留在下载目录

明确不做

本阶段不设计或暗示以下能力：

• 手机、平板或移动端布局。
• 远程访问、局域网访问、其他设备访问。
• 跨设备同步、账号云端同步、云备份。
• P0-B 公司系统、正式账号合并或数据迁移。
• 可编辑项目归档、项目包导入导出。
• 部署人员 CLI 或端口配置 UI。
• super_admin 普通创作入口。
• 内部预览独立角色或后台权限。
• 图层面板、隐藏、锁定、编组。
• 自动清理历史上传贴纸文件。
• 模型失效后的静默替换。
• 在浏览器不支持页继续进入产品。
• 对只读规范素材库计入 managed_content_bytes。
• 高保真视觉稿、艺术带最终图片和前端实现。

1080p 验收清单

高保真与实现阶段必须在真实 Windows 当前支持 Chrome / Edge 上逐页检查：

• 1920 × 1080 下顶部导航、容量条、页面内容和固定本机提示不重叠。
• 登录注册第二阶段完整展开后，主动作可通过滚动到达，艺术带不挤压表单。
• 编辑器三栏、顶部保存状态和底部状态行不遮挡画布。
• 最长中文状态、模型 ID、项目名和 message_key 映射不撑破控件。
• 表格横向内容有明确滚动与固定关键列，不产生不可见行动作。
• 弹层在可用视口内，标题与底部动作固定，正文可滚动。
• 当前任务、容量条和服务异常同时出现时仍保持清晰层级。
• 键盘可到达全部动作，弹层焦点不会逃逸，关闭后焦点正确返回。
• 保存 failed / conflicted、storage full / unavailable、模型失效时没有隐藏可写入口。
• 图片骨架使用稳定宽高比，加载、错误和实际图片切换不引起布局跳动。
• 200% 浏览器缩放下不出现文字覆盖、不可关闭弹层或不可达主动作；允许页面滚动，不缩小字体规避问题。
• Chrome 与 Edge 的焦点、下载和文件选择行为均按同一流程验收。

文档确认后的下一阶段

本稿确认后再进入低保真画布文件或可交互原型制作，并以本稿为页面与状态依据。高保真阶段补充原创机能风艺术带、真实素材缩略和像素级视觉 QA，但不得借视觉深化改变本稿绑定的产品状态、权限、错误动作、固定文案、API 语义或 AC。