`（行里不能再套按钮），不写 `boxSizing` 就会比列表宽 28px，把复制按钮切在面板右缘之外——桌面 800px 与手机 390px 都实测到了。 - **验证码分区行**（等于 m00193 的 App 形态）：图标 + 名称 + 用户名 + 30px 倒计时圆环（环心写剩余秒数）+ 6 位动态码（等宽、3+3 分组「686 029」）+ 右侧复制按钮（点它不打开条目）。动态码每秒只在这几行里请求。 - **详情头部**：图标位与列表行同源（`iconFor(value, S.avatarImgLg) ?? monogram(value)`）——服务器有站点图标就显示图标，没有才退回 36px 的字母圆枕。这两处曾各走各的：列表行取图标，头部直接画字母，于是点开条目图标就消失了（v0.7.1 修）。大圆枕里用 22px 的图，列表行仍是 18px。reprompt 条目的头部同样拿得到图标：`projectItem` 的门只挡字段，网址本就在打开它的那一行里露着。 - **详情**：用户名/密码（默认掩码，显示/隐藏切换）/TOTP（30px 圆环倒计时，每秒请求、卸载清理定时器；剩余秒数写在环心，弧随剩余时间缩短，色从绿经橙渐变到红，`role="img"` + `aria-label` 报出秒数，`prefers-reduced-motion` 下不扫弧只跳格）/URI/目录/备注/自定义字段；每行复制按钮，成功 1.5 秒反馈（`aria-live`）。按类型投影：卡片（卡号掩码到后四位/持卡人/品牌/有效期/安全码）、身份（姓名/邮箱/电话/地址分组合并）、SSH 密钥（公钥与指纹明文、私钥掩码）；附件与密码历史各自折叠（附件只显示文件名与大小，不提供下载）；带通行密钥的条目显示徽标。回收站条目顶部有软删说明横幅，读取时带 `includeTrashed`。 - **写操作**（`accessMode` 为 `ask`/`auto` 时）：详情底部「操作」区 = 归档/取消归档、移入回收站、恢复（仅回收站条目）、移动到文件夹；点任一操作先出确认框（文案随操作变化，注明**面板操作不受 accessMode 门禁保护，请谨慎操作**），确认后才发 `vw/update`/`vw/remove`/`vw/restore`。移动文件夹用独立小框（不移动 + 文件夹列表，取消发送 `folderId: null`）。`readonly` 档不渲染按钮，显示一行「当前为只读模式」。写入期间显示「正在写入…」，完成后就地提示并刷新。 - **reprompt**：Bitwarden 开启「重新验证」的条目不出明文，**任何字段都不出**。详情里是锁形说明 + **主密码输入框** + 「输入主密码解锁」（回车即提交），输错留在原地报错。这道门没有布尔旁路：`reveal` 不收 `confirm`，解锁只能由 `vw/authorizeReprompt` 打开，时间窗（默认 5 分钟）内整条可读，窗在面板上以「已解锁 N 分钟」显示。 - **窄字段按需读取**：`all` 只给存在位（`hasCard` / `hasIdentity` / `hasSshKey`，SSH 另给指纹）。详情渲染成「含银行卡 · 读取这一项」一行，点一下才发一次 `vw/reveal { field: 'card' }`，取回的行替换那一行；切换条目时这些窄字段状态一并清空。 - **编辑器**（v0.8.0，`accessMode` 为 `ask`/`auto` 时）：详情「操作」区多一个**编辑**，工具栏多一个**新建条目**。编辑器**整体替换详情**，不是详情里的一节——两者回答的是不同问题（「这条是什么」vs「这条该改成什么」），半开的编辑器压在只读摘要下面读起来像一个存不进的表单。打开编辑 = 一次 `vw/draft { id }`：宿主把整条明文装配好返回（密码、卡号、身份、SSH 私钥、笔记正文），而不是让面板逐控件发一次 `vw/reveal`。TOTP **种子刻意不在 draft 里**（面板本来就只经 `vw/totp` 取码、从不持有种子），表单里那一项留空即保留原设置；想换种子才在这里填。表单按类型给字段：登录（用户名/密码/TOTP/网址/备注）、安全笔记（正文）、银行卡（持卡人/品牌/卡号/到期月年/安全码，卡号与安全码是密码型控件）、身份信息（称谓/名/中间名/姓/用户名/公司/邮箱/电话/SSN/护照/驾照/三行地址/城市/省州/邮编/国家，SSN/护照/驾照是密码型控件）、SSH 密钥（私钥/公钥/指纹，私钥是 textarea 等宽）。另有收藏、需要重新验证、文件夹（仅个人条目）、自定义字段（增删行）。保存 = **只发变化过的字段**：`diffOf(base, form)` 逐项比对宿主给的 draft 与读者键入的值，`vw/update { id, input }` 的 `input` 是**扁平字段**（网关按参数名校验，嵌套 `patch` 对象会被拒）。没碰过的密码/TOTP/用户名根本不进请求——这正是表单没展示的通行密钥、附件、密码历史能原样留存的原因。新建走 `vw/create`，类型选择器一换就按新类型重建表单。保存成功后**强制 `vw/sync`**（写回已落地，这一步让下一条 `vw/list` 读得到），再重读列表与分区计数；同步失败只作为「已保存，但同步未完成：…」的警告跟在成功旁边——写已经落地，把它报成失败会诱使读者重试、从而造出重复条目。 **冲突**：宿主在自己那份已变时以 `stale_revision` 拒绝写入。编辑器据此停用保存按钮并说明「该条目已被其他客户端修改，请重新打开编辑器」——这不是该重试的错误。 **实时同步**：宿主处于轮询模式（`liveSync.mode` 非 `off` 非 `websocket`）时，面板按宿主自报的 `pollIntervalMs`（下限 15 秒）安静重读一次列表：`readVault` 保留屏上旧行，答案不变就原样重绘、不闪。WebSocket 模式不另起定时器（宿主自己的信号处理器会刷新）；编辑器/设置表单/确认框/写入进行中一律不刷——换掉读者正在编辑的行等于丢他们的工作。 - **空状态**：未配置（引导去卡片补全）/ 加载失败（错误 + hint + 重试）/ 无匹配（换词提示）/ 未选中（引导选条目）。 ## 5. 安全姿态 - 列表数据（`vw/list`）永不返回密码；密码只在用户主动打开条目并点「显示」后出现，且只进 DOM。 - reprompt 条目遵循 Bitwarden 官方客户端约定，不自动解密展示，且**只能由本人在面板输入主密码解锁**——工具面没有、也不该有能绕过它的参数（v0.6.x 的 `confirm: true` 已删除）。 - 主密码/API secret 在宿主派生的表单里是只写字段（留空=不修改），已存值不回显。 - 面板所有数据走 `/api` connection RPC —— 该通道自带操作者鉴权，插件不注册任何自有 HTTP 路由。 ## 7. 开箱体验：静默恢复 + 先绘制后请求 **开面板的时序**（`VaultPanel` 的 `load()`）： 1. 同步绘制：`openCache`（同页）→ localStorage 快照（重载后）。有就立刻 `ready`，没有才 `loading`。 2. 一次 `vw/boot`：`{ config, resumed, session }`。Host 侧 `resumeSession()` 只读盘会话 + 必要时刷新 refresh token，**从不发起登录**（否则两步验证账号每次开面板都被拦）。 3. 身份校验：快照的 `serverUrl + email` 与 `boot.config` 不一致 → 丢快照回到 `loading`；未配置 → 清快照进引导；`resumed: false` → 清快照进登录表单。 4. 后台刷新：`vw/list` 与 `vw/status` **并行**发出，成功后回写两级缓存。列表按 `PAGE_SIZE = 50` 分页，向下滚动自动续读下一页；滑得比加载快时，尾部才出现「还有 N 条」按钮兜底。宿主拒绝分页参数时回退整表读取（上限 200），被上限截断时仍保留按钮。 4b. 切分区：该分区快照在 `SECTION_CACHE_MS = 5 分钟` 内且确实换过分区 → 直接重绘，**零 RPC**；否则先画列表再补一次安静的后台读取（分页游标与「还有 N 条」状态随分区一起重置）。搜索、刷新按钮、写操作一律绕过缓存。 **为什么要这种顺序**：凭据列表只含摘要（名称/类型/用户名/URI/目录/徽标），没有密码与 TOTP 明文，可以安全驻留 localStorage；快照按「服务器 + 邮箱」绑定，且在宿主报告登出时立即删除。宿主侧同时把「开一次面板」从两次串行 RPC 降为一次，列表与状态并行，插件激活时后台预热（`resumeSession` + `unlock` 填解密缓存），重启后第一次开面板不再付全量同步的代价。 ## 6. 自验 - `node test/client-card.test.mjs`：295 项（模块加载器契约、9 字段、三分节、switch aria、secret 不回显、保存/清除、同步状态行、面板列表/搜索/详情/掩码/复制/repromise/TOTP/空状态、**工具栏图标化**（新建/设置/刷新画成 16×16 线稿，`title` + `aria-label` 保留可访问名；手机宽度三个按钮与计数同排，不再换行也不再被挤成「共 4」）、**密码行两行堆叠**（掩码值一行、显示/复制按钮一行，label 顶部对齐，窄宽下按钮不再被挤出卡片）、**网址字段单行 input**（一个 URL 一行，66px textarea 读起来像块空板）、**层级分区导航（侧栏行与计数、分组标题、aria-current、进入分区带 section/sectionValue、切回命中快照零 RPC、老宿主无 `vw/overview` 时只剩「全部条目」一行）、服务端图标（`__setIcons` 命中出 ``、`none` 退回字母圆枕、打开后的详情头部带同一个图标且放大到 22px）、验证码分区行（3+3 分组动态码、圆环、复制）、写操作（归档/回收站/恢复/移动的二次确认与参数、readonly 只读说明、回收站条目 includeTrashed）、五类条目详情（卡片掩码/身份/SSH/附件与历史折叠）**、**重载先从快照绘制而未登录即清快照**、`vw/boot` 一次 RPC 取代 config+session、**旧宿主（无 `vw/boot`）回退后仍开列表且不被要求登录**、**宿主拒绝 `vw/boot` 时报错而不误判旧宿主**、**列表分页：首屏 50 行、滚动续读、滑快出按钮、旧宿主拒绝分页参数后回退整表、页读失败保留列表、无布局度量不发请求、窗口漂移按宿主端点续读不重不漏、废弃列表迟到页被丢弃、满 200 上限截断改诚实提示且不再重试、拒绝分页的宿主下次打开直接整表**）、**按键不得清空列表**（刷新期间旧行留屏、搜索框不卸载、状态提示「正在刷新」、答复落地后行被替换）、**动态码圆环**（三档色令牌与 `stroke-dashoffset` 换算、环心秒数与 aria 标签、偏移随秒数递增、无 `color-mix()` 时取就近端点不丢描边、渐变终点落在 error 令牌）。 - `node test/gateway-flow.test.mjs`：90 项，其中 v0.8.0 补的**编辑器全链路**：`draft` 返回整条明文（密码在、TOTP 只给标志不给种子、自定义字段与 revisionDate 在）、未知 id 报 `not_found`、`update` 只改点名字段且未点名的自定义字段原样留存、写后 `sync` 能读回、并发改写以 `stale_revision` 拒绝且不改动条目、`create` 落库后列表可见。 - `node test/host-entry.test.mjs`：28 项，含 `vw/draft` 在线面白名单内、且 `draft(id, includeTrashed)` 的参数名与面板发出的字段一一对应（网关会拒收参数表里没有的字段）。 - 主题合规：全部颜色经 `var(--vw-*, var(--dsw-alias-*, #fallback))`，无 var() fallback 之外的硬编码色值；无 opacity 压暗文字；`state-*` 不用于正文。 - 明暗双主题截图已核对（`assets/panel-*.png` 三张，800×820：侧栏分区 + 列表页、浅色详情页含写操作区、暗色详情页）。截图在真机 GUI 里拍（宿主自己那 800px 弹窗），因此侧栏宽度就是它在真实设置页里的宽度。