吸收数字员工多步审批跨端回写

qimingclaw/docs/digital-employee-frontend-integration-plan.md

@@ -450,7 +450,8 @@ crates/agent-electron-client/src/preload/webviewPerfBridge.ts
 - 数字员工技能库通过 `getSkillCapabilities` 读取 qimingclaw 当前 MCP 配置、server 状态、已发现工具与 allow/deny 限制，并把 MCP server/tool 投射为 `/api/skill` 技能项；技能策略已拆分为本地偏好 `local_skills` 与管理端治理 `remote_skills`，可通过 `POST /api/skill/policies/pull` 拉取管理端 `GET /api/digital-employee/policies/skills` 下发策略，远端禁用优先生效且拉取失败会保留现有策略并记录 `last_pull_error`。
 - 数字员工调试存储、dashboard、flow 和产物列表通过 qimingclaw adapter 的 `/api/debug/store`、`/api/dashboard`、`/api/debug/plan/:id/flow`、`/api/debug/task/:id/flow`、`/api/artifact` 投射本地 Plan / Task / Run / Event / Artifact / Approval；Run/Event payload 中的 `artifacts`、`outputs`、`files`、`outputPath`、`uri` 等字段会作为正式 artifact 记录为空时的兼容产物入口展示。
 - qimingclaw 主进程记录 `/computer/chat` 结果和 runtime event 时，会从 payload 的 `artifacts`、`outputs`、`files`、`attachments`、`outputPath`、`uri` 以及 `approvals`、`approval_requests`、`needApproval` 等字段轻量提取正式 `digital_artifacts` / `digital_approvals` 记录，并进入 outbox 同步。
-- `digital_approvals` 会投射为数字员工 workday 的 `decisions`；首页待解决事项按钮会调用本地 `decide_approval` action，把处理结果写入 SQLite UI state，回写正式 approval 状态并进入 approval outbox，同时生成 `digital_workday_decide_approval` runtime event。同步失败 review 只保留在 dashboard/同步诊断中，不作为可审批 workday decision。
+- `digital_approvals` 会投射为数字员工 workday 的 `decisions`；首页待解决事项按钮会调用本地 `decide_approval` action，把处理结果写入 SQLite UI state，回写正式 approval 状态并进入 approval outbox，同时生成 `approval_decision` / `digital_workday_decide_approval` runtime event。approval payload 已支持 `workflow`、`steps`、`current_step_id`、`participants` 和 `decision_history`，旧单步审批会自动规范化为单步 workflow；多步审批未完成时保持 `pending`，全部通过才进入 `approved`，任一步拒绝进入 `rejected`。同步失败 review 只保留在 dashboard/同步诊断中，不作为可审批 workday decision。
+- 审批跨端更新与回写已开始闭环：客户端可通过 `POST /api/approval/updates/pull` 拉取管理端 `GET /api/digital-employee/approvals/updates` 审批更新，也会在本地处理审批后通过 `POST /api/digital-employee/approvals/decisions` 尝试回写管理端；远端异常会写入 `digital_workday_approval_*` 事件，不阻断本地审批状态推进。
 - 高风险动作审批策略已沉淀到 UI state 的 `riskApprovalPolicy`，可通过 `POST /api/risk-approval/policy/pull` 拉取管理端 `GET /api/digital-employee/policies/risk-approval` 下发策略；受控的服务重启、产物访问/保留、审批动作、治理命令和 ready PlanStep 派发前会先评估风险策略，命中审批会写入 `risk_approval_required` approval/event，命中拒绝会写入 `risk_policy_rejected` event，管理端同步业务视图会提炼 action、risk level、decision、approval ID 和策略来源。
 - 任务中心的 `/api/governance/command` 已接入 qimingclaw 兼容层：`create_plan`、`submit_plan`、`approve_plan`、`activate_plan`、`create_schedule`、`run_schedule_now` 等命令返回本地可解释结果，其中激活/立即运行会映射到 adapter 的 dispatch/workday 状态。
 - 日报下载不再打开 sgRobot 风格 PDF 后端直链；生成日报后会基于当前 qimingclaw workday 投影在浏览器内导出本地文本日报。
@@ -548,8 +549,8 @@ GET /api/digital-employee/approvals
 1. **PlanStep 与依赖图（依赖图调度已开始）**
    - 已吸收：Plan / Task / Run 记录、计划模板、`create_plan` 中的 steps/tasks 可物化为任务；PlanStep 已开始作为正式本地实体落入 `digital_plan_steps`。
    - 当前能力：PlanStep 会进入 `digital_sync_outbox`，entity type 为 `plan_step`；任务中心 flow 和 debug store 优先读取真实 PlanStep 生成步骤图；Task Agent 的 retry / skip / cancel / pause / resume / input / run 控制已可更新真实 Task、PlanStep、Run、Event 和 outbox；前置步骤跳过、取消或重试后会重新评估后继步骤，推进为 ready / blocked / pending 并写入依赖图事件；scheduler sweep 会识别可派发的 ready PlanStep，派发前先通过管理端 `POST /api/digital-employee/leases/plan-step-dispatch/acquire` 做跨设备强租约仲裁，管理端拒绝会以 `remote_lease_rejected` 跳过，管理端异常会降级为 5 分钟本地软租约 `payload.dispatchLease.source = local_fallback` 并记录 `remote_error`；调用本地 `/computer/chat` 后会写入 `plan_step_dispatch_*` 与 `governance_start_run` 事件，派发完成或失败会先尝试 `release` 管理端租约再释放本地 lease 并写入 `plan_step_lease_*` 事件；已有未过期租约的步骤仍会以 `lease_active` 跳过；auto sweep 会按节流从管理端 `GET /api/digital-employee/policies/plan-step-dispatch` 拉取远端派发策略，拉取失败时保留本地策略并记录 `last_pull_error`；embedded 已提供 `/api/digital-employee/plan-steps`、`/api/digital-employee/plan-step-graph`、`/api/digital-employee/plans/:planId/dispatch-ready-steps`、`/api/plan-step/dispatch-policy` 和 `/api/plan-step/dispatch-policy/pull`，ready PlanStep 安全派发、计划级跨任务推进、管理端依赖图视图、本地/远端派发策略、可观察租约状态和首页阻塞依赖处理入口已开始闭环。
-   - 后续缺口：管理端正式路由 UI、派发策略管理 UI 和多步审批流仍待吸收。
-   - 建议：下一轮围绕管理端正式路由 UI 或多步审批流，把本地可治理调度继续推进到跨端治理策略。
+   - 后续缺口：管理端正式路由 UI、派发策略管理 UI 和跨端审批策略 UI 仍待吸收。
+   - 建议：下一轮围绕管理端正式路由 UI 或跨端审批策略 UI，把本地可治理调度继续推进到跨端治理策略。
 
 2. **调度 / 定时 / 周期任务**
    - 已吸收：`digital_schedules`、`digital_schedule_runs` 已进入 qimingclaw 本地 SQLite 与 outbox，entity type 为 `schedule` / `schedule_run`；旧 `/api/cron`、`/api/scheduler/jobs` 和治理命令会优先读取真实本地调度记录。
@@ -585,9 +586,9 @@ GET /api/digital-employee/approvals
    - 建议：下一轮围绕管理端批量治理和跨设备版本聚合，把可操作交付视图推进到完整生命周期管理。
 
 8. **审批 / 人工介入增强**
-   - 已吸收：approval 记录、workday decision、ACP permission 响应桥已有雏形；用户处理审批时会写入 `approval_decision` runtime event；评论、转交、超时、风险标记会写入 `approval_action_recorded` / `approval_action_rejected`，并联动 embedded `/api/approval/:approvalId/timeline`、审批列表摘要、管理端 `/api/digital-employee/approval-history` 历史视图、`/api/approval/subscriptions` 订阅策略和 notification 投影；风险审批策略已支持管理端远端下发、手动拉取、本地策略评估和高风险动作前置拦截，审批动作历史、风险策略与通知联动已开始闭环。
-   - 缺口：缺少系统级桌面通知、多步审批流、审批策略管理 UI 和跨端审批处理回写。
-   - 建议：下一轮先补多步审批流和跨端审批处理回写，再评估系统级桌面通知的跨端策略。
+   - 已吸收：approval 记录、workday decision、ACP permission 响应桥已有雏形；用户处理审批时会写入 `approval_decision` runtime event；评论、转交、超时、风险标记会写入 `approval_action_recorded` / `approval_action_rejected`，并联动 embedded `/api/approval/:approvalId/timeline`、审批列表摘要、管理端 `/api/digital-employee/approval-history` 历史视图、`/api/approval/subscriptions` 订阅策略和 notification 投影；风险审批策略已支持管理端远端下发、手动拉取、本地策略评估和高风险动作前置拦截；多步审批 workflow 已复用 `digital_approvals.payload`，支持步骤推进、转交/超时/风险动作更新当前步骤、管理端审批更新拉取和审批处理回写，审批动作历史、风险策略、多步流程与通知联动已开始闭环。
+   - 缺口：缺少系统级桌面通知、审批策略管理 UI、跨端审批冲突可视化和正式管理端审批工作台。
+   - 建议：下一轮先补审批策略管理 UI 或管理端审批工作台，再评估系统级桌面通知的跨端策略。
 
 9. **通知 / Inbox / 用户消息**
    - 已吸收：运行事件和同步失败能在数字员工页面展示；embedded adapter 已接管 sgRobot 风格 `/api/notifications`、未读数、read/dismiss/reply，本地 UI state 会保存通知已读、忽略和回复 overlay；顶部 Bell 已开始展示 approval、同步失败、服务异常和任务完成通知；本地通知订阅偏好已接入 `/api/notifications/preferences`，可按总开关、等级和常用类型过滤 Inbox；`/api/digital-employee/notifications` 已提供管理端可消费的本地通知业务视图，通知动作和订阅偏好事件的 sync `business_view` 会归类为 notification 并提炼状态字段；`need_input` 通知首次回复会同步转化为 `provide_task_input` 治理命令，保留通知回复 overlay 的同时写入 Task/Run/Event/outbox，管理端 sync `business_view` 只同步来源、通知 ID 和输入长度，通知投影、本地订阅策略与任务输入链路已开始闭环。
@@ -1066,8 +1067,9 @@ Approval
 - embedded digital 页面展示这些 runtime approval。
 - 用户点击同意 / 驳回时，adapter 从 approval payload 取出 `sessionId` / `permissionId`，通过 preload bridge 调用 `agent:respondPermission`。
 - 本地 approval payload 会记录 `acpPermission` 回复结果，供管理端同步和审计。
-- 用户处理审批后，主进程会同步写入 `approval_decision` runtime event；embedded adapter 新增 `/api/approval/:approvalId/timeline`，可从 approval 记录和相关 runtime event 投影只读审批动作时间线。
+- 用户处理审批后，主进程会同步写入 `approval_decision` runtime event；embedded adapter 新增 `/api/approval/:approvalId/timeline`，可从 approval 记录和相关 runtime event 投影只读审批动作时间线；多步审批 workflow 会在 timeline 和首页决策卡展示当前步骤、总步骤数、处理人和下一步。
 - 管理端可通过 `/api/digital-employee/approval-history` 查询审批动作历史，客户端可通过 `/api/approval/subscriptions` 维护审批订阅策略；订阅更新会写入 `digital_workday_update_approval_subscriptions` runtime event 与同步业务视图。
+- 客户端可通过 `POST /api/approval/updates/pull` 手动拉取管理端审批更新，审批处理后会尝试回写 `POST /api/digital-employee/approvals/decisions`；回写失败只进入 runtime event 和 outbox 诊断，不回滚本地决策。
 
 用户可操作：