把它做成生产功能之前，需要先拆开协议事实、产品承诺和运行成本，三者混在一起很容易得到错误结论。 navigator.onLine 只说明存在网络接口，不能证明服务或对端可达。功能可用性应组合信令、对端会话、本地存储和权限事实。
产品闭环要覆盖开始、等待、取消、失败、恢复与再次进入，并保证自动化服从用户最后一次明确选择。指标应衡量任务结果，而不是按钮点击数量。
落地方案的关键部件
先从数据和协议能保证的事实出发，再决定界面承诺。下面的规则都应有明确所有者、边界值和兼容策略，不能只存在于某次代码评审的口头共识里。
- 按钮状态来自 capability selector：历史与设置离线可用，文件可先选择并排队，屏幕共享需活跃对端；禁用旁边提供具体原因和行动。
- 把协议事实、用户意图和自动恢复分层；自动化只能恢复事实，不能推翻用户明确选择。
- 兼容性通过显式能力协商决定，旧客户端得到可解释的降级路径，而不是进入半可用状态。
“离线时哪些按钮该能点：功能门控要表达能力而非粗暴禁用”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
别让错误假设进入生产
最值得优先排查的是会静默留下错误事实的故障：界面看似恢复，底层队列、权限或计数却已分叉。这类问题通常在下一次动作才暴露。
- 全局灰掉页面让用户无法查看历史或取消任务；允许点击后只 toast“网络错误”又浪费已输入内容。
- 只修正界面状态而没有清理底层资源，下一次操作继承队列、锁或过期凭据并再次失败。
- 指标标签直接包含用户或任务标识，既制造高基数成本，也让诊断数据泄露不必要的身份信息。
发布闸门应该检查什么
验证时同时观察两端状态、持久化记录和可观测指标。单看某个按钮或一次接口响应，无法证明整个闭环成立。
- 分别切断互联网、信令、对端和本地存储，逐按钮核对可用、可排队、需授权与不可用状态，以及恢复后的动作是否只执行一次。
- 用乱序、重复和延迟消息驱动状态机，确认旧版本被丢弃且显式停止不会被自动恢复覆盖。
- 用故障注入验证告警先于用户投诉触发，并确认值班人员能从有限证据定位到具体阶段。
最终结果应同时满足正确性、可恢复性和可解释性。任何一项只能依赖刷新页面或工程师猜测，都说明协议闭环仍不完整。