feat(collaboration): 完善在线文档协作与通知闭环

- 新增协作文件夹、文件、不可变修订、成员、会话、回调回执、编辑申请与分享链接数据模型。

- 补齐新建、导入、复制、下载、回收站、恢复、成员授权、所有权转让及文件级权限接口。

- 接入 ONLYOFFICE 共同编辑、历史版本预览与恢复、修订另存副本、导出下载审计和幂等回调保存。

- 增加编辑权限申请、审批通知、项目提醒聚合、通知 Feed、已读处理及历史待办数据回填。

- 支持公开分享的查看或编辑模式、有效期、密码哈希、失败锁定、短时访问凭证与固定分享地址。

- 增加协作者导出、申请编辑、工作表结构保护和所有权管理策略，并纳入项目接口权限矩阵。

- 新增协作文件库、编辑工作区、公开分享页、下载与另存为对话框，以及导航、路由和权限入口。

- 统一网页端与桌面端通知布局，增加沉浸式工作区和浏览器、Tauri 双端全屏能力。

- 扩展运行时文件下载适配、Tauri 环境识别和原生全屏命令，继续保持业务代码运行时边界。

- 加固 ONLYOFFICE 消息桥的同源下载、签名地址隔离和保存为能力校验，并更新桌面发布检查。

- 增加连续数据库迁移、50MB 上传限制、OnlyOffice 中文文案与开发启动路由校验。

- 补充协作、通知、权限、路由、运行时、布局和 OnlyOffice 相关测试及模块说明文档。

backend/app/services/onlyoffice_service.py

@@ -18,7 +18,7 @@ from app.core.exceptions import AppException
 from app.schemas.onlyoffice import OnlyOfficePreviewConfigRead
 
 OnlyOfficeDocumentType = Literal["word", "cell", "slide"]
-OnlyOfficeResourceType = Literal["attachment", "version"]
+OnlyOfficeResourceType = Literal["attachment", "version", "collaboration_revision"]
 
 WORD_FORMATS = frozenset({
     "doc", "docx", "docm", "dot", "dotx", "dotm", "odt", "ott", "rtf", "txt", "wps", "wpt",
@@ -52,7 +52,11 @@ def office_format_for_filename(filename: str) -> tuple[str, OnlyOfficeDocumentTy
 
 
 def onlyoffice_content_url(resource_type: OnlyOfficeResourceType, resource_id: uuid.UUID) -> str:
-    plural = "attachments" if resource_type == "attachment" else "versions"
+    plural = {
+        "attachment": "attachments",
+        "version": "versions",
+        "collaboration_revision": "collaboration-revisions",
+    }[resource_type]
     return (
         f"{settings.ONLYOFFICE_STORAGE_BASE_URL.rstrip('/')}"
         f"/internal/onlyoffice/{plural}/{resource_id}/content"
@@ -200,15 +204,7 @@ def validate_outbox_token(token: str | None, expected_url: str) -> dict[str, Any
             )
         token = credential.strip()
     try:
-        header = jwt.get_unverified_header(token)
-        if header.get("alg") != "HS256":
-            raise JWTError("unexpected algorithm")
-        payload = jwt.decode(
-            token,
-            settings.ONLYOFFICE_JWT_SECRET or "",
-            algorithms=["HS256"],
-            options={"verify_aud": False},
-        )
+        payload = decode_onlyoffice_token(token)
     except JWTError as exc:
         raise onlyoffice_error(
             "ONLYOFFICE_SOURCE_UNAUTHORIZED",
@@ -225,3 +221,15 @@ def validate_outbox_token(token: str | None, expected_url: str) -> dict[str, Any
             status.HTTP_401_UNAUTHORIZED,
         )
     return payload
+
+
+def decode_onlyoffice_token(token: str) -> dict[str, Any]:
+    header = jwt.get_unverified_header(token)
+    if header.get("alg") != "HS256":
+        raise JWTError("unexpected algorithm")
+    return jwt.decode(
+        token,
+        settings.ONLYOFFICE_JWT_SECRET or "",
+        algorithms=["HS256"],
+        options={"verify_aud": False},
+    )