workbuddy 安全部署需五步：一、启用claw三级安全模式（craft/plan/ask）并按需设定；二、限定工作区目录并开启沙箱保护；三、在企业微信后台配置机器人白名单及可信ip；四、禁用非必要系统权限；五、api模式下启用token与aes密钥校验。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 免费无限量使用 DeepSeek R1 模型☜☜☜
如果您已完成 WorkBuddy 安装，但尚未配置安全访问策略或对远程调用权限存疑，则可能存在本地文件被越权读取、系统指令被误执行等风险。以下是实施 WorkBuddy 安全部署的具体操作步骤：
一、启用 Claw 安全模式分级控制
WorkBuddy 的 Claw 模块提供三级安全模式（Craft/Plan/Ask），用于限制 AI 在本地环境中的操作深度，防止未经确认的高危行为发生。不同模式对应不同权限边界，必须根据使用场景手动指定。
1、启动 WorkBuddy 后，点击右上角个人中心图标，进入「Claw 设置」界面。
2、在「安全模式」下拉菜单中，选择当前任务所需等级：推荐日常办公选用 Plan 模式；仅需问答时选 Ask；仅在明确需要执行脚本或文件修改时临时切换至 Craft。
3、点击「保存设置」，该模式将实时同步至所有已绑定的通讯工具端（如企业微信、飞书等）。
二、限定工作区目录范围
通过预设受控文件夹作为唯一可访问路径，可有效隔离 WorkBuddy 对系统其他区域的读写尝试，避免跨目录误操作或敏感数据泄露。
1、在 WorkBuddy 主对话框右下角，点击「指定工作区」按钮。
2、弹出窗口中，点击「浏览」并选择一个专用文件夹（例如：D:\WorkBuddy_SafeZone 或 ~/Documents/WorkBuddy_Job）。
3、勾选「启用工作区沙箱保护」选项，确保未勾选“允许访问上级目录”及“允许遍历系统根目录”两项。
4、点击「确认锁定」，此后所有文件读取、生成、修改操作均被强制约束在该目录内。
三、配置企业微信机器人访问白名单
当通过企业微信调用 WorkBuddy 时，可通过后台策略限制仅允许特定成员或部门发起指令，从通讯入口端切断未授权调用链路。
1、使用企业管理员账号登录「企业微信管理后台」（https://work.weixin.qq.com/）。
2、导航至：应用管理 → 智能机器人 → 找到已注册的 WorkBuddy 机器人 → 点击「编辑」。
3、在「可见范围」设置中，取消勾选「全员可见」，改为手动添加指定成员或部门。
4、在「高级设置」中开启「仅允许来自可信IP调用」，并填入您公司出口公网IP或WorkBuddy所在内网网段（如：192.168.10.0/24）。
四、禁用非必要系统权限授权
WorkBuddy 首次运行时会请求多项系统级权限（如屏幕录制、辅助功能、全盘文件访问），其中部分权限与基础功能无直接关联，应按需关闭以缩小攻击面。
1、Windows 用户：打开「设置」→「隐私和安全性」→「应用权限」，逐项检查 WorkBuddy 条目。
2、关闭以下非必需权限：“后台应用”、“麦克风”、“位置”、“联系人”、“日历”；保留“文件系统”、“通知”、“剪贴板”三项。
3、macOS 用户：前往「系统设置」→「隐私与安全性」→「完全磁盘访问」，点击锁形图标解锁后，取消勾选 WorkBuddy；仅在「文件和文件夹」中保留「下载」、「文档」、「桌面」三个目录。
五、启用 Token 认证与 AES 密钥强制校验
在 API 模式下连接企微机器人时，若未启用加密通信校验机制，Webhook 请求可能被中间人截获或伪造，导致恶意指令注入。
1、在企业微信机器人创建页，确保已切换至「API 模式创建」并选择「URL 回调」方式。
2、点击「随机获取」生成 Token 和 EncodingAESKey，二者必须完整复制且不得明文存储于配置文件或聊天记录中。
3、在 WorkBuddy 的 Claw 设置 →「企微 AIBot 集成」中，粘贴 Token 与 EncodingAESKey 后，勾选「启用消息签名验证」。
4、完成注册并获取 Webhook URL 后，返回企业微信后台，在机器人「回调配置」中启用「消息加密」并填入相同 EncodingAESKey。
