需在隔离环境预演权限与安全策略：一、建本地沙箱；二、设最小进程权限并测试文件读取；三、导出飞书权限JSON验证仅含三项必要API；四、用Wireshark检测Claw的TLS 1.3加密强度；五、验证知识库仅限指定目录索引。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 免费无限量使用 DeepSeek R1 模型☜☜☜
如果您计划将WorkBuddy部署于企业内网环境并启用私有化运行模式，但尚未完成正式部署，则需在隔离环境中预先验证权限配置与安全策略的可行性。以下是开展权限预演与安全环境模拟测试的具体操作路径：
一、构建本地沙箱测试环境
该步骤旨在复现真实私有化部署所需的最小权限边界与资源隔离条件，避免直接在生产系统中调试引发风险。所有操作均应在独立虚拟机或容器中执行，确保与主办公网络物理/逻辑隔离。
1、准备一台Windows 11或macOS 13+的干净测试机，不安装任何其他AI工具或远程控制软件。
2、下载WorkBuddy独立应用版安装包（版本号不低于v2.4.0），来源限定为官网https://www.codebuddy.cn/work/。
3、在系统设置中关闭自动更新、云同步及遥测功能，禁用所有非必要系统服务（如OneDrive、iCloud Drive）。
4、使用本地标准用户账户（非Administrator/root）完成安装与首次启动，拒绝授予管理员提权请求。
二、模拟最小权限策略加载
本方法通过手动限制WorkBuddy进程可访问的系统资源范围，验证其在受限权限下是否仍能完成核心任务解析与本地文件操作，为后续Kubernetes RBAC或SELinux策略编写提供依据。
1、启动WorkBuddy后，立即打开任务管理器（Windows）或活动监视器（macOS），定位到workbuddy.exe或WorkBuddy进程。
2、右键该进程 → 选择“转到详细信息” → 在详细信息页签中右键进程 → 选择“设置优先级” → 设为“低于正常”。
3、继续右键 → 选择“属性” → 切换至“安全性”选项卡 → 点击“编辑” → 选中当前登录用户 → 勾选“读取和执行”“列出文件夹内容”“读取”，取消勾选“写入”“修改”“完全控制”。
4、返回WorkBuddy界面，在指令框输入：请读取桌面目录下的README.md文件内容，不保存、不修改、不创建新文件，观察响应是否成功返回文本。
三、飞书机器人权限回溯验证
此步骤用于确认在私有化部署前提下，飞书端机器人所申请的API权限是否与WorkBuddy实际调用行为严格匹配，防止权限过度开放导致横向移动风险。
1、登录飞书开放平台，进入已创建的企业自建应用详情页。
2、点击左侧菜单「权限管理」→「批量导入 / 导出权限」→ 点击「导出当前权限」获取JSON格式权限清单。
3、在本地新建文本文件，粘贴导出内容，搜索关键词：im:message:send、contact:user:read、drive:file:read，确认仅存在这三项且无drive:file:write或im:chat:manage等高危权限。
4、将该JSON文件保存为workbuddy-minimal-perms.json，作为后续Ansible或Terraform权限模板的基准输入。
四、Claw远程通道加密强度检测
该测试聚焦于WorkBuddy通过Claw协议与飞书通信时的传输层安全控制能力，验证TLS 1.3启用状态、证书校验机制及密钥交换算法是否符合等保2.0三级要求。
1、在测试机上安装Wireshark并配置环回接口捕获过滤器：tcp.port == 443 and ip.addr == 127.0.0.1。
2、在WorkBuddy中开启Claw设置，绑定飞书机器人，触发一次消息发送（例如发送“测试连接”）。
3、停止抓包，筛选出TLS握手报文，检查Server Hello字段中的Cipher Suite是否为TLS_AES_256_GCM_SHA384或更高强度组合。
4、右键任意Client Key Exchange报文 → 选择“Decode As” → 强制指定为TLS → 查看Certificate Verify字段是否存在ECDSA-SHA256签名标识。
五、本地知识库沙箱读写隔离验证
本步骤验证WorkBuddy在启用私有化知识库时，能否严格限制AI模型仅在指定目录内进行文件扫描、索引与向量化，杜绝越界读取系统敏感路径（如/etc/shadow、C:\Windows\System32\config）。
1、在测试机桌面新建文件夹workbuddy_kb_test，内部放入一个PDF与一个TXT文件，内容含明确标识符“KB_TEST_SCOPE_ONLY”。
2、在WorkBuddy中进入「知识库管理」→「添加本地知识库」→ 仅选择该文件夹路径，不勾选“包含子目录”选项。
3、等待索引完成后，在聊天窗口输入：检索包含‘KB_TEST_SCOPE_ONLY’的所有文档，确认结果仅返回该文件夹内文件。
4、手动在C:\temp（Windows）或/tmp（macOS）中创建同名文件并写入相同字符串，再次执行相同检索指令，确认无新增结果返回。
