需配置飞书应用白名单、app id与ip映射及客户端绑定：一、启用机器人能力并导入权限；二、添加tenant key至租户白名单；三、配置可信ip或cidr段；四、workbuddy中手动输入app id和tenant key并验证；五、可选启用webhook签名验证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您已完成 WorkBuddy 与飞书的基础对接，但希望进一步限制应用调用来源、仅允许特定 App ID 关联的飞书租户访问，或绑定可信 IP 范围以增强通信安全性，则需配置飞书应用白名单及 App ID 与 IP 限制映射。以下是具体操作步骤：
一、确认飞书应用已启用机器人能力并完成权限导入
白名单与 IP 限制功能依赖于机器人能力的完整启用和必要权限的授予，否则后续配置项将不可见或无法生效。确保已在飞书开放平台应用详情页中成功添加「机器人」能力，并通过「批量导入/导出权限」完整导入包含 im:message:send_as_bot、im:chat:read、im:message:readonly 等核心权限的 JSON 列表。
1、登录飞书开放平台（https://open.feishu.cn/），使用企业管理员账号进入对应应用详情页。
2、在左侧目录树中确认「添加应用能力」下「机器人」状态为「已启用」。
3、展开「权限管理」→「批量导入 / 导出权限」，检查页面顶部是否显示「权限已添加成功」提示。
二、在飞书后台配置应用白名单（Tenant Whitelist）
该步骤用于限定哪些飞书企业租户（通过 Tenant Key 识别）可合法调用当前应用接口，防止未授权企业滥用 App ID。白名单为强制校验项，未加入列表的租户即使持有正确凭证也无法完成 OAuth 授权或接收事件推送。
1、在应用详情页左侧菜单中，点击「安全设置」→「租户白名单」。
2、点击「添加租户」按钮，弹出输入框。
3、在目标飞书企业内，由管理员进入「管理后台」→「企业信息」页面，复制「Tenant Key」（长度为24位字母数字组合，形如 t-xxxxxxxxxxxxxxxxxxxxxxxx）。
4、将该 Tenant Key 粘贴至飞书开放平台白名单输入框，点击「确认添加」。
5、重复步骤3–4，为所有需接入 WorkBuddy 的合作企业逐一添加。
三、配置 App ID 与可信 IP 地址段映射（IP Allowlist）
此配置限制飞书服务端仅向指定公网 IP 或 CIDR 段发起 Webhook 回调请求，避免恶意第三方伪造事件推送。WorkBuddy 客户端所在机器的出口 IP 必须在此列表中，否则无法接收飞书消息事件。
1、在应用详情页左侧菜单中，点击「安全设置」→「IP 白名单」。
2、点击「添加 IP 段」按钮。
3、获取 WorkBuddy 所在电脑的公网 IPv4 地址：访问 https://api.ipify.org 页面，记录返回的纯 IP 字符串（如 203.208.60.123）。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
4、若使用动态公网 IP，建议联系网络管理员确认所属 ISP 分配的 CIDR 段（例如 203.208.60.0/24），或填写单 IP 后加 /32（如 203.208.60.123/32）。
5、将整理后的 IP 或 CIDR 段粘贴至输入框，点击「保存」。
四、在 WorkBuddy 客户端侧同步校验 App ID 绑定关系
WorkBuddy 需明确知晓当前配置的 App ID 对应哪个飞书租户，以便在收到事件时执行租户上下文隔离。该绑定不依赖网络请求，而是在本地设置中显式声明，避免跨租户指令混淆。
1、打开本地运行的 WorkBuddy 客户端，点击右上角个人头像 →「Claw 设置」→「飞书集成」。
2、确认「App ID」输入框中内容与飞书开放平台「凭证与基础信息」页显示的 App ID 完全一致（含大小写与连字符）。
3、在「租户标识」字段中，手动输入与该 App ID 绑定的飞书企业 Tenant Key（即步骤二中复制的 t-xxxxxxxxxxxxxxxxxxxxxxxx）。
4、点击「验证绑定」按钮，客户端将本地比对 Tenant Key 格式并检测是否已存在于飞书后台白名单中。
5、若提示「租户未授权」，请返回步骤二补全白名单；若提示「格式错误」，请检查 Tenant Key 是否含空格或误粘贴字符。
五、启用飞书端 Webhook 签名验证（可选强安全模式）
启用后，飞书每次推送事件至 WorkBuddy Webhook 地址时，均附带 X-Lark-Signature 和 X-Lark-Timestamp 头部，WorkBuddy 将依据 App Secret 进行 HMAC-SHA256 签名校验。此机制要求 App Secret 已正确填入客户端且不可泄露。
1、在飞书开放平台应用详情页，点击「事件订阅」→「Webhook 设置」。
2、勾选「启用签名验证」。
3、在「App Secret」输入框中，再次粘贴与客户端配置一致的密钥（注意：此处为只读展示，不可修改）。
4、点击「生成新密钥」将使旧密钥立即失效，务必同步更新 WorkBuddy 客户端中的 App Secret 值。
5、保存后，WorkBuddy 客户端「飞书集成」页「签名验证状态」将变为「已启用」。
