图片无法显示是因公网素材链接未开放公开访问权限。需确认https链接可直接访问、配置cors与referer白名单、放行飞书user-agent及ip段，或改用飞书兼容图床及image_key方案。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用WorkBuddy通过飞书发送卡片消息时，其中嵌入的图片无法显示，则很可能是公网素材链接未开放可公开访问权限。卡片中的图片依赖外部URL加载，若该URL受鉴权限制、IP白名单拦截或Referer策略封锁，飞书服务端将无法成功抓取并渲染图片。以下是解决此问题的具体步骤：
一、确认图片URL是否为可公开访问的HTTPS链接
飞书卡片仅支持通过HTTPS协议加载图片资源，且目标服务器必须允许跨域请求（CORS）及飞书服务端IP段的爬取。非HTTPS链接、自签名证书或强制跳转HTTP的地址均会导致加载失败。
1、在浏览器新标签页中直接粘贴该图片URL，确认能立即显示完整图像且无安全警告。
2、打开浏览器开发者工具（F12），切换至Network面板，刷新页面，找到该图片请求，检查Response Headers中是否包含 Access-Control-Allow-Origin: * 或明确包含飞书域名。
3、若响应头缺失CORS字段，或返回403/401状态码，说明服务端未授权外部调用。
二、检查Web服务器的Referer访问控制策略
部分CDN或静态资源服务默认启用Referer白名单机制，会拒绝来自飞书卡片渲染服务（如 feishu-bot-*.bytedance.com）的请求。需将飞书相关域名加入许可列表。
1、登录所用图床或静态资源托管平台（如腾讯云COS、阿里云OSS、Vercel、Netlify等）控制台。
2、定位到对应Bucket或Project的“防盗链设置”或“Referer白名单”配置项。
3、添加以下域名至白名单：feishu-bot.bytedance.com、feishu-bot-*.bytedance.com（支持通配符）、larksuite.com。
三、验证服务端是否限制了User-Agent或客户端类型
某些后端接口会对请求头中的User-Agent进行识别与拦截，若检测到非浏览器类UA（如飞书卡片服务使用的 bot/crawler UA），可能直接返回空内容或错误页。
1、使用curl命令模拟飞书服务端请求：curl -H "User-Agent: FeishuCardBot/1.0" -I [图片URL]。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、观察返回状态码及Headers，若返回403或Content-Length: 0，说明存在UA拦截。
3、修改服务器配置，在Nginx/Apache中移除对FeishuCardBot UA的deny规则，或在应用层逻辑中放行该UA标识。
四、排查IP白名单与地域访问限制
若图片托管于私有服务器或启用了地域屏蔽（如仅限中国大陆IP），而飞书卡片渲染节点分布在全球多地（含新加坡、美国、日本等），则可能导致部分区域请求被拒。
1、查阅所用服务的访问日志，筛选该图片URL的请求记录，确认失败请求的源IP是否属于飞书官方IP段（可参考飞书开放平台文档公布的IP白名单）。
2、登录服务器防火墙或云服务商安全组控制台，确保已放行飞书公开IP段：103.107.224.0/22、103.107.228.0/22、103.107.232.0/22、103.107.236.0/22（截至2026年4月有效）。
3、临时关闭地域限制策略，测试图片是否恢复显示。
五、替换为飞书兼容的托管方案并启用缓存预热
若自建服务难以快速调整权限策略，可将图片迁移至飞书原生推荐或广泛兼容的第三方图床，避免中间策略干扰，并利用CDN缓存提升首次加载成功率。
1、将原图上传至腾讯云COS（开启“公有读”+“跨域支持”）、阿里云OSS（设置bucket ACL为public-read并配置CORS）或Cloudflare Images（自动适配所有Referer）。
2、获取新生成的HTTPS直链，确保URL末尾不含动态参数（如?t=xxx、&v=1.0），否则飞书可能因缓存键不一致重复拉取。
3、使用飞书开放平台提供的 /message/v4/image 接口预先上传图片并获取飞书内网可用image_key，再在卡片中引用该key，彻底规避公网权限问题。
