授权workbuddy访问麦克风后，可通过五种方式验证审计日志：一、系统原生日志工具检索；二、检查macos的tcc数据库；三、使用windows事件查看器；四、解析workbuddy自有日志文件；五、通过mdm策略日志远程验证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当用户在设备上授权 WorkBuddy 应用访问麦克风后，系统会生成对应的安全审计日志以记录该敏感权限授予行为。以下是查看与验证该审计日志的多种方法：
一、通过系统原生日志工具检索
现代操作系统（如 macOS 和 Windows 10/11）内置了权限访问审计机制，可直接查询应用对麦克风的调用与授权事件。
1、在 macOS 上打开“控制台”应用，于左侧边栏选择“报告” > “系统日志”，在搜索框中输入 WorkBuddy 与 microphone 或 TCC。
2、筛选时间范围为授权操作发生后的 5 分钟内，查找包含 kTCCServiceMicrophone 和 allowed 字段的日志条目。
3、确认日志中存在 bundle ID com.workbuddy.app（或实际签名 ID）及对应的时间戳、进程 PID 和用户 UID。
二、检查 TCC 数据库（macOS）
macOS 将所有隐私授权持久化存储于 SQLite 数据库中，可直接读取该数据库验证授权状态是否被正确写入。
1、以管理员权限执行命令：sudo sqlite3 /Library/Application\ Support/com.apple.TCC/TCC.db 'SELECT * FROM access WHERE service = "kTCCServiceMicrophone" AND client LIKE "%WorkBuddy%";'。
2、输出结果中应包含 allowed = 1、prompt_count > 0 及非空的 csreq 字段值。
3、比对 client 字段是否为完整签名路径（如 /Applications/WorkBuddy.app），而非仅 bundle ID。
三、使用 Windows 事件查看器（Windows 平台）
Windows 通过“应用程序和服务日志”下的 Microsoft-Windows-AppHost/Operational 渠道记录 UWP 应用权限请求，而桌面应用则依赖 ETW 日志捕获。
1、打开“事件查看器”，导航至 应用程序和服务日志 > Microsoft > Windows > AppHost > Operational。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、启用“筛选当前日志”，设置事件 ID 为 1100（权限请求）和 1101（权限授予），关键字包含 microphone。
3、在事件详情的 Data 节点下确认 ApplicationName 字段值为 WorkBuddy，且 PermissionGranted 值为 true。
四、解析 WorkBuddy 自有日志文件
若 WorkBuddy 启用了本地审计日志功能，其会在沙盒目录中生成结构化日志，记录每次权限交互的上下文与签名信息。
1、定位日志路径：macOS 下为 ~/Library/Logs/WorkBuddy/audit.log，Windows 下为 %LOCALAPPDATA%\WorkBuddy\logs\audit.log。
2、使用文本编辑器或命令行（如 grep -i "microphone.*granted"）搜索最近 1 小时内的授权记录。
3、验证每条匹配日志是否包含完整字段：timestamp、action: granted、resource: microphone、signature_hash（非空且与应用签名一致）。
五、通过 MDM 策略日志远程验证（企业环境）
在部署了移动设备管理（MDM）方案的企业中，WorkBuddy 的权限变更会被上报至 MDM 服务器，并纳入合规性审计流。
1、登录 MDM 控制台，进入 设备策略 > 应用权限审计 页面。
2、筛选条件设为 应用名称 = WorkBuddy、权限类型 = Microphone、事件类型 = Grant。
3、检查返回列表中每条记录的 device_id、user_principal_name 和 approval_timestamp 是否与用户操作时间及身份一致。
