必须采用强加密传输：一、启用tls 1.3强制加密通道；二、配置双向证书认证（mtls）；三、启用国密sm4-gcm加密插件，分别通过协议升级、身份互验和国密算法满足安全与合规要求。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您启用WorkBuddy的远程控制模式进行跨设备指令下发与执行，则Claw通信链路中的数据必须经过强加密传输，防止中间人窃听或篡改。以下是适用于该场景的多种加密传输协议配置方法：
一、启用TLS 1.3强制加密通道
该方法通过强制Claw与WorkBuddy通信链路使用TLS 1.3协议，禁用所有弱加密套件，确保指令数据在传输层即完成高强度加密。
1、打开WorkBuddy客户端，点击右上角头像，进入「Claw 设置」。
2、在左侧导航栏选择「安全通道」选项卡。
3、将「加密协议版本」下拉菜单切换至TLS 1.3 only。
4、勾选禁止降级协商与禁用不安全重协商两项开关。
5、点击「应用并重启Claw服务」，等待状态栏显示Secure Tunnel: Active (TLS 1.3)。
二、配置双向证书认证(mTLS)
该方法要求Claw客户端与WorkBuddy服务端互相验证数字证书，杜绝伪造终端接入，适用于企业内网高敏环境。
1、访问WorkBuddy主界面，进入「设置」→「安全」→「mTLS管理」。
2、点击「生成根CA证书」，保存生成的ca.crt与ca.key至本地安全目录。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
3、点击「为当前设备签发客户端证书」，填写设备标识（如：HR-PC-01），下载client.crt与client.key。
4、在Claw配置目录（默认：%APPDATA%\WorkBuddy\claw\config\）中，新建tls.conf文件，填入以下内容：
ca_file = "ca.crt"
cert_file = "client.crt"
key_file = "client.key"
5、重启Claw进程，观察日志中出现mTLS handshake succeeded标识。
三、启用国密SM4-GCM加密插件
该方法调用国家密码管理局认证的SM4-GCM对称加密算法，对Claw下发的每条指令载荷进行独立加密，满足等保2.0三级合规要求。
1、确认系统已安装WorkBuddy v2.4.0+版本，且操作系统为Windows 10 21H2或macOS 13.6+。
2、进入「Claw 设置」→「加密插件」→「国密支持」，点击「启用SM4-GCM引擎」。
3、输入由管理员分发的SM4密钥种子（32字节十六进制字符串），例如：7a9f2b1e4c8d5a0f3b7e9c1a5d8f2b0e。
4、勾选指令级加密与响应体加密两项。
5、点击「加载密钥并验证」，成功后状态灯变为绿色SM4图标。
