必须在客户端、claw通道及通讯入口三层同步启用防截屏策略：一、禁用claw协议截图并屏蔽系统api；二、启用客户端沙箱并禁用图形导出权限；三、在im网关层过滤截图指令；四、linux下部署selinux/apparmor限制显示服务访问。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用WorkBuddy进行远程控制时，需防止被控端屏幕内容被意外或恶意截取，则必须在客户端、Claw通道及通讯入口三层同步启用防截屏策略。以下是具体操作步骤：
一、禁用Claw协议层截图能力并屏蔽系统API调用
该方法通过关闭Claw远程控制协议中内置的截图指令解析器，并拦截底层操作系统截图接口，确保远程会话期间无法触发任何截屏行为。适用于Windows与macOS平台，且不依赖第三方工具。
1、关闭正在运行的WorkBuddy桌面客户端，包括后台服务进程。
2、定位Claw配置目录：Windows路径为%APPDATA%\WorkBuddy\claw\config.yaml；macOS路径为~/Library/Application Support/WorkBuddy/claw/config.yaml。
3、用文本编辑器打开config.yaml，查找是否存在screen_capture字段；若存在，将其值设为false；若不存在，则在root层级新增screen_capture: false。
4、保存文件后，在终端执行命令强制重载Claw策略：workbuddy-cli claw reload --force。
5、验证生效：尝试在远程控制界面输入/screenshot或点击截图按钮，系统应返回“截图功能已被管理员禁用”提示。
二、启用客户端本地沙箱并禁用图形子系统导出权限
该方法利用WorkBuddy客户端运行时沙箱机制，移除对GDI（Windows）或CoreGraphics（macOS）截图API的访问授权，使即使存在未签名插件或恶意Skill也无法调用原生截屏函数。
1、启动WorkBuddy客户端，点击右上角齿轮图标进入「设置」。
2、切换至「安全模式」选项卡，确认已启用Craft/Plan/Ask三级模式中的Plan模式或Ask模式（Craft模式默认允许截图，不可选）。
3、勾选「启用工作区沙箱保护」，并在下方展开「高级沙箱参数」。
4、在「禁止调用的系统API列表」中，手动添加以下条目：bitblt、PrintWindow、CGDisplayCreateImage、screencapture。
5、点击「应用并重启客户端」，重启后所有本地截图调用将被沙箱拦截并记录日志条目：access denied to screenshot API。
三、在企业微信/飞书机器人网关层过滤截图类指令
该方法针对通过IM平台发起的结构化指令（如/wb screenshot、截图、screen cap等），在消息到达客户端前即完成语义识别与阻断，避免指令进入Claw解析流程。
1、登录企业微信管理后台，进入「应用管理」→「WorkBuddy」→ 「机器人设置」。
2、在「消息安全策略」模块中，点击「新增敏感指令规则」。
3、在关键词栏填入：截图、screenshot、screen、cap、grab、捕获屏幕、截取当前画面。
4、选择动作类型为直接拦截并返回预设提示，提示内容设为“该操作违反企业信息安全策略，已拒绝执行。”
5、点击「启用规则」并保存，规则立即对所有已授权群组生效，无需客户端更新。
四、部署SELinux/AppArmor策略限制图形服务访问
该方法适用于Linux部署环境，通过强制访问控制（MAC）策略限制WorkBuddy进程对X11/Wayland显示服务器的截图相关接口访问权限，从内核级杜绝截屏可能。
1、以root身份执行sestatus命令，确认SELinux处于enforcing模式；若为disabled或permissive，需先启用。
2、创建自定义SELinux模块：echo "module workbuddy-noscreen 1.0;" > /tmp/workbuddy.te && echo "require { type xserver_t; type workbuddy_t; class fd use; class unix_stream_socket connectto; }" >> /tmp/workbuddy.te && echo "dontaudit workbuddy_t xserver_t:fd use;" >> /tmp/workbuddy.te
3、编译并加载模块：checkmodule -M -m /tmp/workbuddy.te -o /tmp/workbuddy.mod && semodule_package -o /tmp/workbuddy.pp -m /tmp/workbuddy.mod && semodule -i /tmp/workbuddy.pp
4、验证策略效果：运行ausearch -m avc -ts recent | grep workbuddy，确认无xserver_t相关allow日志，且出现多条avc: denied { read } for comm="workbuddy" name="display" dev="tmpfs"记录。
