支持私有化部署，但须同时满足域名（三个独立https子域）、网络（vlan隔离+networkpolicy）、安全（mtls+证书匹配）三重硬性条件，linux桌面客户端暂不支持。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
支持，但必须满足明确的域名、网络与安全三重硬性条件，缺一不可。
私有化部署必须配置三个独立子域
WorkBuddy 不接受单域名或IP直连，控制台、API网关、OAuth回调必须分属三个严格隔离的子域，且全部启用 HTTPS + 有效证书：
-
https://workbuddy.yourcompany.com：仅用于管理员登录和系统配置，不能复用为 API 入口 -
https://api.workbuddy.yourcompany.com：所有外部调用（含 Webhook、OAuth 重定向、REST API）必须经此域名，gateway服务需显式加载该 Host 配置并重启 -
https://sso.workbuddy.yourcompany.com：OAuth 回调地址固定为/api/v1/oauth/callback，子域名不可替换、不可省略，否则微信/企微/钉钉授权直接失败
内网隔离不是可选项，而是启动前提
AI 服务组件（如 claw-sandbox、llm-router、Redis 端口 6379、Ollama 兼容端口 11434）必须与公网逻辑隔离，仅靠防火墙规则不够：
- 必须在虚拟化平台（vSphere/OpenStack/Apsara Stack）中划分独立 VLAN，并禁用该 VLAN 的互联网三层路由
- Kubernetes 部署时，
NetworkPolicy必须显式放行同 namespace 内workbuddy-core到claw-sandbox的流量，其余默认拒绝 - 若对接企业 NAC（如深信服 AC 或阿里云 SASE），WorkBuddy 服务端 IP 池（如
172.16.200.10–172.16.200.30）需绑定“AI服务-高可信”策略组，并启用双向 mTLS，证书主题名必须匹配预注册域名（如wb-api.internal.corp）
Linux 桌面客户端暂不支持私有化部署
目前 WorkBuddy 私有化版本仅提供 Windows（.exe）和 macOS（.dmg）安装包，官方未发布 Linux 原生图形界面客户端。Ubuntu/CentOS 等发行版无法运行桌面接管类技能（如 UI 自动化、窗口操作），即使后端服务部署成功，前端能力也缺失。
若强行在 Linux 上以 headless 方式运行核心服务，将无法使用 openclaw 技能中的截图、鼠标点击、多窗口协同等关键能力——这些依赖系统级 Accessibility 接口，而 Linux 缺乏统一、稳定的实现方案。
最常被忽略的一点：所有域名在部署前必须完成 DNS 解析与反向代理配置，Nginx/Traefik 的 TLS 终止必须完成，且 Host 头必须透传；任何一步跳过，都会导致初始化向导卡在“验证管理控制台地址”环节，错误信息为 ERR_CONNECTION_REFUSED 或 SSL_ERROR_BAD_CERT_DOMAIN。
