必须通过角色绑定与权限配置实现精准授权，具体包括：一、创建自定义管理员角色；二、在低代码平台配置应用内角色权限；三、设置应用可用范围；四、为成员分配已建角色；五、验证权限生效状态。
如果您在飞书管理后台中需要控制不同成员对特定应用的访问与操作范围，则必须通过角色绑定与权限配置实现精准授权。以下是完成飞书应用权限分配的具体步骤：
一、创建自定义管理员角色
通过新建具备明确职责边界的管理员角色，可将应用权限按业务职能划分，避免权限过度集中或泛化。该角色将成为后续权限分配的载体。
1、登录飞书管理后台，进入「企业设置」→「管理员权限」→「管理员角色」。
2、点击右上方「创建角色」按钮。
3、填写角色名称（如“项目应用管理员”）及描述，点击「下一步」。
4、在「上级管理员角色」下拉菜单中选择是否继承更高权限层级；若不选，则该角色为一级角色。
5、勾选「允许向下级管理员角色分配权限」，确保该角色管理员后续可自主委派部分权限。
6、在权限列表中，勾选与目标应用相关的权限项（如「应用管理」「数据权限配置」等），点击「下一步」完成创建。
二、在低代码平台配置应用内角色权限
针对飞书低代码平台开发的应用，需在应用内部单独定义角色并绑定页面、流程、数据等细粒度权限，确保用户仅能操作所属角色被授权的功能模块。
1、进入「飞书低代码平台」，打开对应应用的管理界面。
2、导航至「权限管理」页面，点击「新建」按钮。
3、输入角色名称（如“销售数据查看员”），填写描述后保存。
4、开启「页面权限」，仅勾选该角色允许访问的页面（如「客户看板」「报表汇总」）。
5、进入「流程权限」设置，根据橙点标记提示，启用与所选页面强关联的流程触发权限（如「导出报表」「提交审批」）。
6、如需限制数据可见性，点击「数据权限」，配置行级或字段级过滤条件（例如仅显示本部门客户记录）。
三、设置应用可用范围（终端用户准入控制）
即使角色权限已配置完成，终端用户仍需被明确纳入应用的可用范围内，否则无法在任何渠道访问该应用，包括群聊机器人交互场景。
1、进入飞书管理后台 → 「应用管理」→ 找到目标应用 → 点击「配置」。
开箱即用的采购订单自动审核 Skill：读取本地订单或飞书邮箱附件，调用 Laiye ADP 识别跨国采购订单，初始化/写入飞书多维表格订单工作台，上传订单源文件，并给审核负责人发送结构化私信，让业务人员只盯未匹配到内部商品、价格异常、新客户、币种异常等异常。
2、在「可用范围」设置区域，选择「指定用户与部门」，手动添加人员或部门节点。
3、或选择「审批制加入」，开启终端用户主动申请入口，审批通过后自动生效。
4、若应用含群机器人能力，确认该机器人所在群聊中的用户已被包含在可用范围内；未添加的群成员即使在群内也无法调用机器人功能。
5、涉及User Access Token调用的接口操作，必须确保调用者本人已列入可用范围，否则Token鉴权失败。
四、为成员分配已建角色
角色本身不具实际效力，只有将具体成员加入角色后，其才获得对应权限集合。同一角色下的所有成员权限完全一致，便于批量管理。
1、返回「管理员角色」列表页，找到已创建的目标角色（如“项目应用管理员”）。
2、点击该角色右侧「编辑」→「成员与部门」。
3、点击「添加成员」，搜索并勾选需赋予权限的员工姓名或部门名称。
4、支持添加多个部门，系统将自动同步该部门下所有在职成员。
5、确认添加后，成员将在10分钟内获得新角色权限，无需重新登录。
五、验证权限生效状态
权限配置完成后，必须通过真实用户视角进行交叉验证，防止因继承关系、缓存或范围遗漏导致授权失效。
1、使用被授予权限的测试账号登录飞书客户端（桌面端/移动端）。
2、尝试访问目标应用首页，观察是否可正常加载。
3、在应用内切换不同页面，确认仅显示已授权页面，未授权页面应不可见或提示“无访问权限”。
4、在群聊中@对应机器人，发送指令，验证是否响应；若未响应，检查该用户是否在应用可用范围内。
5、使用另一未授权账号执行相同操作，确认其无法访问应用或关键功能入口被隐藏。
