workbuddy账号安全验证为强制环节，须依次完成邮箱实名（点击邮件内蓝色按钮）、设备二次验证（扫码登录及授权本地文件夹时隐式触发）及管理员mfa（后台开启或azure ad策略配置）。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy账号安全验证不是可选功能，而是登录后必须立即完成的强制环节；未通过邮箱实名与设备二次验证，文件读写、多任务并行、Claw远程调用全部不可用，且无法跳过或延后补办。
完成邮箱实名验证
这一步必须点击邮件正文里的蓝色按钮，不能复制链接到浏览器手动打开——系统会校验Referer头和点击行为特征，手动访问将直接返回403错误。
登录WorkBuddy后，检查注册时填写的邮箱（发件人固定为no-reply@codebuddy.cn），找到主题为“请验证您的WorkBuddy邮箱”的邮件。
直接点击邮件正文中唯一的【蓝色验证按钮】，页面跳转至codebuddy.cn域下验证成功页，顶部显示绿色对勾图标及“邮箱已实名”字样。
触发并完成设备二次验证
设备验证不弹窗、不提示，它隐式发生在两个关键节点：首次扫码登录腾讯云CodeBuddy平台后，以及首次授权本地文件夹时。任一环节拒绝权限，将永久卡在ERR_DEVICE_UNVERIFIED状态。
首次扫码登录完成后，立即进入主界面右下角「指定工作区」→「浏览」→选择一个空文件夹（如桌面\WorkBuddy_Safe），点击「确定」。
此时macOS会弹出「隐私与安全性」系统级授权框，Windows则触发SmartScreen拦截；必须点击「允许」或「始终允许」，否则后续所有Skills运行失败且无法重试。
授权成功后，状态栏右下角出现小盾牌图标，鼠标悬停显示“设备已绑定｜指纹校验通过”。
启用管理员MFA多因素认证
仅限主管理员账号操作，开启后所有敏感操作（如删除AI模型、导出客户数据）均强制触发二次验证。
方法一：网页后台直启
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
1、以主管理员身份登录WorkBuddy AI管理后台 → 进入【权限中心】→【安全策略】页面。
2、找到“管理员多因素认证(MFA)”开关，点击右侧滑块置为开启状态。
3、在MFA方式列表中，至少勾选一种通道：企业微信扫码、短信OTP（需已绑定手机号）、Microsoft Authenticator兼容TOTP令牌。
4、点击【强制生效】，当前所有已登录管理员将在下次执行操作前被要求完成首次MFA绑定。
方法二：对接Azure AD统一策略
若WorkBuddy已集成Microsoft Entra ID，可复用企业现有条件访问策略，避免策略分散。
登录Microsoft Entra管理中心 → 【保护 > 条件访问】→【策略】→【新建策略】。
命名为“WorkBuddy管理员强制MFA”，在“分配”中仅选择含WorkBuddy管理员角色的AD安全组。
在“云应用或操作”中添加WorkBuddy AI SaaS应用，于“授予”中勾选“需要多重身份验证”，保存并启用策略。
