workbuddy调用外部服务必须授权，因其需通过oauth 2.0等标准协议获取临时access_token并限定scope，以安全代表用户访问受保护资源；未授权将触发401/403错误、弹窗提示或企微异常告警。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy的Agent调用外部服务（如企业微信、高德地图、Elasticsearch）时必须授权，是因为它要安全地代表你访问受保护的第三方资源——这些服务不会允许未经身份核验的请求直接读写数据，否则你的会议日程可能被误删、地图坐标可能被恶意篡改、生产日志可能被未授权导出。
授权本质是建立可信身份链
WorkBuddy本身不存储你的企业微信密码或高德API密钥。它通过OAuth 2.0等标准协议，向第三方服务证明“当前操作已获用户本人明确许可”。整个过程不传输原始凭证，只交换临时令牌（access_token），且该令牌自带作用域（scope）限制，比如只能读取你自己的日程，不能修改他人日程。
如果你跳过授权直接让Agent调用，第三方服务会返回401或403错误——这不是WorkBuddy故障，而是服务端主动拦截了非法请求。
不授权就调用会触发哪些实际风险
未完成授权时尝试调用外部服务，WorkBuddy会立即中断执行并报错，常见表现有：【弹窗提示“未配置OAuth连接器”】、任务卡在“正在连接…”、控制台显示“invalid_client”或“missing_scope”。更隐蔽的风险是：某些Skill若绕过OAuth而硬编码密钥，会违反企业安全策略，导致账号被平台封禁。
尤其在企业微信绑定场景下，未授权就调用通讯录API，可能触发企微后台的异常调用告警，管理员会在管理后台看到“非白名单应用高频试探”记录。
授权流程分三步走
第一步：在WorkBuddy【集成中心】→【OAuth 2.0应用注册】中填写第三方平台分配的client_id与client_secret，并确保回调地址（redirect_uri）与你在该平台开发者后台登记的地址【完全一致】，哪怕多一个斜杠都会失败。
第二步：点击【启动授权流程】，WorkBuddy跳转至第三方登录页，你手动完成账号认证并勾选所需权限（如“读取我的日历”）。这一步必须由你本人操作，不可跳过或代点。
第三步：授权成功后，WorkBuddy后端自动接收code并兑换access_token，存入本地加密凭证区。此后每次调用，都携带该令牌+限定scope发起请求，第三方服务据此放行对应操作。
