Clawdbot 权限配置需按系统平台分别处理：Windows 需设 PowerShell RemoteSigned 策略；macOS 需授终端完全磁盘访问、辅助功能及 iMessage 权限；Linux 需配 sudo 与 systemd 能力；Discord 需开启 MESSAGE CONTENT INTENT；企业微信/WhatsApp 需配置对应平台 OAuth2 作用域与 IP 白名单。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在部署 Clawdbot 后发现其无法执行系统级操作、读取敏感文件或调用受限 API，则很可能是权限未正确配置。Clawdbot 依赖操作系统层级的明确授权才能启用完整能力，尤其在 Windows 和 macOS 上需分别处理脚本执行策略、隐私权限与辅助功能访问控制。以下是多种可行的权限设置方案：
一、Windows 系统：解除 PowerShell 脚本执行限制
Clawdbot 的安装与网关启动脚本默认以 PowerShell 运行，而 Windows 默认策略为 Restricted，禁止所有未签名脚本执行。必须显式放宽当前用户范围的策略，否则 clawdbot install 或 clawdbot gateway 命令将直接报错退出。
1、以管理员身份运行 PowerShell：在开始菜单搜索 “PowerShell”，右键选择“以管理员身份运行”。
2、执行策略查询命令：Get-ExecutionPolicy -List，确认 CurrentUser 行显示为 Restricted。
3、仅对当前用户启用远程签名脚本：Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser。
4、再次运行 Get-ExecutionPolicy -List，验证 CurrentUser 已变为 RemoteSigned。
二、macOS 系统：授予终端完整磁盘访问与辅助功能权限
Clawdbot 在 macOS 上需读取 iMessage 数据库（chat.db）、截屏、模拟键盘鼠标等操作，这些均受系统隐私控制策略拦截。若未手动授权，imsg chats 将返回空或权限拒绝错误，且 clawdbot gateway 无法完成配对。
1、打开「系统设置」→「隐私与安全性」→「完全磁盘访问」，点击右下角锁图标解锁，然后点击「+」号添加终端应用（如 Terminal、iTerm2 或 VS Code 的终端进程）。
2、在同一页面下滑至「辅助功能」，同样点击「+」号添加相同终端应用。
3、返回「隐私与安全性」→「信息」，勾选已添加的终端应用，允许其访问 iMessage 数据库。
4、重启终端后，运行 imsg chats --limit 1，若输出至少一条聊天记录，则权限配置成功。
三、Linux 系统（含 WSL2）：配置 sudo 权限与 systemd 服务权限
在 Ubuntu/Debian 类系统中，Clawdbot 若需监听低端口（如 80/443）、挂载 FUSE 文件系统或访问 USB 设备，必须通过 sudo 或 systemd 单元文件显式声明能力。直接使用 root 用户运行存在安全风险，应采用最小权限原则配置。
1、为当前用户添加无密码 sudo 权限（仅限 clawdbot 相关命令）：echo "$USER ALL=(ALL) NOPASSWD: /usr/bin/clawdbot" | sudo tee /etc/sudoers.d/clawdbot。
在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……
2、创建 systemd 服务文件：sudo nano /etc/systemd/system/clawdbot.service，写入内容包含 CapabilityBoundingSet=CAP_NET_BIND_SERVICE（用于绑定 80 端口）及 ProtectHome=read-only（限制访问用户主目录）。
3、重载服务并启用：sudo systemctl daemon-reload && sudo systemctl enable clawdbot.service。
4、检查权限生效：sudo systemctl show clawdbot --property=CapabilityBoundingSet，确认输出包含 CAP_NET_BIND_SERVICE。
四、Discord Bot 侧：启用 Privileged Gateway Intents
Clawdbot 通过 Discord Gateway 接收消息事件，但默认情况下无法获取消息正文（message content）。若未开启对应 Intent，Bot 将始终收到空消息体，导致指令解析失败。该权限需在 Discord 开发者平台手动开启，且不可通过 API 自动配置。
1、访问 https://discord.com/developers/applications，进入您的 Bot 应用。
2、左侧导航栏点击「Bot」→ 滚动至「Privileged Gateway Intents」区域。
3、开启 MESSAGE CONTENT INTENT 开关，并保存更改。
4、返回服务器命令行，重启网关：clawdbot gateway --port 18789 --verbose，观察日志中是否出现 READY with message content intent enabled 提示。
五、企业微信/WhatsApp 通道：配置 OAuth2 作用域与后台权限白名单
当 Clawdbot 接入企业微信或 WhatsApp Business API 时，需在对应平台控制台明确声明所需权限范围。例如企业微信要求机器人具备「接收消息」和「发送消息」权限，且应用需在可信 IP 白名单中注册服务器出口 IP；WhatsApp 则强制要求通过 Cloud API 并配置 Webhook 订阅事件类型。
1、登录企业微信管理后台 →「应用管理」→「自建应用」→ 选择对应应用 →「权限管理」→ 勾选「接收消息」与「发送消息」。
2、在同一页面点击「IP 白名单」，填入您部署 Clawdbot 的云服务器公网 IP 地址（如腾讯云 Lighthouse 实例 IP）。
3、登录 WhatsApp Business Manager →「Settings」→「Webhooks」→ 创建新 Webhook，订阅 messages, statuses, errors 三类事件。
4、在 Clawdbot 配置文件中，将 Webhook URL 设置为 https://your-server-ip:18789/webhook/whatsapp，并确保反向代理已转发该路径至 clawdbot gateway 进程。
