必须对访问来源实施IP段级准入控制。一、在WorkBuddy控制台启用全局IP白名单并填写CIDR网段；二、在企业微信/飞书后台同步配置相同可信IP策略组；三、通过Nginx反向代理层前置allow/deny规则过滤；四、结合云服务商安全组在TCP层拦截非授权IP。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用WorkBuddy时需确保仅来自可信网络环境的请求可接入服务，则必须对访问来源实施IP段级准入控制。以下是配置控制台IP白名单过滤规则的具体操作步骤：
一、在WorkBuddy管理控制台启用全局IP白名单
该方式通过WorkBuddy内置访问控制模块统一拦截非授权IP请求，所有HTTP/HTTPS入口流量在进入业务逻辑前即被校验，适用于标准部署模式下的基础防护。
1、使用管理员账号登录WorkBuddy管理控制台，进入【系统设置】→【网络与安全】页签。
2、找到【IP访问白名单】开关，将其状态切换为“启用”。
3、在白名单输入框中逐行填写允许访问的CIDR格式网段（如 192.168.50.0/24、203.112.88.128/25），每行仅限一个条目。
4、点击【保存配置】，系统立即加载新规则；此时非白名单IP发起的任何API调用或Web界面访问均返回403 Forbidden响应。
二、在企业微信/飞书后台同步绑定可信IP策略组
WorkBuddy作为第三方应用接入企微或飞书时，其回调地址（Callback URL）需经平台侧验证。若未在对应平台配置可信IP，即使控制台开启白名单，平台仍可能因源IP不匹配而拒绝推送事件。
1、管理员登录企业微信管理后台，进入【应用管理】→【WorkBuddy】→【接收消息】配置页。
2、在【可信服务器IP列表】区域，点击【添加IP】，填入与WorkBuddy控制台白名单完全一致的网段（如 192.168.50.0/24）。
3、保存后，前往飞书开放平台对应应用的【安全设置】页，在【IP白名单】字段重复录入相同网段。
4、确认两平台均显示“已验证”状态，且WorkBuddy控制台日志中不再出现callback_ip_mismatch告警。
三、通过反向代理层前置校验IP（Nginx配置）
当WorkBuddy以容器或独立进程部署且前端已配置Nginx反向代理时，可在代理层完成首次IP过滤，避免无效请求触达WorkBuddy服务进程，降低资源消耗。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
1、登录宝塔面板或直接编辑Nginx主配置文件，在代理到WorkBuddy服务的server块内，location / { }之前插入如下指令：
2、添加allow规则：allow 192.168.50.0/24; allow 203.112.88.128/25;
3、添加拒绝规则：deny all;
4、保存配置文件后执行nginx -t && nginx -s reload验证并重载。
5、测试非白名单IP访问域名时是否立即返回403 Forbidden，且WorkBuddy服务日志无对应请求记录。
四、结合云服务商安全组实施网络层IP过滤
该方法作用于TCP连接建立阶段，在数据包抵达操作系统协议栈前即被丢弃，防护强度最高，适用于公有云环境下的纵深防御架构。
1、登录阿里云控制台，进入【云服务器ECS】→目标实例→【安全组】页。
2、点击【配置规则】→【添加安全组规则】，选择入方向。
3、协议类型选“自定义TCP”，端口范围填入WorkBuddy监听端口（如3000或8443）。
4、源IP地址栏填入授权网段，例如：192.168.50.0/24、203.112.88.128/25。
5、规则生效后，使用非白名单IP执行telnet your-domain.com 3000应显示Connection refused。
