必须部署Proxy代理节点打通内外网通信链路：一、在内网边缘设备运行Claw Proxy中继服务，监听3001端口并转发至WorkBuddy本地API；二、通过Nginx反向代理将企微HTTPS回调路由至内网Proxy，配置TLS终止与IP白名单；三、启用Claw内置HTTPS隧道模式，经腾讯云中继集群穿透防火墙。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在企业内网环境中无法直接访问公网服务，但又需要将WorkBuddy接入企业微信、飞书等平台完成远程指令下发，则必须通过部署Proxy代理节点打通内外网通信链路。以下是实现此目标的具体方法：
一、部署内网Claw Proxy中继服务
该方式在企业内网边缘设备（如办公区跳板机、IT运维终端）上运行Claw Proxy进程，作为本地WorkBuddy与外部IM平台之间的协议转换与流量转发节点，不暴露WorkBuddy本体端口，仅对外提供受控HTTP/HTTPS接口。
1、在内网一台长期在线且具备外网访问权限的Windows或macOS机器上安装WorkBuddy客户端。
2、启动WorkBuddy并完成登录，进入右上角头像→「Claw设置」→启用「Enable Background Service」开关。
3、记录页面显示的Local API Endpoint（默认为http://127.0.0.1:8080/claw）及Claw Token。
4、下载腾讯云官方提供的claw-proxy-relay二进制包（支持amd64/arm64架构），解压至/opt/claw-relay目录。
5、创建config.yaml文件，填入以下内容：
claw_endpoint: http://127.0.0.1:8080/claw
claw_token: 此处替换为上一步获取的真实Claw Token
listen_addr: 0.0.0.0:3001
tls_enabled: false
6、执行./claw-proxy-relay --config config.yaml启动中继服务，确认进程持续运行且端口3001处于监听状态。
二、配置反向代理网关（Nginx方案）
该方式利用企业已有的Nginx网关服务器，在DMZ区或边界防火墙后部署反向代理规则，将来自企微回调的HTTPS请求安全路由至内网Claw Proxy节点，同时实现TLS终止、IP白名单与请求签名校验。
1、登录企业Nginx网关服务器，在conf.d目录下新建workbuddy-proxy.conf文件。
2、写入以下server块配置：
server {
listen 443 ssl;
server_name wb-api.yourcompany.com;
ssl_certificate /etc/nginx/ssl/wb-api.crt;
ssl_certificate_key /etc/nginx/ssl/wb-api.key;
location /claw/ {
proxy_pass http://192.168.10.45:3001/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Claw-Signature $http_x_claw_signature;
}
}
3、将proxy_pass中的192.168.10.45替换为Claw Proxy所在内网机器的实际IP地址。
4、执行nginx -t验证配置语法，确认无误后执行nginx -s reload重载配置。
5、在企业防火墙开放wb-api.yourcompany.com域名的443端口入向策略，并限制源IP仅为企微服务器IP段（如101.37.0.0/16、119.147.0.0/16）。
三、启用Claw内置HTTPS隧道模式
该方式不依赖外部反向代理，由Claw Proxy自身建立加密隧道连接至腾讯云中继集群，所有上行指令经TLS封装后穿透企业出口防火墙，下行响应则通过长连接通道回传，适用于禁止开放任何入向端口的强管控网络环境。
1、确保Claw Proxy所在机器已配置系统级HTTP_PROXY环境变量，指向企业统一出口代理（如http://proxy.corp:8080）。
2、编辑claw-proxy-relay启动命令，添加--tunnel-mode参数：
./claw-proxy-relay --config config.yaml --tunnel-mode --tunnel-endpoint https://tunnel.workbuddy.tencentcloud.com/v1
3、启动服务后，观察日志输出是否包含“Tunnel established with session_id: xxx”字样。
4、进入WorkBuddy客户端「Claw设置」→「高级选项」→勾选「Use Tunnel Endpoint」，并填写https://tunnel.workbuddy.tencentcloud.com/v1作为备用API地址。
5、在企业微信机器人配置页中，将Webhook URL替换为该隧道地址，并在Headers中添加X-Tunnel-Key字段，值为claw-proxy-relay生成的会话密钥。
