需启用外部协作模式并配置隔离式权限策略：一、启用外部协作工作区模式，设默认角色为“受限协作者”；二、配置跨域数据范围策略限定可访问路径；三、绑定第三方IdP实现联合登录与权限同步；四、设置外部指令响应白名单；五、配置双向审计日志隔离视图。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您希望 WorkBuddy 在跨企业协作场景中安全地共享任务能力，同时严格限制外部成员对本地资源的访问范围，则需启用外部协作模式并配置隔离式权限策略。以下是实现该目标的具体操作路径：
一、启用外部协作工作区模式
该模式将工作区划分为“内部可信域”与“外部协作者域”，所有非本企业域邮箱（如非 @yourcompany.com）加入时自动进入受限沙箱环境，无法访问组织架构、历史指令日志及未显式共享的AI资产。
1、登录 WorkBuddy 管理后台，进入【工作区设置】→【协作安全】。
2、找到“外部协作模式”开关，点击启用。
3、在弹出面板中设定外部成员默认角色为“受限协作者”，并取消勾选“可见全部流程节点”与“可导出执行日志”两项权限。
4、点击“保存配置”，系统立即对新加入的外部账号强制应用该策略。
二、配置跨域数据范围策略（DSR）
此策略用于绑定外部协作者身份与可操作数据子集，确保其仅能处理被明确授权的客户、项目或文件目录，避免越界读写。
1、进入【权限中心】→【数据范围策略】，点击【新增策略】。
2、在“适用对象”中选择“外部协作者”，在“匹配条件”中填写对方企业域名（如 @partner-inc.com）。
3、在“数据白名单”中添加限定路径：例如 D:\Projects\PartnerA_Contract\、C:\WorkBuddy\Shared\Q2_Specs\。
4、勾选“禁止跨路径访问”与“禁用全局搜索”，点击“发布”使策略生效。
三、绑定第三方身份提供者（IdP）实现联合登录
通过 SAML 2.0 或 OIDC 协议对接外部企业的单点登录系统，使协作者无需注册新账号即可凭原企业凭证接入，且权限声明由对方 IdP 动态签发，实时同步离职/转岗状态。
1、在【权限中心】→【身份集成】中点击【添加 IdP】。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、选择协议类型为“SAML 2.0”，粘贴对方提供的元数据 XML 文件或手动输入 IdP 登录 URL、证书与实体 ID。
3、在“属性映射”区域将对方 IdP 的 email 字段映射至 WorkBuddy 用户标识，将 groups 属性映射至本地权限组（如映射值“partner-dev”→本地组“外部开发协作者”）。
4、启用“自动创建账户”选项，点击“验证连接”确认握手成功后保存。
四、设置外部指令响应白名单
防止外部协作者调用高危技能或触发本地敏感操作，需在指令层实施关键词与动作级拦截，仅允许预审通过的自然语言意图被执行。
1、打开 Claw Settings → 【安全策略】→【外部指令过滤】。
2、在“允许指令关键词”栏中逐行输入经审核的动词短语：例如 “汇总报表”、“转换格式”、“生成摘要”。
3、在“禁止动作列表”中勾选：文件删除、远程桌面控制、系统注册表修改、执行 PowerShell 命令。
4、开启“未知指令静默拒绝”开关，确保未列明意图一律不响应、不记录、不回传错误提示。
五、配置双向审计日志隔离视图
为满足合规审计要求，需确保内部管理员与外部协作者各自仅能查看与其权限边界匹配的操作日志，且日志元数据中明确标注发起方所属企业域。
1、进入【审计中心】→【日志策略】，点击【新建视图规则】。
2、设定规则名称为“外部协作者日志视图”，条件为“操作者邮箱域名 NOT IN [@yourcompany.com]”。
3、在字段可见性中仅启用：时间戳、指令摘要（脱敏）、执行结果状态、目标路径（仅显示白名单内路径）。
4、关闭“原始指令内容”、“执行设备IP”、“本地进程ID”等敏感字段显示权限，点击“发布”完成配置。
