WorkBuddy开发者权限怎么最小化_遵循最小特权原则配置策略

应严格遵循最小特权原则配置WorkBuddy开发者权限：一、禁用非必要远程控制权限，仅保留限定路径的文件读写白名单；二、创建Dev-Sandbox本地权限组并隔离工作目录；三、启用沙箱模式，限制运行时命令、内存、时间及网络访问；四、撤销管理员身份与高危API权限，开启调试二次确认；五、配置字段级数据权限，隐藏敏感字段并限制导出范围。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

如果您正在为 WorkBuddy 开发者角色配置权限，但希望严格限制其系统访问范围以降低安全风险，则需避免授予超出开发调试所需的额外能力。以下是遵循最小特权原则实施权限策略的具体操作路径：

一、禁用非必要模块的远程控制权限

开发者通常仅需调试本地技能包或测试指令逻辑，无需具备对团队设备的远程执行权。关闭此类权限可阻断横向移动风险。

1、登录主账号后，点击右上角个人头像，进入 Claw Settings。

2、在左侧导航栏选择 Team Management → Admin Permissions。

3、定位至目标开发者账户条目，点击右侧「Edit Privileges」。

4、取消勾选「远程指令执行」「插件启用开关」「日志查看范围」三项中与当前开发任务无关的选项。

5、仅保留「文件读写控制」中限定路径的白名单权限，例如 C:\Users\Dev\WorkBuddy\skills\ 与 C:\Users\Dev\WorkBuddy\logs\debug\。

二、绑定受限本地权限组并隔离工作目录

通过本地权限组实现路径级隔离，确保开发者仅能访问其专属开发空间，无法触达系统盘、用户文档或敏感业务目录。

1、打开 WorkBuddy 主界面，点击左下角 Settings 图标。

2、进入 Local Access Control → Manage Permission Groups。

3、点击 Create New Group，命名为「Dev-Sandbox」。

4、在目录白名单中仅添加以下两项：C:\Users\Dev\WorkBuddy\skills\ 和 C:\Users\Dev\WorkBuddy\test_data\。

5、确认不勾选「继承父目录权限」，并禁用「通配符路径匹配」功能。

三、限制技能包运行时环境能力

开发者上传的技能包若具备任意文件读写或命令执行能力，可能被恶意利用。须通过运行时策略强制约束其行为边界。

1、在 Claw Settings 中切换至 Skills Runtime Policy 标签页。

2、启用「沙箱模式强制运行」开关。

XiaoHu.AI

由小互建立的一个AI资讯、教程、课程、工具以及开源项目案例的平台。

下载

3、将「允许调用的系统命令」列表清空，仅手动添加白名单项：python3、curl、unzip。

4、设置「最大内存占用」为 512MB，「最长执行时间」为 90秒。

5、勾选「禁止访问网络外链」与「禁止加载外部动态库（.dll/.so）」。

四、撤销管理员身份并禁用高危API调用

开发者账户不应拥有系统级管理权限，否则可能绕过所有本地策略。需从账户层级切断提权路径。

1、在 Windows 设置中进入「账户」→「家庭和其他用户」，找到该开发者账户。

2、点击「更改账户类型」，将其设为「标准用户」。

3、在 Claw Settings → Integration Status 页面，点击「Revoke All Elevated APIs」。

4、检查 API 权限列表，确认 /v1/system/shutdown、/v1/process/inject、/v1/device/accessibility 均显示为「已禁用」状态。

5、返回 Settings → Security，开启「开发者模式二次确认」，要求每次启用调试功能前输入主账号验证码。

五、启用细粒度字段级数据权限

当开发者需接入业务数据进行测试时，必须防止其获取完整记录。字段级权限可确保仅暴露脱敏后的必要字段。

1、进入后台系统，使用管理员账号登录 WorkBuddy 权限中心。

2、点击顶部标签页中的「数据权限」，选择业务对象「测试数据集」。

3、点击「配置字段权限」，在字段列表中定位「身份证号」「银行卡号」「手机号」三项。

4、将每项的可见性设为「不可见」，并将「姓名」「城市」「订单编号」设为「只读」。

5、在「导出权限」栏中，关闭「全部字段导出」开关，仅启用「当前可见字段导出」。