为了确保 OpenClaw 既能顺畅运行，又不至于因权限过大导致安全隐患，建议在飞书开发者后台的权限管理中，按照以下清单进行勾选。这份清单分为基础必备和进阶功能两部分。
基础必备权限
无论个人还是团队使用，这些权限是保证机器人能'听到'指令并'开口'说话的前提：
im:message:p2p_msg:readonly（接收单聊消息）——允许机器人和你一对一聊天。im:message:group_at_msg:readonly（接收群聊中@机器人的消息）——在团队场景下，机器人只响应被@的内容，保护群隐私。im:message.p2p_msg:send（发送单聊消息）——机器人回复你的基础。im:message.group_msg:send（发送群聊消息）——机器人在群里回复大家的必要权限。
进阶功能权限
如果你需要 OpenClaw 处理文档、查看成员信息或发送富媒体内容，请有选择性地开启：
- 处理文档/表格
drive:file:readonly（读取云文档/云空间文件）——机器人读取你发给它的 Excel 或文档进行分析。sheet:spreadsheet:readonly（读取电子表格）——专门用于自动化报表读取。
- 识别身份（团队场景推荐）
contact:user.id:readonly（获取用户 ID）——辅助 OpenClaw 区分是谁在发指令，实现权限隔离。
- 发送图片/附件
im:resource:upload（上传图片/视频/文件）——如果你让 AI 绘图或生成报表文件发回给你，必须勾选。
⚠️ 安全红线
如非极特殊需求，请保持关闭以下高危权限：
im:message:everything:readonly（接收所有消息）——极度危险。开启后机器人会监听群内所有闲聊，极易导致公司内部非公开谈话被上传至 AI 大模型，触发严重合规风险。contact:contact:readonly（获取通讯录所有信息）——除非你需要机器人根据职位进行复杂的审批流跳转，否则不要开启。
配置小贴士
- 发布版本：在勾选完权限后，必须在飞书后台点击'版本管理与发布'，创建一个新版本并申请上线（个人使用通常秒过），权限才会正式生效。
- IP 白名单：在'安全设置'中，强烈建议填入你部署 OpenClaw 机器的固定公网 IP，防止 App Secret 泄露后被他人冒用。
密钥管理方案
在 OpenClaw 这类开源项目中，直接将 App ID 和 App Secret 以明文形式写在配置文件（如 config.yaml 或 settings.json）中是最不安全的做法。一旦代码误上传或服务器被入侵，凭据将直接暴露。为了兼顾'安全'与'可用'，建议采用以下三种递进式的配置方案：
方案一：环境变量法（最推荐 / 行业标准）
不要在配置文件里写死密钥，而是通过操作系统的环境变量注入。
- 修改配置文件：在 OpenClaw 的配置文件中，将对应项设为引用变量（具体格式视 OpenClaw 版本而定，通常如下）：
lark:
app_id: ${LARK_APP_ID}
app_secret: ${LARK_APP_SECRET}
- 在服务器/本地设置环境：
