钉钉应用配置
为每个工作区创建一个钉钉企业内部应用，同时用于登录与通知。
工作区的钉钉集成使用一个企业内部应用同时承载登录与通知。本页引导组织管理员在钉钉开放平台创建该应用。
钉钉企业内部应用只允许本组织成员授权登录——这正是按工作区隔离所需要的形态。每个 Wujie 工作区自带一个应用；成员扫码时走的是本组织自己的应用。
开始之前
- 你需要本组织钉钉管理后台（open.dingtalk.com）的开发者/管理员权限。
- 你需要目标 Wujie 工作区的 owner 或 admin 权限。
- 知道 Wujie 部署的公网地址（如
https://wujie.example.com）。钉钉只会回调你预先登记的 URL。
创建应用
打开钉钉开放平台 → 开发者后台 → 创建应用，命名如「Wujie – 你的团队」。创建后，在应用的凭证页复制 Client ID（AppKey） 与 Client Secret（AppSecret）——稍后要填进 Wujie。
开通扫码登录与机器人
在应用内：
- 登录与分享 —— 开通扫码登录（网页授权流程使用），并登记回调地址（下一步）。
- 应用能力 —— 添加机器人。通知通过机器人在钉钉单聊中送达。记下 robotCode（机器人代码），开启通知时 Wujie 会要求填写。
登记回调地址
在 登录与分享 → 回调域名/重定向 URL 中添加：
https://你的WUJIE域名/auth/callback这是最容易漏的一步。 缺少回调地址时，钉钉会以 redirect 错误拒绝登录授权。URL 必须与你的域名完全一致——协议、主机、路径。
开通权限
打开 权限管理，开通识别登录成员所需的通讯录权限（如 读取通讯录基础信息 / Contact.User.Read，配合默认的 openid corpid OAuth scope）。机器人发消息走应用 access token，无需额外个人级权限。
发布应用
在组织管理后台提交发布。按组织设置不同，内部应用可能需要管理员审批后成员才能授权。
在 Wujie 中接入
- 在工作区打开 设置 → 集成 → 钉钉。
- 粘贴 App Key（Client ID） 与 App Secret。
- 保存 —— Wujie 会用这对凭据向你的组织换取应用 token 做探针验证，证明应用确实属于你的组织。
- 按需打开开关：
- 通知开关 —— 把本工作区的钉钉通知从旧的账号级通道切到自建应用；
- 登录开关 —— 允许成员用该应用扫码登录。
成员如需接收通知或使用钉钉登录，还需在应用配置完成后到 设置 → 个人资料 绑定一次钉钉身份；绑定只对当前工作区生效。然后到 设置 → 通知 开启个人接收并保存——仅绑定不会自动开启通知。
登录如何工作
- 钉钉登录按工作区隔离：成员授权的是本工作区的应用，且钉钉本身只放行本组织成员。
- 登录页选择「使用钉钉登录」。浏览器会记住你上次访问的工作区并直接对它发起授权；否则会要求输入工作区标识（站点 URL 中
/后的段落，如https://wujie.example.com/acme中的acme）。 - 只有已存在且已绑定身份的账号能这样登录——钉钉不提供注册。
- 一个钉钉账号可以在每个工作区各绑定一次：如果你同时是两个不同组织的工作区成员，需要分别在两个工作区用对应组织的应用绑定。
更换或移除应用
- 轮换 App Secret —— 用相同 App Key 保存新 Secret，既有绑定继续有效。
- 更换 App Key —— 需要在弹窗中二次确认；旧应用的钉钉身份绑定会被清除，成员需重新绑定。
- 删除配置 —— 本工作区的通知与钉钉登录同时失效，直到配置新应用。
App Secret 落库前使用部署级工作区密钥（WUJIE_WORKSPACE_SECRET_KEY）加密；保存后不再回显。该部署密钥必须持久保留——更换它会导致存量密文无法解密。