# 机器人安全校验

来源快照：`result_data_new_260518.json`

- 来源 ID：`1201382020180238406`
- 模块：工作消息
- 目录：管理员操作指南 - 机器人设置
- space ID：`1159418347111063584`
- 原文链接：未提供
- 产品基线：未提供

## 正文

# **一、功能背景**

随着IM系统中机器人使用场景的增多，机器人接口面临以下安全风险：

（1）恶意用户可能通过伪造请求调用机器人接口；

（2）机器人可能被滥用进行垃圾消息发送；

（3）未授权访问可能导致敏感信息泄露；

（4）高频调用可能造成系统资源耗尽。

# **二、功能价值**

1.

提升安全性：通过多重校验机制防止未授权调用

2.

精细控制：可根据不同安全级别需求配置不同校验方式

3.

降低风险：有效防止机器人被恶意利用

4.

合规保障：满足企业安全合规要求

# **三、功能概述**

自定义关键词校验：配置关键词列表，消息必须包含至少一个关键词，适用于内容敏感度要求不高的场景。

IP白名单校验:只允许预先配置的IP地址访问，适用于企业内部系统对接。

签名校验：基于HMAC-SHA256的签名算法防止请求被篡改，支持时效性验证(如timestamp参数)，适用于高安全要求的开放API场景。

# **四、业务流程图**

![](https://weapp.eteams.cn/papi/file/preview?fileId=1201382398160330760&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

# **五、功能详细说明**

**1\. 自定义关键词**

自定义关键词校验，即机器人推送内容中必须包含设置的关键词才能将消息内容发送出去，关键词最多可配置10个，每个关键词最多允许10个字符。（如果想跳过安全校验，可设置关键词6个*）

![](https://weapp.eteams.cn/papi/file/preview?fileId=1201382445241393160&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

**2\. IP白名单**

IP白名单校验，即只有配置的特定IP才能调用机器人webhook接口，非法IP调用将被系统屏蔽。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1201382514069921798&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

**3\. 签名校验**

签名校验，即调用机器人webhook接口必须根据生成的签名，按照一定规则获取相应的密钥，使用密钥才能调用接口。如果密钥发生了泄露，可以通过重置功能重新生成。

调用方式：{webhook}?sign=xxx  
sign生成方式：由timestamp+”\n”+机器人签名,当做签名字符串，使用HmacSHA256算法计算签名，然后根据Base64 encode，在进行urlEncode。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1201382999387103233&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

# **六、上下游关联功能点**

1.

机器功能应用，详细请参考章节 ：[机器人应用](https://im.weaver.com.cn/web/#/46/7512 "机器人应用")

2.

机器人设置（后台），详细请参考章节： [机器人设置（后台）](https://im.weaver.com.cn/web/#/46/7478 "机器人设置（后台）")

# **七、注意点**

1.

建议至少选择一种安全校验方式。

2.

关键词使用6个*跳过校验的情况下，注意不要泄露机器人token。
