别急着翻设置，WorkBuddy 报“权限不足”时，先想清楚你到底要让它碰什么

今天在 CSDN 刷到一篇讲 WorkBuddy 权限不足排查的帖子，底下评论区吵成一团，有人说改了角色立刻好，有人说重装了三次还是不行。这我太有感触了。上周三我帮班里家长整理通讯录，顺手把 Excel 里那份 200 多行的表格丢给 WorkBuddy 让它去重，结果跑了两分钟直接卡住，弹了个“权限不足”的红条。我当时以为是软件坏了，后来才明白是我自己压根没说清楚它到底能碰哪些文件。

权限不足这报错，八成不是工具不行，是授权范围没写明白。WorkBuddy 的任务授权是走“最小必要”原则的，你新建任务的时候，它不会默认拿到整个电脑的访问权，你得在任务创建时把输入目录、输出目录、甚至要不要碰 API 连接器，一项项显式声明出来。我第一次用的时候图省事，直接授权了根目录 /，结果它一边跑一边报错，我还觉得是 BUG。后来教研室的老师傅提了一句“你给它那么大权限，它反而不知道往哪写”，我才反应过来。

我的环境是 macOS 桌面版，日常主要是让它处理三类活：素材库归档、竞品表格拆分、还有每周的选题排期表。这三类活分别对应三个不同的项目文件夹。现在我的做法是，在 组织管理 → 权限中心 里先建三个角色，分别是“素材整理员”“数据分析师”“排期编辑”，每个角色底下只勾选对应的功能权限。然后我自己的主账号不直接干活，而是把任务派给这三个角色。这样每次报错的时候，我扫一眼任务 ID 大概就知道是谁越权了，不用从头排查。

值得注意的设置节点是，新建任务时，在“授权范围”一栏里填 用户/朵妈/素材库/ 和 用户/朵妈/输出文件夹/，而不是只填一个 用户/朵妈/。别看就差一层，前者只允许它读素材库再写进输出夹，后者等于让它翻你整个个人目录，既慢又容易触发隔离。

路径这个东西也要较真。素材里有个表说得好，授权根目录写 / 不如写 /data/projects/，授权子目录写 /home/user/ 不如写 /home/user/docs/。我一开始就栽在这上面。上上周我想让 WorkBuddy 把某平台下载的 50 多个 PDF 按标题自动归类到子文件夹，我授权了个 /下载/，结果它把下载文件夹里所有图片也扫了一遍，最后输出目录和输入目录搞混了，导出的清单全乱。后来我把输入授权精确到 /下载/k12资料/，输出指向 /素材归档/待审核/，一次就成功了。

另外有个日常运维的小习惯。我每周五下午会固定做一次权限复核，把 WorkBuddy 里跑过的任务记录翻一遍，看看哪些角色最近没用到，顺手停用。别怕麻烦，这比出问题再查日志省事多了。

路径和文件家目录本身也可以做“只读”限定。素材里提到，在本地创建权限组绑定目录与操作类型，比如把素材文件夹设为能读不能改，把草稿文件夹设为可读可写，这比一刀切给全部读写权限稳得多。我家朵朵的计算题打卡表就是这么处理的，她能上传作业但没法去改我以前整理好的例题库。

权限设计这事，和带孩子做时间表是一个道理。你给孩子的自由边界越清楚，她越知道怎么安排自己；你给 AI 的授权路径越具体，它交付的结果反而越干脆。我现在的困惑是，角色和 Skill 之间的对齐我还是没完全吃透，比如“素材整理员”这个角色下到底该绑哪些技能才算不越权。大家平时是把角色分得细一点，还是干脆几个粗角色复用。