WorkBuddy 权限别一刀切，我按 allow / ask / deny 把夜班流程重排了一遍

今天夜班前刷到腾讯云那份 WorkBuddy Enterprise 权限规则文档，讲 allow / ask / deny 三种行为，还有多层 settings 怎么合并。看了一半，觉得跟我上个月的坑正好对上。\n\n8 月我写过一篇，说把 WorkBuddy 的权限关到最小之后，排班表终于不乱跑了。那时候的问题是它会在硬盘上自己找文件，翻到我根本没打算让它看的东西。\n\n后来我矫枉过正，只给它一个目录，其他全拦。结果更难受。读 CSV 要确认，写摘要要确认，发邮件要确认，一条流程点十几次。夜班前本来就困，点着点着就想直接关掉。\n\nWorkBuddy 本身有默认权限和完全访问两种模式。默认权限的意思是常规任务直接跑，碰到敏感路径、删文件、跑脚本、调外部程序、联网这几类才弹确认。\n\n这个粒度是按操作类型分的，不是按任务分的。我想要的其实是读我那份脱敏排班 CSV 放行，写夜班摘要放行，往我自己邮箱发一份放行，剩下的都来问我。\n\n我的环境是 Windows 上的 WorkBuddy 桌面端，版本不一定和你一样，界面位置可能差一点。\n\n打开 WorkBuddy，右上角头像旁边有个齿轮，点进去。左边一栏找到权限。上面是模式切换，默认权限和完全访问，先别动，留在默认权限。\n\n往下是规则列表，分 allow、ask、deny 三块。allow 是直接放行不问，ask 是每次都弹窗问你，deny 是直接拒掉。第一次用的话，allow 列表是空的。\n\n点添加规则，我加了几条。信任目录只加 D:\\排班，不加整个 D 盘；读取放行 D:\\排班\\*.csv 和 *.xlsx；写入放行 D:\\排班\\输出\\；删文件留在 ask，不让它自己删；发邮件只放行我自己的收件人地址，别人的一律 ask。\n\n保存之后，界面上会列出来每条规则来自哪一层。有 user 层和 project 层，我的理解是 user 层跟着账号走，project 层跟着文件夹走。\n\n这里有个坑。我一开始以为把整个排班文件夹加进信任目录，它就会自动认我以前存进去的提示词和配置。不会。目录授权只给访问权，不会让它加载那个目录里的配置文件，配置还是以启动目录的为准。所以我以前的排班提示词其实是白放的，后来改成直接写在规则备注里。\n\n把确认从每个动作挪到每条规则上，配一次，后面基本不用管。\n\n日常要盯两件事。一是不再询问那个勾。弹窗里勾一次，它会把这条命令最稳的前缀写进 allow。我勾过几次之后发现 allow 列表膨胀得挺快，有些规则我自己都不记得什么时候加的。现在我每周五花十分钟过一遍列表，把多余的删掉。这个习惯大概值一条夜班摘要的时间。\n\n二是规则要跟着人走。科室里现在其实就我一个在用，但我把规则导出来存了一份，交班的时候给接手的人。不然她那边全是弹确认，会以为工具坏了。\n\n前几天那篇文档里还提到规则可以提交到版本库跟团队共享，也可以本地覆盖。这个场景我用不上，但如果以后科室几个人一起排班，大概就是靠这个把 allow / ask / deny 统一成一套，谁改了什么都能看见。\n\n现在跑一条夜班摘要，从读 CSV 到发邮件，中间大概点两次确认。比以前十几次强多了。