企业微信的第三方应用涉及“配置应用权限”，它在不同阶段含义不同：开发阶段意指应用自身所需的功能权限，安装阶段意指企业管理员对应用使用范围的控制，产生此歧义的问题，归根到低还是语言的缩写问题，设想一下，这两部分文档由不同的人员编写，是不是很容易产生这类问题？我们的文档编写人员一方面应尽量避免这方面的问题，另一方面应进行统稿工作，即各部分的内容的一致性检查。
一、开发阶段的“应用权限”：功能权限（必须配置）
在开发者侧，“应用权限”指的是应用正常运行所需的接口调用能力，这是应用实现功能的基础。具体分为两类：
1. 基础权限（自动获取）
- 定义：企业扫码授权服务商代开发应用时，应用自动获得的基础能力。
- 示例：
- 访问企业通讯录的基本信息（如部门结构、成员姓名）。
- 接收用户消息的回调能力。
- 特点：无需额外申请，授权后默认生效。
2. 自定义权限（需企业确认）
- 定义：应用实现特定功能（如读取成员手机号、发送审批通知）所需的高级权限。
- 配置流程：
- 开发者在服务商后台勾选权限（如“客户联系编辑权限”“审批流程读写权限”）。
- 企业管理员收到权限变更通知，需手动确认授权。
- 授权通过后，应用方可调用对应API。
- 典型场景：
- 考勤应用需“读取智慧硬件数据”权限。
- CRM应用需“编辑客户联系信息”权限。
二、安装阶段的“应用权限”：使用权限（企业控制）
当企业安装第三方应用后，“应用权限”转化为企业管理员对应用使用范围的设置，决定哪些人可以访问应用。具体分为两类：
1. 可见范围（基础控制）
- 定义：限制应用在企业工作台的可见性，支持按部门、标签或全员设置。
- 配置路径：
- 企业微信管理后台 → 应用管理 → 选择应用 → 可见范围。
- 手机端：工作台 → 管理企业 → 应用与小程序管理 → 可见范围。
- 示例：
- 仅销售部门可见客户管理应用。
- 全员可见报销审批应用。
2. 数据权限（精细控制）
- 定义：限制应用可读取的成员信息范围（如是否包含手机号、邮箱等敏感信息）。
- 配置逻辑：
- 应用默认仅能读取可见范围内成员的基本信息。
- 若需读取敏感信息（如头像、个人二维码），需额外申请“成员敏感信息只读”权限，并引导成员单独授权。
- 示例：
- 招聘应用需获取候选人手机号，需同时配置可见范围和敏感信息权限。
三、区别与混淆点解析
| 对比项 | 功能权限（开发阶段） | 使用权限（安装阶段） |
|---|---|---|
| 主体 | 开发者（服务商）申请，企业管理员确认 | 企业管理员独立配置，无需开发者参与 |
| 目的 | 让应用具备调用企业微信API的能力 | 控制哪些人能使用应用及应用可访问的数据范围 |
| 配置路径 | 服务商后台 → 应用管理 → 权限设置 | 企业微信管理后台 → 应用管理 → 可见范围 |
| 生效条件 | 企业管理员确认授权后立即生效 | 保存配置后实时生效 |
| 典型问题 | “为什么应用无法获取成员手机号？”（权限未申请） | “为什么员工A看不到应用？”（可见范围未包含） |
误区1：“应用权限配置后所有员工都能使用”
- 错误原因：未区分功能权限与使用权限。
- 解决方案：
- 开发者需确保应用已申请必要功能权限。
- 企业管理员需主动设置可见范围，否则应用默认对全员不可见。
误区2：“可见范围设置后应用即可读取所有成员信息”
- 错误原因：未理解数据权限的分级控制。
- 解决方案：
- 可见范围仅控制应用是否在工作台展示。
- 若需读取敏感信息，需额外申请权限并引导成员授权。
四、配置流程示例
1. 开发者申请功能权限
- 场景：开发一个考勤应用，需读取门禁设备数据。
- 步骤：
- 在服务商后台勾选“智慧硬件数据读取”权限。
- 提交审核并发布应用。
- 企业安装应用后，管理员收到权限确认通知，点击同意后生效。
2. 企业配置使用权限
- 场景：让考勤应用仅对行政部门可见，并允许读取成员考勤记录。
- 步骤：
- 在企业微信后台设置可见范围为“行政部门”。
- 若考勤记录包含敏感信息（如上下班时间），需引导成员单独授权。
小结一下
- 功能权限是应用的“能力边界”，决定应用能做什么（如发送消息、读取数据），由开发者申请、企业确认。
- 使用权限是应用的“访问边界”，决定谁能用、能看到什么，由企业管理员独立控制。
- 两者需协同配置：开发者需在开发阶段申请足够权限，企业管理员需在安装阶段合理设置可见范围和数据权限，才能确保应用既安全又可用。