企业微信的第三方应用涉及“配置应用权限”，它在不同阶段含义不同：开发阶段意指应用自身所需的功能权限，安装阶段意指企业管理员对应用使用范围的控制，产生此歧义的问题，归根到低还是语言的缩写问题，设想一下，这两部分文档由不同的人员编写，是不是很容易产生这类问题？我们的文档编写人员一方面应尽量避免这方面的问题，另一方面应进行统稿工作，即各部分的内容的一致性检查。

一、开发阶段的“应用权限”：功能权限（必须配置）

在开发者侧，“应用权限”指的是应用正常运行所需的接口调用能力，这是应用实现功能的基础。具体分为两类：

1. 基础权限（自动获取）

• 定义：企业扫码授权服务商代开发应用时，应用自动获得的基础能力。
• 示例：
  • 访问企业通讯录的基本信息（如部门结构、成员姓名）。
  • 接收用户消息的回调能力。
• 特点：无需额外申请，授权后默认生效。

2. 自定义权限（需企业确认）

• 定义：应用实现特定功能（如读取成员手机号、发送审批通知）所需的高级权限。
• 配置流程：
  1. 开发者在服务商后台勾选权限（如“客户联系编辑权限”“审批流程读写权限”）。
  2. 企业管理员收到权限变更通知，需手动确认授权。
  3. 授权通过后，应用方可调用对应API。
• 典型场景：
  • 考勤应用需“读取智慧硬件数据”权限。
  • CRM应用需“编辑客户联系信息”权限。

二、安装阶段的“应用权限”：使用权限（企业控制）

当企业安装第三方应用后，“应用权限”转化为企业管理员对应用使用范围的设置，决定哪些人可以访问应用。具体分为两类：

1. 可见范围（基础控制）

• 定义：限制应用在企业工作台的可见性，支持按部门、标签或全员设置。
• 配置路径：
  • 企业微信管理后台 → 应用管理 → 选择应用 → 可见范围。
  • 手机端：工作台 → 管理企业 → 应用与小程序管理 → 可见范围。
• 示例：
  • 仅销售部门可见客户管理应用。
  • 全员可见报销审批应用。

2. 数据权限（精细控制）

• 定义：限制应用可读取的成员信息范围（如是否包含手机号、邮箱等敏感信息）。
• 配置逻辑：
  • 应用默认仅能读取可见范围内成员的基本信息。
  • 若需读取敏感信息（如头像、个人二维码），需额外申请“成员敏感信息只读”权限，并引导成员单独授权。
• 示例：
  • 招聘应用需获取候选人手机号，需同时配置可见范围和敏感信息权限。

三、区别与混淆点解析

对比项	功能权限（开发阶段）	使用权限（安装阶段）
主体	开发者（服务商）申请，企业管理员确认	企业管理员独立配置，无需开发者参与
目的	让应用具备调用企业微信API的能力	控制哪些人能使用应用及应用可访问的数据范围
配置路径	服务商后台 → 应用管理 → 权限设置	企业微信管理后台 → 应用管理 → 可见范围
生效条件	企业管理员确认授权后立即生效	保存配置后实时生效
典型问题	“为什么应用无法获取成员手机号？”（权限未申请）	“为什么员工A看不到应用？”（可见范围未包含）

误区1：“应用权限配置后所有员工都能使用”

• 错误原因：未区分功能权限与使用权限。
• 解决方案：
  • 开发者需确保应用已申请必要功能权限。
  • 企业管理员需主动设置可见范围，否则应用默认对全员不可见。

误区2：“可见范围设置后应用即可读取所有成员信息”

• 错误原因：未理解数据权限的分级控制。
• 解决方案：
  • 可见范围仅控制应用是否在工作台展示。
  • 若需读取敏感信息，需额外申请权限并引导成员授权。

四、配置流程示例

1. 开发者申请功能权限

• 场景：开发一个考勤应用，需读取门禁设备数据。
• 步骤：
  1. 在服务商后台勾选“智慧硬件数据读取”权限。
  2. 提交审核并发布应用。
  3. 企业安装应用后，管理员收到权限确认通知，点击同意后生效。

2. 企业配置使用权限

• 场景：让考勤应用仅对行政部门可见，并允许读取成员考勤记录。
• 步骤：
  1. 在企业微信后台设置可见范围为“行政部门”。
  2. 若考勤记录包含敏感信息（如上下班时间），需引导成员单独授权。

小结一下

• 功能权限是应用的“能力边界”，决定应用能做什么（如发送消息、读取数据），由开发者申请、企业确认。
• 使用权限是应用的“访问边界”，决定谁能用、能看到什么，由企业管理员独立控制。
• 两者需协同配置：开发者需在开发阶段申请足够权限，企业管理员需在安装阶段合理设置可见范围和数据权限，才能确保应用既安全又可用。