01
按职责分配访问权限
为管理员、客服与不同团队配置角色，分别控制会话、知识、助手和组织设置的访问范围。权限同时在界面与接口层检查。
管理权限与日常接待权限分开配置。角色与权限
安全控制
从接待入口，到后台协作。
把访问权限、客户身份与外部连接逐项配置，让安全要求落到具体的服务流程里。
02
让客户身份有据可验
公开网站可接待匿名访客；客户门户可要求身份令牌。由你的服务端获取短期令牌，再将已登录客户与对应会话关联。
Widget App 密钥保留在服务端。聊天组件身份验证
03
管理程序访问凭据
开发者工具可使用个人访问令牌，继承持有者的组织与权限范围。为不同用途分别创建令牌，设置有效期，不再使用时撤销。
避免多人或多个集成共用高权限凭据。访问权限管理
04
选择模型与接入方式
可使用自己的 API Key，或接入兼容 OpenAI 的模型端点。根据业务资料的敏感程度，选择合适的供应商、自托管模型或网关。
自有密钥不等于本地推理。AI 模型配置
05
限定外部工具的能力
为助手连接需要的 CRM、业务接口与 MCP 工具，并按实际任务配置权限。工具是否能够读取或修改数据，取决于所接服务与授权范围。
优先使用最小权限账户和只读查询。工具接入 与权限
06
保留处理依据与决策
工单调查展示引用依据与工具调用记录；需要审批的处理建议，由团队确认并记录决定。业务判断可以回到当时的信息与上下文。
调查、审批与客户通知有明确分工。工单处理与审批
以上介绍产品可配置的安全能力，具体启用项以你的工作区与部署方案为准。
数据处理流程
每次回答，都有明确的信息流向。
模型推理、渠道通信和业务工具各有处理边界。接入前，先确认每个环节实际需要哪些信息。
- 01会话入口
客户发起咨询
网站聊天或已连接渠道接收消息；启用身份验证的窗口，先核验客户令牌。
- 02业务知识与规则
工作区组织上下文
结合会话记录、已配置的业务知识与助手规则，准备回答需要的信息。
- 03模型与授权工具
按配置调用服务
模型处理提示与相关上下文；需要查询或跟进时，再调用已连接的工具。
- 04统一收件箱
回复与团队接续
回答回到客户会话，团队在权限范围内查看、分配和处理后续问题。
连接外部服务，也意味着相应的数据处理
使用云端模型时，回答所需的上下文会发送到所选模型端点；连接社媒、CRM 或其他工具时，授权数据会交由相应服务处理。自有 API Key 和自托管应用，都不自动代表所有数据只在本地流转。
L1
调查并记录
AI 整理问题与依据。状态变更和客户消息由团队处理。
L2
建议待审批
AI 提出处理建议，团队批准或退回，并保留审批记录。
L3
按条件通知
在设定的置信度条件内，允许自动关闭工单并通知客户。
工单调查的数据库访问
- 只读查询与允许访问的表
- 敏感列屏蔽与按客户限制数据行
- 查询数量、执行超时与审计记录
批准建议会记录决策，不会直接对数据库执行写入或替你完成业务变更。
业务资料会发送给外部 AI 模型吗？
使用云端模型时，生成回答所需的客户消息、提示词与相关知识片段会发送到所选端点。若希望在自有环境内推理，需要同时配置合适的部署环境与自托管模型，并检查其他外部服务连接。
使用自己的 API Key，是否代表数据不会用于训练？
不能仅凭自有密钥作出这个判断。模型供应商如何处理请求数据，取决于所选服务、账户设置与对应协议。接入前应确认数据用途、保留规则和处理地区。
所有 MCP 工具都只能读取数据吗？
不是。MCP 工具的能力由所连接的服务与凭据决定，可能包含写入操作。工单调查的数据库连接有专门的只读限制；这些限制不代表所有通用 MCP 工具都自动只读。应逐个检查工具权限与可执行操作。
聊天组件可以只允许已登录客户使用吗？
可以配置为需要身份令牌。你的服务端根据已登录客户获取令牌，前端使用返回的短期令牌启动聊天。不要把 Widget App API Key 或服务端密钥放进网页，也不要仅靠前端传入的邮箱判断客户身份。
能否使用企业账号登录？
系统支持 Google 与 Microsoft 的 OpenID Connect 登录。是否显示对应入口取决于当前环境的配置；团队成员仍需先获得工作区邀请与相应权限。需要企业登录配置时，请联系 eoochat 团队。
如何确认数据留存、删除或部署地区？
请结合你的服务方案与数据类型，向 eoochat 团队确认存储地区、备份、保留期限及删除处理方式。涉及个人资料的请求，可按照隐私政策说明联系 contact@eoochat.com。
把你的安全要求，带进接入方案。
告诉我们需要处理的数据、使用的模型与业务系统，一起确认访问范围和部署安排。