作为飞书管理员，设置应用权限审核规则是保障企业数据安全的关键环节。合理配置"需审核权限"与"免审权限"，既能降低审核成本，又能提升审核效率。本文从权限类型、等级划分、推荐审核规则三方面，为管理员提供可直接落地的操作参考。
一、简介
🔖 谁能操作：超级管理员或拥有全部应用权限的管理员
应用权限是飞书的核心控制机制，通过服务端 API 实现对企业数据的访问或修改（如获取组织架构、操作云文档、发送消息等）。每个 API 都对应专属应用权限，管理员需在应用提交发布后，审核其申请的权限------审核通过后，应用才可调用对应 API 或监听订阅事件。
本文将从"应用权限类型"和"应用权限等级"两个维度，帮助管理员判断哪些权限可设置为免审，哪些需严格审核。
二、应用权限的类型和等级划分
1.1 应用权限的类型（按调用身份划分）
根据调用 API 时使用的身份凭证，应用权限分为两种类型，核心差异在于数据操作的资源范围限制：
| 权限类型 | 身份凭证 | 核心描述 | 场景示例 |
|---|---|---|---|
| 应用身份权限 | Tenant Access Token | 应用在用户未登录时自动化运行，操作范围受限于应用自身权限 | 1. 调用创建多维表格接口：新表格所有者为应用本身（如"My bot"）； 2. 订阅云文档变更：仅能接收应用作为所有者/管理员的文档变更通知 |
| 用户身份权限 | User Access Token | 应用以登录用户身份执行操作，操作范围受限于该用户的权限 | 1. 调用创建多维表格接口：新表格所有者为登录用户（如"小美"）； 2. 订阅云文档变更：仅能接收该用户作为所有者/管理员的文档变更通知 |
1.2 应用权限的等级划分（按数据敏感程度划分）
根据访问数据的敏感程度，应用权限分为两个等级，直接决定审核要求：
- 普通权限：访问数据的敏感程度低，多为应用运行必需的基础数据（如应用 ID、应用配置、接口名称等）。申请后立即生效，无需审核。
- 高级权限：访问数据的敏感程度高，涉及企业核心数据或个人信息（如文档内容、日历日程、IM 消息、头像、地理位置等）。申请后需创建版本并提交审核，管理员通过后才可生效。
三、平台推荐的审核规则
基于"权限类型+权限等级"的二维划分，飞书平台给出以下审核规则建议，兼顾安全性与操作效率（API 具体权限可参考官方「API 权限列表」）：
| 权限等级 | 应用身份调用（Tenant Access Token） | 用户身份调用（User Access Token） |
|---|---|---|
| 普通权限 | 不涉及企业敏感字段，可设置为免审 | 不涉及企业敏感字段，可设置为免审 |
| 高级权限 | 涉及敏感信息，必须审核 ⚠️ 注：无合理必要原因，申请将不予通过 | 应用代表用户操作，需用户先授权再使用，大部分可免审 ⚠️ 注：通讯录、飞书人事等特定敏感权限，仍需审核 |
四、核心总结
- 普通权限优先免审：无论是应用身份还是用户身份调用，普通权限（基础运行必需）可直接设置为免审，减少不必要的审核成本；
- 应用身份高级权限必审：应用自动化运行时的高级权限，直接关联企业敏感数据，无合理理由一律不通过；
- 用户身份高级权限差异化审核：大部分可免审（需用户授权），但通讯录、人事等核心敏感权限需严格审核，避免企业数据泄露。
合理配置应用权限审核规则，是飞书管理员平衡"企业数据安全"与"应用使用效率"的关键。建议收藏本文，在设置应用权限时直接参考，也可转发给团队其他管理员，统一审核标准～
参考来源 ：飞书帮助中心
原文链接：https://www.feishu.cn/hc/zh-CN/articles/455824553396-应用的权限介绍和审核规则推荐?from=in-app-management