soia-cwork-feishu-cli

使用飞书官方 lark-cli 连接用户明确授权的飞书应用，按“知识库/Wiki”和“云盘/Drive”分开执行只读盘点、搜索和文档分析。默认使用应用身份 bot；只有用户明确要求访问个人云盘、个人知识库或私有资源时，才走用户 OAuth。默认不修改飞书远端内容；写入、移动、删除、权限变更、发送消息和导出个人数据都必须单独确认。

场景分流：知识库与云盘不能混用

场景	默认身份	主要对象	用户 OAuth 何时使用	详细规则
知识库 / Wiki	bot	知识空间、Wiki 节点、Wiki 文档	用户明确要求个人知识库或 bot 不可见的私有知识库	wiki-workflow.md
云盘 / Drive	bot	共享文件夹、应用可见文档、文件元数据	用户明确要求“我的云盘 / 我的文件夹 / 个人文档”	drive-workflow.md

不要把 Wiki 的空间/节点接口当作云盘目录，也不要把 bot 的空搜索结果解释为用户个人云盘为空。

两种权限类型：是否需要同时申请

飞书对同一个 API 能力按调用身份分别管理权限：

应用身份权限：tenant_access_token，运行时是 bot。在“应用身份权限”页签申请；还要配置应用数据权限、可用范围或把应用加入目标知识库/文件夹。
用户身份权限：user_access_token，运行时是 user。在“用户身份权限”页签申请；再由用户执行 lark-cli auth login 完成 OAuth，访问范围跟随登录用户。