员工少记一套账号
钉钉身份与平台账号绑定后，员工从钉钉侧进入，不必再单独记住一套用户名密码。开启自动建号后，新员工第一次登录就自动有账号，并落在你指定的默认部门与角色里。
钉钉部署
把搭建客接进你们已经在用的钉钉
这套集成在免费 SAAS 上就能开通，不需要私有部署。员工不用再记一套新账号，组织架构不用手工录两遍，业务提醒回到大家每天都会打开的入口里。
一、能力状态矩阵
这一节的每一行都按当前代码实现如实标注。我们宁可把状态写清楚，也不想让你在交付时才发现某个环节还没做。
| 能力 | 状态 | 说明 |
|---|---|---|
| 配置钉钉为认证提供商 | 已支持 | 在企业内新增认证提供商，类型选「钉钉」，填写 AppKey、AppSecret、回调地址即可保存并启用 |
| 登录页展示钉钉入口 | 已支持 | 启用后登录页会列出该入口；企业内已启用该类型时，登录页可自动跳转到钉钉登录 |
| 第三方身份绑定 | 已支持 | 钉钉身份与平台账号做映射。一个身份只绑一个账号，一个账号可同时绑微信与钉钉 |
| 部门与成员同步 | 已支持 | 按 dingtalk 作为来源标识同步部门与成员，外部 ID 与本地部门自动建立映射关系 |
| 首次登录自动建号 | 已支持 | 可开启「自动创建用户」，并指定默认部门与默认角色，不用管理员逐个建号 |
| 群机器人通知 | 已支持 | 通过 Webhook 通道把事件推到钉钉群机器人，这是当前最省事的触达方式 |
| 扫码免登完整链路 | 需联调交付 | 依赖你的钉钉应用类型、回调域名与授权范围，需在交付阶段联调确认，我们不做预先承诺 |
| 钉钉应用消息（工作通知） | 即将上线 | 通道配置可保存（Agent ID / AppKey / AppSecret 已就位），发送驱动尚未启用；当前可用 Webhook 替代 |
| 审批待办同步到钉钉 | 规划中 | 平台内的审批待办目前通过站内信 + Webhook 触达 |
先说清边界：标注为「需联调交付」与「即将上线」的能力，不会写进承诺清单。项目启动前我们会先做一次可行性确认——能做就写进方案并给出时间，不能做就直接告诉你用替代方式（比如先用 Webhook 群机器人触达）。
二、接入后是什么体验
组织架构不用录两遍
部门与成员按钉钉侧的组织结构同步进来，外部 ID 与本地部门建立映射。后续组织调整时，同步一次即可，不用在平台里重新维护一棵组织树。
提醒落在每天会看的地方
工单派发、审核结果、到期提醒这类消息，通过 Webhook 推到钉钉群或工作群，比让人主动登录平台查更有效。平台内置的消息通道可统一配置，改一处全局生效。
一个典型组合
钉钉负责「组织与触达」，搭建客负责「业务与数据」：安装师傅在钉钉里收到派单通知，点开链接到搭建客的移动端完成扫码回单；审核人收到通知后进平台审核；部门与人员变动由钉钉同步过来。这条链路上，数据与权限始终在搭建客这一侧统一管理。
三、需要准备什么
接入本身不复杂，卡时间的通常是权限与审批。建议提前把这些准备好。
| 准备项 | 说明 |
|---|---|
| 钉钉管理员权限 | 需要能登录钉钉开放平台并创建 / 管理企业内部应用，通常由企业 IT 或钉钉主管理员操作 |
| 企业内部应用 | 在钉钉开放平台创建企业内部应用，拿到 AppKey 与 AppSecret |
| 回调地址 | 搭建客的访问地址（用于登录回调），需与最终对外域名一致 |
| 通讯录读取权限 | 需要申请通讯录相关权限范围；若只做登录不做同步，可以不要 |
| IP 白名单 | 部分钉钉企业应用要求配置可信 IP，需填写搭建客服务端的出口 IP |
| HTTPS 域名 | 强烈建议使用 HTTPS 域名访问，回调与授权过程更稳定 |
| 一个试点部门 | 建议先在一个部门试用，跑通后再全公司放开 |
如果用私有化部署：搭建客需要能访问钉钉的开放接口。纯内网环境若无法出网，钉钉侧的组织同步与扫码登录都做不了——这种环境建议只在内网使用账号密码登录，触达改用内网可访问的邮件或短信网关。这一点建议在方案阶段就确认清楚。
四、接入步骤
钉钉侧：创建应用并授权
在钉钉开放平台创建企业内部应用，记录 AppKey 与 AppSecret，配置回调地址与所需权限范围，按需设置可信 IP。
平台侧：新增认证提供商
进入「组织与成员 → 认证提供商」，新增一条配置，类型选择「钉钉」，填写 AppKey、AppSecret、回调地址，启用并配置自动建号的默认部门与角色。
同步组织与成员
把钉钉侧的部门与成员数据按平台约定的结构同步进来，平台会按外部 ID 建立映射，已存在的部门不会重复创建。
验证登录链路
用一个真实员工账号走一遍登录，确认账号正确落到默认部门与角色，且能看到该看的应用。这一步需要钉钉侧与平台侧一起看日志。
接通消息触达
在「消息中心」新增 Webhook 通道并填入钉钉群机器人地址，把工单派发、审核结果等事件绑定到这个通道，然后发一条测试消息确认收到。
试点 → 全量
先在一个部门跑一周，收集问题并调整；确认无误后再全公司放开。同步与触达都可以分批推进。
五、平台内怎么配
认证提供商的配置项都是标准字段，填错会直接影响登录，这里逐项说明。
| 配置项 | 是否必填 | 说明 |
|---|---|---|
| 标识 | 必填 | 企业内唯一，建议填 dingtalk；创建后不可修改 |
| 显示名称 | 必填 | 登录页上展示的名字，如「钉钉登录」 |
| 类型 | 必填 | 选择「钉钉」 |
| Client ID | 必填 | 钉钉应用的 AppKey |
| Client Secret | 必填 | 钉钉应用的 AppSecret，保存后不回显明文 |
| 回调地址 | 必填 | 与钉钉开放平台里配置的回调地址保持完全一致，含协议与路径 |
| 启用 | — | 关闭后登录页不再展示该入口 |
| 自动创建用户 | — | 开启后首次登录自动建号，建议开启以省去人工建号 |
| 默认部门 | 开启自动建号时必填 | 新账号自动归入的部门，同时影响该账号的数据可见范围 |
| 默认角色 | 开启自动建号时必填 | 新账号的初始角色，建议先给最小权限，再按需提权 |
| 扩展配置 | 选填 | JSON 格式的附加配置，用于特定场景的补充参数 |
默认角色建议给最小权限。自动建号省了管理员的时间，但也意味着账号会随组织同步自动产生。默认角色先给「普通用户」这类最小权限，具体业务权限通过权限组再分配，避免出现「同步进来一个账号，顺手带走了不该看的数据」。
六、状态与边界说明
这一节集中回答「现在到底能做到哪一步」，也是我们在售前阶段最先讲清楚的部分。
现在就能用的
- 把钉钉配置为平台的认证提供商，并在登录页展示入口
- 钉钉身份与平台账号的绑定关系管理（支持一个账号绑多个第三方身份）
- 按
dingtalk来源同步部门与成员，外部 ID 自动映射 - 首次登录自动建号，并落到指定默认部门与角色
- 通过 Webhook 通道把事件推送到钉钉群机器人
需要联调或尚未启用的
- 扫码免登的完整链路：需要结合你的钉钉应用类型、回调域名与授权范围联调。我们会先确认可行性再给方案。
- 钉钉应用消息（工作通知）：通道配置项已在平台上就位，发送驱动尚未启用。当前建议用 Webhook 群机器人替代，触达效果差别不大。
- 审批待办同步：平台内审批通过站内信与 Webhook 触达，尚未做到双向同步。
我们为什么把状态写在页面上
低代码平台最容易出问题的地方，不是功能少，而是「销售说能做、交付发现不能」。把状态标清楚，短期看少卖了一点，长期看省掉了扯皮——对双方都是。
七、常见问题
必须全公司都从钉钉登录吗？
不必。认证提供商是按企业配置的，你可以只对某个部门或某类角色启用钉钉入口，其他人继续用账号密码登录。两种方式可以在同一个企业里并存。
我们用的是私有化部署，钉钉还能接吗？
只要服务器能访问钉钉的开放接口就能接。纯内网、完全不出网的环境接不了钉钉的登录与同步，这种情况建议只在内网用账号密码登录，消息触达走内网可访问的邮件或短信网关。
组织架构同步会覆盖我平台上已有的部门吗？
同步按外部 ID 建立映射：钉钉侧的部门找到对应记录就更新，没找到就新建，不会把平台上已有的部门整体覆盖或删除。第一次同步前建议先备份，并在测试部门上验证一轮。
员工离职了，平台上的账号会自动停用吗？
取决于同步的字段范围。建议在同步时一并处理在职状态；平台侧也支持按人员启用 / 停用。人员变动后，进行中的审批实例会自动重算候选人，不会卡在已离职的人身上。
接入要多久？
如果钉钉侧应用已经创建好、权限与回调都配好，平台侧的配置与验证通常当天能完成。时间主要花在钉钉侧的权限申请与企业内部审批流程上。
能同时接钉钉和企业微信吗？
可以。平台支持配置多个认证提供商，一个账号也能同时绑定钉钉与微信身份。实际做法通常是按部门或业务线分别启用，避免员工在两个入口之间犹豫。