如何在豆包知识库后台设置IP白名单访问权限？

功能定位：为什么必须开启 IP 白名单

豆包知识库默认「任何拿到链接的人均可阅读」，对外分享时固然方便，却把内部资料直接摊在公网。IP 白名单是官方提供的第一层网络级门禁：来源地址不在名单，一律 403，无需登录即可拦截。存放产品 Roadmap、客户合同、Prompt 模板等敏感内容的库，一旦误发链接，白名单能把泄露概率压到经验性观察的可见低点。

与「空间成员权限」不同，白名单工作在 HTTP 层，比账号鉴权更早触发；即便有人拿到成员邀请码，IP 不合规也进不来。网络+账号双因子叠加，才算把门真正锁上。

准入条件与版本要求

1. 你必须是知识库管理员（Owner 或 Admin）。
2. 知识库类型需为「企业空间」或「团队空间」，个人草稿箱暂不支持网络级白名单。
3. 客户端版本：截至当前的最新版本（桌面端 & Web 端均可，移动端仅支持查看，不支持配置）。

操作路径：三步完成白名单写入

桌面端最短路径

1. 打开豆包桌面端 → 左侧边栏选择「知识库」→ 进入目标空间。
2. 右上角「⋯」→「空间设置」→「安全与权限」→ 找到「IP 白名单」卡片。
3. 开关拨到「开启」→ 在输入框内填写 IP 或 CIDR（如 203.0.113.0/24）→「保存」。系统会即时下发 ACL，约数十秒内生效。

Web 端入口

浏览器访问 doubao.cn → 登录 → 顶部导航「工作空间」→ 选择知识库 → 右侧「管理」→「安全」→ 后续步骤与桌面端完全一致。

移动端说明

App 暂不提供白名单配置入口，仅支持成员管理；若外出急需添加 IP，可借助手机浏览器访问 Web 端完成。

填写格式与常见误区

支持单行 IP（192.0.2.50）、CIDR（192.0.2.0/24）与通配符（192.0.2.*）混写，每行一条，最多 200 行。保存时系统会自动去重并校验重叠段，若出现「段冲突」提示，请优先使用更小的掩码。

例外场景：何时不开启白名单

• 需要让外部客户临时查阅：可关闭白名单，改用「密码+有效期」链接，结束后再开启。
• 知识库需嵌入 public 网站：白名单会阻断爬虫，导致嵌入卡片 403；此时应改用「只读成员」+「Token 签名」方案。
• 团队全员远程且地址不固定：频繁改表维护成本高，可降级为「仅账号鉴权」+「操作日志审计」。

性能与成本考量

IP 白名单由边缘网关层匹配，官方文档描述为「亚毫秒级」判定，经验性观察在 200 条目内对访问延迟几乎无感知；当条目 >500 时，初次加载目录偶现 20–40 ms 增长，仍在同机房抖动范围内。对存储容量、API 计费无额外费用，可视为零成本功能。

与第三方归档机器人的协同

若你使用「每晚自动拉取知识库 Markdown 到 Git」的第三方机器人，需要把机器人服务器的出口 IP 也写进白名单，否则归档任务会因 403 中断。获取方法：让运维在服务器执行 curl ifconfig.me，将返回值按 /32 写入即可。遵循权限最小化原则，禁止直接放 0.0.0.0/0。

故障排查：出现 403 但确认已加白

1. 确认本地出口 IP：在报错页面底部豆包会打印「Your IP: x.x.x.x」，复制后与名单比对。
2. 检查是否走代理：部分浏览器插件把流量转发到境外节点，导致来源 IP 变化；关闭代理后再试。
3. 查看缓存：网关 ACL 约 30 秒刷新，若刚保存就测试，可强制 Shift+F5 刷新。
4. 仍失败 → 在「空间设置-操作日志」筛选「access_denied」，能看到被挡 IP 与规则编号，把该 IP 追加即可。

验证与观测方法

1. 保存后立刻用名单外手机 4G 访问，应看到「403 IP Not Allowed」。
2. 回到公司 Wi-Fi，可正常进入目录，说明规则生效。
3. 每周抽样检查「操作日志-登录来源」，若出现陌生 IP 成功记录，说明白名单被误关或地址池更新，需及时修正。

最佳实践清单（可直接打印）

FAQ：你必须知道的 5 个问题

收尾：下一步行动

IP 白名单是豆包知识库最低成本、见效最快的网络门禁方案。今天就去「空间设置-安全与权限」检查：若尚未开启，按本文三步完成首批公司出口段录入；若已开启，对照最佳实践清单做一次季度体检，把多余的动态 IP 及时清理。安全与便利的平衡点，就藏在你对这份名单的精准维护里。