用途：通过飞书官方 lark-cli，以最小只读权限连接用户明确授权的飞书应用，按知识库（Wiki）和云盘（Drive）分开执行只读盘点、搜索与文档分析。默认不修改远端内容；写入、移动、删除、权限变更、发送消息和导出个人数据都需单独确认。
主要能力：盘点知识空间、Wiki 节点树、文档类型、文件与权限元数据；搜索知识库、文档和云盘；读取、总结或比较飞书文档；安装或修复飞书 CLI、检查 token、身份、scope 与连通性。
身份与权限：默认使用应用身份 bot（tenant_access_token）；仅在用户明确要求个人云盘、个人知识库或私有资源时走用户 OAuth（user_access_token）。两种权限需在开放平台分别申请对应最小只读 scope，不可混用，也不要为只读任务申请写入、删除、上传或成员管理权限。bot 不能自动代表用户读取个人资源，也不应因 bot 看不到就静默切换用户 OAuth。
使用方式：安装技能可用 claude plugin marketplace add soia-team/soia-open-skills 与 claude plugin install soia-cwork-office@soia；单技能可用 npx skills add soia-team/soia-open-cwork-office-skills -g -a '*' -s soia-cwork-feishu-cli -y。依赖 Node.js/npm 与官方 lark-cli（npx @larksuite/cli@latest install）。安装后运行 lark-cli doctor、lark-cli profile list、lark-cli auth status --json --verify、lark-cli whoami。应用凭证放在技能专属私有配置中，不提交仓库、不写入 vault，不把 App Secret 放进 shell 历史、命令行参数或日志。
限制与边界：默认只读；遇到 confirmation_required 不要静默追加 --yes。invalid_client/错误码 20140 属凭证认证失败而非缺 scope，应先修复 profile。不读取浏览器 Cookie、密码、浏览器 profile、keychain 原始内容或未授权的 token 存储。不要把一次搜索结果当作全量清单。详细命令与工作流见 references 目录，具体 scope 清单以 permissions.yml 为准。