Hermes Agent 接入微信：个人微信 iLink 与企业微信两条路径

先选对接入方式

个人微信使用 Weixin iLink Bot API，通过二维码登录和长轮询工作；企业微信使用 WeCom AI Bot WebSocket。二者账号体系、凭据和群聊能力不同。

• 个人微信私聊：选择 Weixin。
• 企业内部机器人、群聊与精细权限：选择 WeCom。
• 避免使用个人号注入或逆向协议。

个人微信：二维码连接 iLink Bot

运行向导选择 Weixin，终端会显示二维码。手机确认后，Hermes 把 account_id、token 和 base_url 保存到 `~/.hermes/weixin/accounts/`。

hermes gateway setup
WEIXIN_ACCOUNT_ID=your-account-id
WEIXIN_DM_POLICY=allowlist
WEIXIN_ALLOWED_USERS=user_id_1,user_id_2
hermes gateway start

扫码连接的是独立 iLink bot 身份，不是可完全控制的普通个人微信号。大多数账号只能稳定使用私聊。

个人微信群聊限制

iLink bot 通常不能像普通联系人一样加入微信群，也经常收不到普通群消息或 @事件。`WEIXIN_GROUP_POLICY` 只有在腾讯实际下发群事件时才有效。

• 默认保持 WEIXIN_GROUP_POLICY=disabled。
• 其他用户应给 iLink bot 身份发私聊，而不是给扫码用的个人账号发消息。
• 群消息完全收不到通常是 iLink 平台限制，不是 Gateway 配置错误。

企业微信：创建 WeCom AI Bot

在企业微信管理后台创建 AI Bot，获取 Bot ID 与 Secret；也可在 `hermes gateway setup` 中选择 WeCom 扫码创建。WebSocket 模式不需要公网入口。

hermes gateway setup
WECOM_BOT_ID=your-bot-id
WECOM_SECRET=your-secret
WECOM_ALLOWED_USERS=user_id_1,user_id_2
WECOM_HOME_CHANNEL=chat_id
hermes gateway start

企业微信访问控制

WeCom 支持 DM 策略、群策略、群 allowlist 和每群发送者 allowlist。生产环境不要保持全开放。

WECOM_DM_POLICY=allowlist
WECOM_GROUP_POLICY=allowlist

• 先限制允许的群 ID。
• 再按群限制允许发起 Agent 请求的成员。
• 为管理员保留独立 allowlist。
• Secret 泄露后立即轮换。

启动验证与媒体能力

两种适配器都支持文件和媒体，但个人微信 CDN 媒体由 Hermes 解密缓存，企业微信也会处理加密附件。先验证文本，再测试图片、文件与语音。

1. 1. 验证 allowlist 外用户被拒绝。
2. 2. 验证重启后凭据仍能恢复。
3. 3. 确认缓存目录权限与磁盘空间。
4. 4. 不要在日志中输出 token、Secret 或媒体解密密钥。

hermes gateway status
hermes doctor