Slack应用开发：读取用户列表的Token选择、权限及最佳实践

1. Bot Token vs User Token：如何决策？ #

核心区别在于身份代表：

• Bot Token：代表Slack应用本身，拥有独立的机器人身份，权限由你为应用配置的范围决定，和单个用户账号无关。
• User Token：代表授权该Token的特定用户，以该用户的身份执行操作，权限受限于该用户在工作区的实际权限。

决策依据：

• 优先选Bot Token：如果你的应用是独立响应指令（比如在频道里接收命令、发送消息）、不需要模拟特定用户的行为（比如访问你的私人聊天、以你的身份操作私有资源），Bot Token是更安全、可控的选择。它的权限边界清晰，不会因为你的账号权限变化（比如退出某个频道）而影响应用运行，也不会泄露个人用户的隐私权限。
• 仅在必要时用User Token：当你需要访问只有特定用户能看到的资源时（比如你的私人聊天记录、你加入的私有频道成员列表），或者需要调用仅支持User Token的API（比如某些用户个人设置相关的接口），才考虑使用User Token。

2. User Token读取用户列表的权限要求及最佳实践 #

权限范围要求 #

如果仅读取你所在的渠道/群组/私聊的用户列表，需要申请以下权限（根据资源类型）：

• 公开频道用户：channels:read（允许读取公开频道的信息及成员列表）
• 私有频道/群组用户：groups:read（对应新版的private_channels:read，允许读取你加入的私有频道成员）
• 私聊用户：im:read（允许读取你的私聊会话及参与用户）
• 基础用户信息：users:read（允许读取工作区公开的用户基本信息，配合上述权限获取成员详情）

最佳实践 #

• 最小权限原则：只申请你实际需要的权限，比如如果不需要访问私聊，就不要申请im:read，避免过度授权带来的安全风险。
• 优先使用Bot Token：除非必须依赖User Token的身份特性，否则尽量用Bot Token。Bot Token的权限由应用配置，不会关联个人账号的权限变动，也更容易管理。
• Token安全存储：绝对不要明文存储Token，用环境变量、加密配置文件或者专门的密钥管理服务保存，避免泄露。
• 权限定期审计：定期检查应用的权限范围，移除不再使用的权限，降低攻击面。
• 环境隔离：测试环境和生产环境使用不同的Token和应用实例，避免测试操作影响生产环境。

内容的提问来源于stack exchange，提问作者sahil