常见IM平台简介与消息机制对比
为什么先了解平台差异？
做IM外发审计，第一步不是写代码，而是搞清楚你面对的是哪种“消息管道”。
我踩过的坑不少：有次客户说“我们用钉钉，直接照着企业微信的API文档改”，结果钉钉的机器人消息根本没外发审计事件，白忙了一周。所以这四个主流平台——企业微信、钉钉、飞书、Slack，你得知道它们在外发消息机制上的关键区别。
一句话记住：企业微信重“协同消息流”，钉钉重“审批与通知通道”，飞书重“开放文档即时同步”，Slack重“Webhook与外挂Bot”。
四大平台核心差异一览
| 维度 | 企业微信 | 钉钉 | 飞书 | Slack |
|---|---|---|---|---|
| 消息类型 | 文本/图片/文件/小程序/应用消息 | 文本/图片/链接/OA消息/卡片 | 文本/富文本/图片/多维表格 | 文本/文件/消息块(blocks)/交互组件 |
| 外发审计事件 | 支持“外发消息”与“被外部会话”事件 | 仅“单聊/群聊”无单独外发事件，需配合审批流 | 通过“应用消息”事件可追踪到外部用户 | 消息记录内分“channel外”需结合admin audit logs |
| 审计API成熟度 | 提供“审计日志”接口，含发送者、接收者、消息类型 | 提供“操作日志”但不含消息正文（需额外解密） | 有“事件订阅+消息内容回传”机制 | Audit Logs API可拉取所有消息发送/修改/删除事件 |
| 消息加密 | 默认TLS，可开启端到端加密（仅内部） | TLS + 企业加密通道 | TLS + 应用消息加密 | TLS + 可选E2EE（企业版） |
| 合规中心 | 支持数据导出、关键词审计 | 支持审计日志留存和导出 | 支持数据资产与事件回溯 | Enterprise Grid支持数据保留与禁止导出 |
这里要特别留意第三行：有没有独立的外发审计事件。我做项目时发现，钉钉的消息审批之后并没有单独的外发事件ID，你需要自己从审批记录里反推——这叫“审计盲区”。
外发消息机制：逐平台拆解
企业微信
- 企业内部员工发送消息给外部联系人时，触发
external_msg事件。 - 支持“客户群”与“单聊”两种外发场景。
- 我建议一定要开启“获取客户群消息”权限，否则审计日志里只有发送者没有接收方。
- ⚠ 曾经有个客户没开“外部联系人”模块，结果一月审计数据全为空，排查两天才发现。
钉钉
- 钉钉没有“外发消息”这个独立概念；所有消息按会话维度记录。
- 如果想追踪外发，一般通过“审批流”中嵌入消息发送动作，或者用“自定义机器人”的webhook日志。
- 避坑指南：钉钉的消息正文在审计日志里是密文，需要额外用企业密钥解密。我自己写过一个解密脚本，踩过JSON解析的坑。
飞书
- 飞书的消息外发主要通过“应用消息”和“消息卡片”实现。
- 它的事件订阅里有一个
message.receive事件，可以识别消息中的外部用户ID（前提是外部用户已授权）。 - 我觉得飞书做得最舒服的是“内容审计”API，能直接拿到消息纯文本，不用自己拼凑。
Slack
- Slack外发消息主要依赖webhook和Slack Connect（跨工作空间会话）。
- Admin Audit Logs会记录所有消息的
message.send事件，包含user、channel甚至external_shared标记。 - 但有个坑：免费版只能查7天内的审计日志，你想想看，如果项目上线后才想起要审计，历史数据早就没了。
重要提醒：以上机制均针对“外发消息”，即员工向企业外部人员发送的消息。内部消息的审计机制差别很大，不要混淆。
核心对比框架图
下面这张图帮你一目了然地看清四个平台在外发消息审计链路上的差异：
图注：中心“外发消息审计”节点连接四个平台，每个平台下方列出该平台审计时需要特别关注的关键点。红色（钉钉）和橙色（Slack）的节点表示在审计实现上存在额外限制或坑点。
审计日志捕获的实战要点
不管哪个平台，最终你都要从它们的审计API里把数据捞出来。但有几个通用坑你得提前知道：
- 事件延迟：企业微信的消息事件有时会延迟5-10分钟。我遇到过凌晨3点的消息，第二天9点才收到回调。
- 消息去重：钉钉和飞书的事件回调可能重复推送，一定要维护一个
msgId去重表。 - 外部用户识别：Slack里外部用户的ID前缀是
U加一串，但内部也是U开头，要通过external_shared标记区分。刚开始我直接忽略标记取数，结果把内部消息也算作外发，数据多了三倍。
我的习惯：在一开始先跑一个“全量拉取测试”，检查各个平台返回的字段里到底有没有
is_external或类似字段。没有就自己写规则——比如接收者ID不在企业通讯录中则判定为外部。