企微通道 + 工作手机外呼升级方案
日期：2026-08-28 ｜ 调研对象：小米政企服务（dev.b.mi.com 开放平台 + b.mi.com 政企门户） 数据纪律：「✅官方实锤」= dev.b.mi.com / b.mi.com 官方页面与 API 文档原文；「📊推演」= 基于官方事实的推理；「❓待实测/未公开」= 官方文档拿不到，不编造。 承接：
~/tri-terminal-work-phone/旧调研全部结论（三端共存官方支持、伪装 Pad 证伪、API 优先+RPA 主力+Computer Use 兜底、政企 ROM+EMM 管控）。
〇、一句话结论
小米政企服务是目前调研到的唯一把「工作手机当外呼线路」做成官方系统 API 的厂商：定制 ROM 的 PhoneManager 提供「通话上行通道音频实时注入」（AI 语音直接注入蜂窝通话）+ 双轨通话录音 + 呼入呼出管控 + 号码脱敏——目标 2（外呼线路化）在小米侧有官方实锤路径；目标 1（三端同一账号）小米侧的正确答案是「直接提供真平板（官方支持全系列定制），让 Pad 身份天然成立」，而不是提供「手机伪装 Pad」能力（官方无此能力，旧调研已证伪此路线）。
一、小米政企服务调研结论（围绕两个目标）
1.1 平台形态（✅官方实锤）
小米政企服务开放平台（dev.b.mi.com）面向政企 MDM 应用开发者，开放「系统级管理能力」，两种接入形态：
| 形态 | 机制 | 适用 | 关键限制 |
|---|---|---|---|
| 企业模式 | 标准 MIUI 设备 + EnterpriseSDK.jar + 激活码激活 | 快速试点、轻管控 | 测试证书最多 5 台（绑 IMEI）；正式证书不限设备但 APK 每次更新需重新申请；API 面小（无通话录音/无上行注入） |
| 定制 ROM（政企版 ROM） | 能力在 ROM 构建时开启，随设备出厂 | 正式商用、全能力 | 需商务合作（流程：提交需求→技术评估→签合同→开发联调→交付）；部分能力仅 MTK 平台 |
-
SDK：
com.miui.enterprise.sdk五大 Manager（APN / Application / Device / Phone / Restrictions），最新版 V1.9.0（2024-12-20），V1.2.1（2023-03）以来持续迭代（✅ 下载中心 + 文档 changelog） -
使用限制（✅ 总览页原文）：「安全类 API 大都具有敏感权限，小米将对开发者的资质、API 的具体使用场景等做审核之后，授权开发者使用」——AI 外呼场景能否过审是商务/合规确认项
-
应用场景官方明示含「市场销售：客户号码隐藏、通话录音、员工定位」「电网销管理」（✅ dev.b.mi.com 首页 + b.mi.com 解决方案页）
1.2 目标 1（三端同一账号）：小米能做什么 / 不能做什么
| 问题 | 结论 | 依据 |
|---|---|---|
| 小米平板能否跑企微三端同一账号 | ✅ 可以且天然成立：小米/Redmi 真平板是「真 Pad 身份」，企微官方支持「平板（扫码副设备）+ 手机 + 电脑」三端同账号共存——不需要小米提供任何特殊能力 | 旧调研 ✅企微帮助 19124；b.mi.com「全系列小米手机均可支持定制」、有教育/金融定制平板先例 |
| 小米是否有 Pad 判定/设备伪装能力 | ❌ 官方无此能力（文档全文无相关内容）——且这条路本身已被证伪（折叠屏反证 + 企微风控），用户原话的备选方案「pad 系统刷进手机」维持旧调研裁决：废弃 | dev.b.mi.com 文档全文检索；旧调研 §二 |
| 政企 ROM 是否影响企微多端登录 | 📊 无证据表明影响：管控 API 作用于系统通话/短信/应用层，与企微 IM 协议栈无关；但反向风险要把住：定制时须把企微列入「应用双开黑名单」（政企 SDK 自带 2.20 应用双开黑名单 + 2.13 检查应用是否双开——官方立场就是防双开，与企微反多开风控同向） | ✅定制 ROM API 文档 ApplicationManager；📊推演 |
| 政企 ROM 对 Pad 端 RPA 的助力 | ✅ 免交互激活/注销无障碍服务（ApplicationManager 2.26，企业模式 2.14 也有）+ 应用保活/防卸载/自启动白名单 + 免交互激活 DeviceOwner——RPA Agent（uiautomator2/无障碍路线）可稳健常驻、远程维护，这是相对消费级平板的实质优势 | ✅定制 ROM API 文档 |
小结（目标 1）：小米政企服务对「三端同一账号」的价值不在「多端登录」本身（那是企微官方能力），而在两点——① 提供真平板政企定制采购通道；② 提供 RPA Agent 的系统级生存保障（无障碍免交互激活、保活、防卸载、DeviceOwner）。
1.3 目标 2（工作手机外呼线路化）：小米能做什么 / 不能做什么
能做什么（✅官方实锤，均在定制 ROM PhoneManager/DeviceManager）：
| 能力 | API（版本） | 对「外呼线路」的意义 |
|---|---|---|
| 通话上行通道音频实时注入 | setCallUplinkInjectorListener(Context, ICallUplinkInjectorListener, AudioFormat, injectCase)，通话接通回调 onReady(AudioTrack) 后直接向上行通道写入实时音频流；可分场景（来电/去电）（V1.8.0，2024-09） |
AI 语音（TTS 流）打进蜂窝通话的官方通道——「手机当线路」的核心拼图 |
| 通话上行 IVR 自动播放 / 通话混音 | playIVRAudio(path, loop, micMute)、setIVRAutoPlayAudio；playAudioAfterCallConnected(path)（4.15 混音仅 MTK） |
播报型外呼（通知/提醒/IVR 导航）开箱即用 |
| 双轨通话录音 | 上行/下行话音分轨存储（仅 MTK，需 ROM 构建时开启） | AI 质检/合规留痕的原料，上下行分轨对 ASR 质量至关重要 |
| 默认通话录音 | setPhoneCallAutoRecord + 保存路径 + 格式（aac/mp3/wav） |
全量通话留痕 |
| VoIP 通话自动录音 + 实时双轨流转发 | enableVoIPAutoRecord + setVoIPAutoRecordListener → 录音中持续回调 onRecording(byte[] uplink, byte[] downlink)，可指定被录音的 VoIP 应用（V1.4.0） |
企微语音通话的合规录音留痕；自研软电话场景的天然数据通道 |
| 呼入呼出管控 | 4.1/4.2 管控呼入呼出（Set Restriction for Incoming/Outgoing Calls）FLAG 全禁/黑白名单 + 4.2/4.3 设置来去电黑白名单号码 | 「工作时段禁私呼、非工作时段只许 AI 外呼名单」的执行点 |
| 通话广播 | ACTION_INCOMING_CALL / ACTION_OUTGOING_CALL（4.1） | 线路状态事件源（呼出开始/结束 → 触发 AI/审计） |
| 通话中专线占用 | DeviceManager 3.22：通话过程中禁止其他电话呼入/呼出 | 保证 AI 外呼时段线路不被打断 |
| 结束当前通话 | PhoneManager 4.8 | AI 主动挂断/异常处置 |
| 电话号码脱敏 | 4.7：密文展示 + 解密白名单 + 访问系统数据库白名单 | 客户号码不出受控边界（对标度言「号码脱敏」） |
| 通话记录管控 | 4.11 可禁止系统生成通话记录 | 外勤隐私/数据最小化可选 |
| SIM 管控 | 启用/关闭 SIM 卡（4.10）、卡槽禁用（4.21）、PIN 码管理、单双卡模式、自动重拨管控 | 线路资源锁死、防挪用 |
不能做什么 / 未公开（❓，如实标注）：
| 缺口 | 现状 | 影响与对策 |
|---|---|---|
| 蜂窝通话下行（客户侧）实时音频流 | 官方文档未见 API——实时双轨流只在「VoIP 通话录音」里有，蜂窝通话只有「上行注入 + 事后录音文件」 | AI 全双工实时对话（要听客户说话并实时打断）在纯蜂窝通道上不闭环。对策：AI 实时对话走旧调研 Q1-A「运营商同振/呼叫转移到 AI 平台线路」（号码不变、完全远程）；蜂窝通道做 IVR 播报型外呼 + 人工坐席通话 + 全量录音。或向小米商务确认是否有未公开下行流接口 |
| 非工作时段排程策略 | SDK 无时间排程 API | 时段策略由管控层（自研管控 App / EMM 策略下发）实现，SDK 只提供执行点——📊 架构设计即可覆盖 |
| Pad 判定/伪装 | 官方无此能力 | 见 1.2，真平板替代 |
| 现行可定制平板型号与报价 | b.mi.com 无公开型号目录（设备页为 Xiaomi 12 等旧机型示例 + 历史定制平板页：教育定制平板 2899 / 金融定制平板 2499，4+64 老规格），官方口径「全系列小米手机均可支持定制，请联系我们获取详情」 | ❓ 商务确认现行平板定制清单；消费级价格锚沿用旧调研：Redmi Pad SE 900-1100 元、Xiaomi Pad 7/7 Pro 2000-2500 元 |
小结（目标 2）：「工作手机 = 一条可控外呼线路」在小米定制 ROM 上有官方 API 闭环——管控（呼入呼出白名单 + 时段策略执行点）+ 发声（上行注入/IVR）+ 留痕（双轨录音 + 脱敏）三要素齐备；唯一缺口是蜂窝下行实时流，决定「AI 实时对话型外呼」仍需叠加运营商同振/平台线路。
1.4 管控能力全景（✅官方实锤，五大 Manager 摘要）
-
ApplicationManager：静默安装/卸载、安装/运行黑白名单、防卸载、保活、自启动、授予运行时/系统/signature/privileged 权限、免交互激活无障碍服务与 DeviceAdmin/DeviceOwner/ProfileOwner、设置默认短信应用、隐藏最近任务栈、应用双开黑名单
-
DeviceManager：强制关机/重启、恢复出厂、域名/IP/WiFi/蓝牙黑白名单、摄像头黑白名单、USB 管控（仅充电/文件格式）、开发者选项管控、网络审计日志导出、截屏管控、DeviceOwner 提示隐藏
-
RestrictionsManager：WiFi/蓝牙/GPS/NFC/飞行模式/相机/录音/截屏/USB 调试/系统升级等 40+ 系统功能开关管控、多用户（创建/删除用户，双域基础）
-
与旧调研结论的关系：小米方案 = 「厂商政企 ROM + 现成 EMM」路线的又一家厂商实证（vivo 之外多了一个可商务对比的选项）；⚠️ 双轨录音/通话混音仅 MTK 平台、上行注入平台范围 ❓——选机型时 SoC 平台是硬约束
1.5 双向钢人（对小米路线的正反两面）
| 钢人·支持 | 钢人·反对 |
|---|---|
| 通信管控 API 面是所见厂商中最全的（上行注入/双轨录音/VoIP 实时流/脱敏），正中目标 2 | 深度能力绑定定制 ROM + 商务流程（评估/合同/联调周期），且关键录音能力仅 MTK——机型选择权被压缩；vivo 现有合作已覆盖「录音+管控」，切换小米的增量主要是「上行注入 + VoIP 实时流」 |
| 企业模式可 5 台起测（IMEI 测试证书），试点成本低 | 企业模式 API 面小（无录音/无注入），试点只能验证管控，验证不了外呼线路核心能力 |
| 「市场销售/电网销」是官方明示场景，资质审核通过概率高 | 「AI 外呼（机器人对客）」是否属于过审场景，官方无承诺——❓ 商务/法务确认；且非工作时段 AI 外呼本身有消保合规问题（与厂商无关，见 §四） |
| 平板定制有先例（教育/金融定制平板），真平板路线顺 | b.mi.com 无现行 pad 目录与报价，采购能见度低，一切待商务 |
二、解决方案思路与要点（端到端）
第一性原理：两个目标本质是同一件事——把「一套企微账号 + 一个工作手机号」变成 AI 与人可分时/分工共用的受控通信资源。AI 不是新增账号（不拉群），而是同一账号在 Pad 端、同一号码在非工作时段的「另一个操作者」。因此方案的全部设计围绕两条主线：身份唯一（同账号/同号码）+ 操作者分时分工（人/AI 切换规则 + 全程留痕）。
端到端链路（七层）
-
设备层：工作电脑（现有 PC，企微 PC 端）+ 工作手机（政企定制 ROM 手机，主设备，人用）+ 工作 Pad（真平板政企定制，AI 用）——优先直接选 pad（用户原话），「手机刷 pad 系统」备选废弃
-
系统层：厂商政企定制 ROM（小米 or 现有 vivo——对比项见 §一.5；通话录音/上行注入/脱敏等系统级能力只可能来自这一层）
-
管控层：政企 SDK（通信管控/应用管控/脱敏/多用户）+ 自研管控服务（时段策略、线路调度、审计）+ 可选 EMM（Headwind/指掌易，跨厂商统一策略下发）
-
企微多端层：同一企微账号三端共存——手机端（主设备，人）扫码授权 Pad 端（副设备，AI）+ PC 端（人）；会话存档 API 做内容留痕（解决「企微聊天不可见」现状）
-
自动化层（Pad 端 AI 执行）：官方 API 优先（会话存档/客户联系/wecom-cli 智能机器人）+ 控件 RPA 主力（uiautomator2，无障碍服务由政企 SDK 免交互激活保活）+ Computer Use 兜底（长尾/修复）——承接旧调研分层结论，RPA 模拟点击的企微合规红线不变
-
话务线路层：工作手机号 = 线路资源池成员。工作时段归人（呼入呼出白名单管控 + 全程录音）；非工作时段归 AI，两种打法按场景组合：
- A. 蜂窝直拨 + 上行注入（小米定制 ROM 官方 API）：适合播报/通知型外呼（话术固定、无需实时听客户），或「AI 拨号 → 接通后转人工坐席」；全量双轨录音留痕
- B. 运营商同振/呼叫转移 → AI 平台线路（承接旧调研 Q1-A）：适合需要全双工实时对话的 AI 外呼；主叫显示工作手机号，录音在线路侧
- C. 现有外采第三方线路继续承担大规模 AI 外呼主力（不变），工作手机线路补「号码信任度要求高」的场景
- Agentic 接入层：Agentic 系统通过我系统的能力网关调用——「企微能力」（发消息/加好友）+「话务能力」（发起外呼/挂断/录音回传/通话事件），不直接触达设备；人机切换（如终审转人工）由业务流编排
关键设计决策（对抗性验证后的取舍）
| 决策 | 选择 | 最强反对 → 裁决 |
|---|---|---|
| Pad 来源 | 真平板政企定制（小米/vivo 均可商务对比） | 「手机伪装 pad 省一台设备」→ 已双杀（技术不可靠 + 官方违规），废弃 |
| AI 外呼走哪条通道 | 实时对话走 B（同振/平台线路），播报/转人工走 A（蜂窝+上行注入） | 「A 一条通道打天下更简单」→ 蜂窝下行实时流未公开，全双工不闭环，不能赌未公开能力 |
| 管控底座厂商 | 保持厂商中立（小米 vs vivo 商务对比），管控抽象层自研 | 「直接切小米」→ 增量能力（上行注入/VoIP 流）需实测验证后再决策，避免无谓换供应商 |
| 时段切换 | 管控层统一下发「工作/非工作」策略，SDK 执行点兜底 | 「靠坐席自觉」→ 不合规不可审计，必须系统强制 |
三、对 Agentic 系统的需求边界
Agentic 系统 = AI 调用「我系统的企微能力」与客户短消息联系 + 调用「我系统的话务能力」与客户电话联系。
| 边界类别 | 明确边界 | 明确需求（要我系统提供什么） |
|---|---|---|
| 能力边界 | 企微侧：发短消息（文本/图片/文件）、加好友/通过好友、（可选）客户标签——不含朋友圈、群运营等 RPA 高危动作；话务侧：发起外呼、挂断、查询通话状态与录音——不含任意号码直呼（只许名单内客户） | ① 消息发送 API（指定客户/会话，同步返回送达状态）② 加好友任务 API（手机号/企微 ID → 任务，异步回调结果）③ 外呼任务 API（客户标识 + 话术/语音策略 + 回调）④ 通话事件推送（振铃/接通/挂断/转人工请求）⑤ 录音与转写回传接口 |
| 接口边界 | Agentic 只面对能力网关（任务式：taskId + 回调/轮询），不持有设备、不接触 RPA 细节、不知道手机/平板在哪 | 统一的鉴权、限流、幂等、任务状态机、失败重试语义；人机切换信令（AI → 人：移交上下文摘要；人 → AI：收回/释放） |
| 账号边界 | AI 动作全部以坐席本人企微账号/工作手机号身份发出（共用一套、不拉群）；AI 无独立身份；账号风控（企微操作频控、外呼频次）由平台统一管 | 账号-坐席-AI 三元绑定关系管理；AI 行为在企微侧的频控阈值配置（防触发风控）；号码-线索/订单关联查询 |
| 合规边界 | 外呼仅限非工作时段窗口 + 已授权客户名单；全量录音留痕；客户号码脱敏存储；AI 话术过审后才能上线；RPA 动作限白名单 | 时段窗口与名单的配置接口；话术/语音版本管理；全链路审计日志（谁、何时、以何身份、对客户做了什么） |
四、对真人端的需求边界
真人 = 坐席用电脑 + 手机操作企微；工作手机工作时段归人使用。
| 边界类别 | 明确边界 | 明确需求（要提供什么） |
|---|---|---|
| 能力边界 | 人用 PC + 手机两端企微（手机为主设备）；Pad 端（AI）的所有动作对坐席同账号可见（消息天然同步，这是「不拉群」的最大红利）；工作手机工作时段正常打电话 | ① 三端登录开通与扫码绑定 SOP（手机扫码授权 Pad）② 坐席侧「AI 正在操作」可视（ Pad 端动作在会话流中可见 + 工作台标识）③ AI 发言的人工插入/撤回通道 |
| 操作边界 | 人机分工规则：AI 负责高频初筛/加好友/标准话术；人负责终审、复杂谈判、异常——切换节点业务流显式定义；坐席可随时接管 AI 的外呼/会话 | 人机切换入口（一键接管/一键交还）；接管时 AI 上下文摘要（聊了什么、外呼进展）；冲突仲裁规则（人与 AI 同时操作同一客户的优先级） |
| 管控边界 | 设备受控：应用白名单、禁私装、通话黑白名单、工作/非工作时段策略、离职远程擦除；企微不双开（双开黑名单含企微） | 管控策略的管理界面与例外审批流；设备遗失/离职处置流程（锁定→擦除→恢复出厂）；管控不影响坐席正常工作的白名单设计 |
| 合规边界 | 坐席通话全量录音（已现状）；AI 外呼时段坐席无责（非工作时段）；客户投诉可溯源到具体操作者（人/AI） | 录音/会话的查询与导出（质检用）；操作者身份在审计日志中的区分标记；面向坐席的规则告知与确认（知情同意） |
五、待确认 / 待实测清单（P0，供拍板）
| # | 事项 | 为什么阻塞 | 确认方式 |
|---|---|---|---|
| 1 | 蜂窝通话下行实时音频流是否有（未公开）接口 | 决定「AI 实时对话能否纯蜂窝闭环」；若无 → 走运营商同振方案 B | 小米商务/技术接口人；或定制 ROM POC 实测 |
| 2 | 上行注入（4.22）与双轨录音（4.15）的平台/机型范围（双轨已写明仅 MTK；注入未写明） | 直接决定工作手机选型的 SoC 约束 | 小米技术确认 + POC 实测（音频格式/延迟/音质） |
| 3 | 现行可定制平板/手机型号清单、报价、商务周期（b.mi.com 无公开目录） | Pad 采购与预算 | 联系小米政企商务（miui-enterprise-dev@xiaomi.com / b.mi.com 商务专员入口） |
| 4 | 「AI 外呼/机器人对客」场景能否通过政企 SDK 使用场景审核 | 拿不到授权则定制 ROM 路线在小米侧不通 | 开发者认证 + 场景申报时书面确认 |
| 5 | 小米 vs vivo 的对比裁决（现有 vivo 已覆盖录音+管控；小米增量=上行注入+VoIP 实时流） | 避免无谓换供应商 | 拿到 #1/#2 答案后做对比表拍板 |
| 6 | 企微 Pad 端在目标平板上的三端共存 + uiautomator2 控件树实测 | RPA 可行性最终验证（旧调研阶段 0 遗留） | 购 1-2 台真平板实测 |
| 7 | 企微会话存档 API 准入与收费 | 解决「企微聊天不可见」的官方数据底座 | 企微商务（沿用旧调研 P0） |
| 8 | 非工作时段 AI 外呼的消保合规（客户授权、时段合法性、话术审核） | 法务红线，与技术无关但必须先行 | 法务评审 |
| 9 | 时段策略实现归属：自研管控服务 vs EMM 策略下发 | 架构归属 | 架构评审（不阻塞商务动作） |
附录 A：官方来源清单
- ✅ dev.b.mi.com 总览 / 企业模式-接入指南 / 企业模式-API 文档 / 定制 ROM-接入指南 / 定制 ROM-API 文档（V1.2.1–V1.9.0 changelog）/ 下载中心（EnterpriseSDK.jar 各版本，需登录下载）
- ✅ b.mi.com 系统能力页（通信管控：自动通话录音/通话混音仅 MTK/VoIP 录音/双轨录音）/ 解决方案页（电网销管理、金融营销）/ 设备页（全系列可定制、联系商务；教育/金融定制平板历史页面）/ 定制流程五步
- 采集方式：站点为 Vue SPA（hash 路由），正文经 headless Chromium（Playwright）渲染提取 + JS chunk grep 交叉验证；未登录区域之外的 SDK 细节（如 SDK 包内部实现）未获取，标注为 ❓
附录 B：术语速查表
面向初次接触本领域读者的术语说明——正文中术语首次出现处也有小字附注，此处集中列出便于查阅。
| 术语 | 通俗解释 |
|---|---|
| 政企版 ROM | 厂商为企业定制的系统版本，开放系统级权限（通话录音、上行注入、号码脱敏）供企业管理 |
| 定制 ROM | 厂商按企业需求定制的系统固件，能力在系统构建时开启、随设备出厂 |
| 政企 ROM | 同上「政企版 ROM」：厂商为企业定制的系统版本 |
| 企业模式 | 标准 MIUI 设备 + EnterpriseSDK + 激活码激活的轻管控接入形态，API 面较小 |
| 双轨通话录音 | 通话的上行（我方）与下行（对方）话音分轨存储，便于质检与语音识别 |
| 上行注入 | 通话接通后向蜂窝通话的上行通道实时写入音频流（AI 语音进入通话的通道） |
| 上行混音 | 同上「上行注入」：把音频混入通话上行通道 |
| 号码脱敏 | 客户号码以密文展示，解密需白名单授权，防止号码流出受控边界 |
| 双开黑名单 | 禁止应用双开（多开）的企业管控，与企微反多开风控同向 |
| 会话存档 API | 企业微信官方接口，企业可合规获取并保存员工聊天记录 |
| DeviceOwner | 设备所有者模式：Android 企业管控的最高权限，可管理整台设备 |
| 无障碍服务 | Android 辅助功能：可读取屏幕内容并代用户操作，是多数自动化工具的基础 |
| Computer Use | AI 通过查看屏幕截图、自主决定并执行点击/输入，实现「AI 操作设备」 |
| 控件 RPA | 通过控件树定位元素的 RPA，比「视觉模拟点击」更稳定 |
| 控件树 | App 界面元素的结构化描述（按钮、输入框等位置与属性），自动化工具靠它定位元素 |
| 同振 | 运营商业务：来电同时振铃多个设备（如工作手机与 AI 平台线路同时响） |
| 呼叫转移 | 运营商业务：来电转移到指定号码或线路 |
| 外采第三方线路 | 从第三方采购的通话线路（区别于自建线路） |
| 全双工 | 通话双方可同时说话、同时听到对方（实时双向对话） |
| MDM | 移动设备管理：企业远程管理员工设备的平台（远程装/卸应用、下发策略、锁定设备） |
| EMM | 企业移动管理：MDM 的增强版，额外包含应用与内容管理 |
| RPA | 机器人流程自动化：按预设脚本自动执行重复性设备操作 |
| API | 应用程序接口：软件间通信的标准通道 |
| IVR | 交互式语音应答：自动语音导航/播报（按键或语音菜单） |
| VoIP | 网络语音通话（如企业微信语音/视频通话），走数据通道而非蜂窝话路 |
| SoC | 片上系统：手机的主芯片平台（如高通/联发科 MTK），决定系统级能力支持范围 |
| MTK | 联发科（MediaTek）芯片平台，部分系统级能力仅该平台支持 |
| AOSP | 安卓开源项目：谷歌开源的安卓系统源码，国产手机系统多基于它 |