dws: DingTalk の業務 API を人間とエージェントから扱う CLI

dws、dws コマンドライン

DingTalk Workspace CLI は、dws というコマンドで呼び出される Go 製プログラムで、DingTalk の製品群をひとつのコマンドラインインターフェースにまとめています。リポジトリのメタデータは、これを DingTalk 公式のオープンソースでクロスプラットフォームなツールと説明し、人間のユーザーと AI エージェントの両方のシナリオ向けに設計されています。README は3つの対象読者を挙げています。人間向けにはヘルプテキスト、dry-run プレビュー、table・JSON・raw の出力形式、AI エージェント向けには構造化 JSON レスポンスと組み込みのエージェントスキル、企業管理者向けには OAuth デバイスフロー認証、ドメイン許可リスト、最小権限のスコープ設定です。リポジトリのメタデータによれば、このプロジェクトは Go で書かれ、Apache-2.0 でライセンスされています。

dws、インストール手段と中国大陸向けミラー

README には複数のインストール方法が記載されています。macOS と Linux 向けのシェルスクリプト、Windows 向けの PowerShell インストーラー、dingtalk-workspace-cli という名前の npm パッケージ、Homebrew tap、GitHub Releases のプリビルドバイナリ、そして Go 1.25 以降を使ったソースからのビルドです。ワンラインインストーラーはデフォルトで mono スキルレイアウトを採用し、ひとつの dws スキルが全製品をカバーします。実験的な multi レイアウトは製品ごとのスキルをインストールします。中国大陸のユーザー向けに、DWS_GITEE_REPO を設定すると Gitee ミラーが使え、npm では npmmirror レジストリが記載されています。静的エンドポイントデータはリポジトリの internal/syncdata にコミットされているため、ソースビルドに別途データのチェックアウトは不要です。

dws、アップグレードとリリース検証

dws には自己アップグレードコマンドが含まれています。README によれば、アップグレードは GitHub Releases から SHA256 検証と自動バックアップ付きで取得され、2つのフェーズで実行されます。prepare フェーズでは一時ディレクトリにファイルをダウンロードして検証し、apply フェーズでは準備が成功した場合にのみバイナリを置き換えてスキルパッケージをインストールします。フラグには、チェック、一覧表示、ベータトラック、特定バージョン、ロールバック、スキル更新のスキップがあります。リポジトリには verify/ の下に検証スクリプトもあり、curl、PowerShell、npm 安定版、npm ベータ、Homebrew、dws upgrade 自体に対してリリース品質のスモークチェックを実行し、プラットフォームごとに PASS、FAIL、SKIP を報告します。

dws、認証と企業アクセス

利用開始には dws auth login が必要で、ブラウザが自動的に開きます。Docker、SSH、CI などのヘッドレス環境では dws auth login --device を使います。このプロジェクトは共創段階にあり、README は DingTalk の企業データにアクセスし、企業管理者の承認が必要だと警告しています。組織が CLI アクセスを有効にしていない場合、ユーザーはアクセスリクエストを送信し、管理者が承認します。CI/CD や ISV 統合向けにカスタムアプリモードがあり、クライアント ID とシークレットでログインし、認証情報はシステムキーチェーンに保存されます。複数の組織とアカウントは corpId:userId をキーとするプロファイルでサポートされ、Linux サンドボックス間で認証を移行するためのエクスポートとインポートのフローもあります。Windows のエクスポートとインポートは意図的に拒否されています。Windows は認証情報を DPAPI で保護されたレジストリ値として保存するためです。

dws、コマンドのカバー範囲

主要サービスの表には、連絡先、チャットと IM、カレンダー、タスク、承認、勤怠、DING、レポート、AI テーブル（aitable）、ドキュメント、ドライブ、議事録、メール、スプレッドシート（sheet）、Wiki、DevDoc、AI 検索、ライブ、そして生の API アクセスがリストされています。クイックスタートの例は、連絡先検索、カレンダーイベント一覧、ドキュメント検索、議事録、ドライブ一覧、タスク 作成をカバーし、実行せずにプレビューする --dry-run フラグがあります。README は完全なコマンドリストを docs/command-index.md に案内し、ボット機能は独立したトップレベル製品ではなく chat サブツリーに統合されたと説明しています。未提供の機能 セクションはビデオ会議がまだ存在しないことに触れています。

dws、エージェント向けの設計

エージェント関連の機能にはいくつかの部分があります。dws schema はコマンドの選択とパラメータマッピングに使えるコマンド契約をエクスポートし、dws <path> --help はコマンドが存在し、どのフラグを受け付けるかの事実上の基準と説明されています。エージェントスキルは ~/.agents、~/.claude、~/.cursor などのツールのホームディレクトリにインストールされます。mono レイアウトはひとつの SKILL.md と製品別の参照ファイル、そしてバッチワークフロー用の Python スクリプト13本を同梱します。multi レイアウトは実験的です。個人イベント購読機能はストリーム経由で DingTalk メッセージを消費し、NDJSON を標準出力に書き出します。dws dev connect は DingTalk ボットをローカルの AI CLI に橋渡しします。README は入力補正（フラグ名の正規化、粘着引数の分割、タイプミスマッチング）とトークン消費を減らす jq フィルタリングも記載しています。

dws、セキュリティの主張とライセンス

README の Security by Design セクションは、デバイスの MAC アドレスをキーとする PBKDF2 と AES-256-GCM による暗号化トークン保存、パストラバーサル保護、デフォルトの *.dingtalk.com ドメイン許可リスト、HTTPS の強制、dry-run プレビュー、そして認証情報を設定ファイルやログに書き込まないという主張を説明しています。また、すべての API 呼び出しが DingTalk オープンプラットフォームの認証と監査を通過すると述べています。ソースは第三者によるセキュリティ認証、独立監査、本番インシデントデータを確立していません。これらはリポジトリの外で検証が必要です。プロジェクトは Apache-2.0 でライセンスされています。ライセンスの抜粋は、作品の複製、派生作品の作成、公開表示、公開実演、再ライセンス、頒布を行う永続的で世界的な非独占的な著作権ライセンスと、同様の特許ライセンスを認めています。サポート、保証、セキュリティ保証については何も述べていません。

編集部の結論

dws: DingTalk の業務 API を人間とエージェントから扱う CLI は、README に記載された機能と前提が一致する利用者に候補になります。README は dws を共創段階にあり、企業管理者の承認が必要なツールとして説明しており、セキュリティ上の主張はプロジェクト自身の記述であって独立検証の結果ではありません。Apache-2.0 ライセンスは複製や頒布などの権利を認めますが、サポートや保証には触れていません。第三者によるセキュリティ認証や本番ベンチマークの検証について、リポジトリの文書はそのような詳細を提供していません。 導入前には、README にある dingtalk real 固有の初期コマンドを隔離環境で実行し、生成物、ログ、権限、対応版を確認してください。

公式情報源

1. Official README
2. Project repository
3. Release notes