地图合规技能：守住地图数据的红线

地图合规技能在任何涉及地图渲染、路线绘制、定位服务的请求里强制生效，把「用谁的地图、怎么藏密钥、领土怎么表达」这些红线一次性守住。

做地图功能最容易踩两类坑：一是用了不合规的境外地图源，二是把地图 API 密钥明文写进前端 JS 被人盗刷。WorkBuddy 的地图合规技能（geo-map-compliance-guard）把这类要求固化成强制规则：任何涉及地图渲染、可视化、打点、画线、定位的请求都要触发它。它给出合格数据源白名单、密钥分级使用规则、领土完整表达要求与隐私保护要求，并内置腾讯地图 GL JS 的场景化集成模板。

信息卡

• 技能名称：地图合规守护（geo-map-compliance-guard）
• 适用平台：WorkBuddy 客户端（地图类请求强制触发，user-invocable: false）
• 安装方式：WorkBuddy 内置技能，随客户端分发
• 仓库或市场地址：WorkBuddy 内置技能目录（本地 SKILL.md）
• 包含能力：地图源白名单校验、密钥安全分级、领土完整表达、腾讯地图 GL JS 集成模板

核心能力

合格数据源白名单。 技能明确列出可用与禁用来源：仅允许腾讯地图、高德、百度、天地图（NASG）；禁用 Google Maps、Apple Maps、Bing 海外版、直连境外瓦片的 OpenStreetMap、Mapbox、Leaflet + OSM 等无资质来源。用户不指定服务商时，默认走腾讯地图。这不是偏好问题，而是数据合规的硬约束。

密钥分级使用规则。 技能绝不允许模型内嵌、预置或夹带任何可用的地图 API 密钥，也不产出带可用密钥的完整代码。它区分两种场景：默认场景（用户无需自备密钥）走 WorkBuddy 本地代理 _TMapSecurityConfig，SDK 的 API 请求被路由到本地代理，密钥由后端持有、前端零暴露；非默认场景（用户自备密钥）用明确的占位符，并告知申请入口与替换方法。

境外区域的例外处理。 当请求涉及渲染境外地理区域时，按非默认场景处理——要求用户自行申请对应平台密钥，因为这类场景不在默认代理的范围。前端密钥泄露风险也被写清：明文密钥会被嗅探，个人使用建议配 Referer 域名白名单，商用必须后端代理密钥认证。

不合规来源的替换流程。 用户点名要 Google Maps、Mapbox 这类不在白名单的来源时，技能不直接拒绝，而是先说明合规风险、再讲清不合规的具体原因，然后主动替换为合规方案并输出完整代码。这样既守住了底线，又不让用户的地图需求落空。

使用上手

1. 提出地图相关需求（渲染、打点、路线、定位），技能自动触发。
2. 若你未指定服务商，默认用腾讯地图 GL JS 的默认场景模板：先配置 _TMapSecurityConfig 代理，再从官方 CDN 加载不带 key 参数的 SDK。
3. 若你指定高德/百度/天地图，或明确要用自己的密钥，技能用占位符写 key 并给出对应开放平台的申请步骤与替换说明。
4. 涉及境外区域渲染时，按非默认场景自备密钥。
5. 生成后按技能要求用预览能力展示，并检查是否误带了明文密钥。

优点与不足

优势是合规红线清晰、白名单与密钥规则具体、内置可直接用的腾讯地图模板、对不合规来源给出替换而非硬拒。局限：默认场景依赖 WorkBuddy 客户端的本地代理与运行时占位符，脱离该环境需改走自备密钥；境外区域渲染不在默认代理范围；具体数据源资质与法规要求以现行规定为准。

适合谁

适合在国内做地图功能、需要规避数据合规风险的开发者；要在网页里打点、画线、做位置服务又不想自己研究密钥安全的产品与运营；以及团队协作中需要统一地图源标准的工程负责人。

下载与访问

WorkBuddy 客户端内置技能，随客户端分发，地图类请求强制触发。

获取与授权

本文属于「技能」分类的 AI 资源专栏，更多评测见分类页。