核心结论：公司若想对“薅羊毛”行为进行处罚且不违法，需严格依据法律规定和公司规章制度，区分不同情况采取合法合理的措施，具体如下：

1. 区分行为性质

   • 合法促销参与：若员工或用户是正常参与公司合法促销活动（如优惠券、满减等），即使获得较大优惠，也不属于违法或违规行为，公司无权处罚。此时若强行处罚，可能构成侵犯消费者权益或劳动权益，引发纠纷。
   • 恶意“薅羊毛”：若行为人通过虚假注册、批量操作、利用系统漏洞、恶意刷单等手段，非法获取公司利益（如套取补贴、骗取商品），可能构成欺诈、不当得利，甚至涉嫌刑事犯罪（如诈骗罪、破坏计算机信息系统罪）。公司可依法追究其责任。

2. 合法处罚措施

   • 针对员工：若员工利用职务便利恶意“薅羊毛”，公司可依据《劳动合同法》及内部规章制度（如《员工手册》）进行处罚，包括警告、扣发奖金、解除劳动合同等。但需注意：
     • 规章制度需经民主程序制定并公示，否则可能无效；
     • 处罚需与违规行为程度相当，避免过度处罚；
     • 解除劳动合同需符合《劳动合同法》第39条规定的“严重违反规章制度”情形。
   • 针对外部用户：若用户恶意“薅羊毛”，公司可依据《民法典》第122条（不当得利）要求其返还非法所得；若行为涉嫌犯罪，可向公安机关报案。同时，公司可通过技术手段（如限制账号、封禁IP）或民事诉讼维护权益，但需避免侵犯用户合法权益（如隐私权）。

3. 风险规避建议

   • 完善制度：公司应提前制定明确的促销规则和反“薅羊毛”条款，并通过用户协议、公告等方式公示；
   • 技术防范：利用大数据监测异常行为，及时阻断恶意操作；
   • 合法取证：处罚前需固定证据（如操作记录、IP地址等），确保处罚依据充分；
   • 程序合规：处罚流程需公开透明，避免单方认定或过度处罚。

总结：公司对“薅羊毛”行为的处罚需以合法为前提，区分行为性质后采取对应措施。若您遇到具体案例或需进一步分析，可直接向我咨询，我将结合细节为您提供专业建议。