用途：分析并加固 Alchemy 应用凭据、浏览器访问、钱包签名权限、Webhook 校验与不可信链上数据，在产生实时副作用前形成可审查的威胁模型与负向路径证据。
主要能力：建立凭据矩阵，覆盖应用密钥、访问密钥、Admin 访问、Notify 管理、Webhook 校验与钱包签名者，逐项标注负责人、存储、运行环境、范围/白名单、轮换、撤销、监控与事件流程；梳理浏览器、边缘、服务器、CI、Webhook、管理端与钱包的信任边界；区分读取客户端与签名者，要求交易模拟、用户意图、策略检查与独立审批；校验链 ID、地址、区块选择器、合约 ABI、方法白名单、响应大小及远程 NFT 元数据；对 Notify 载荷按原始请求体使用 HMAC-SHA256 与每 Webhook 签名密钥验证。
使用方式：以只读方式检查现行文档、配置、代码、夹具与证据，仅在获批仓库中写入工件；机密负载宜用服务器端头部认证，若须浏览器访问则采用精确白名单或短期 JWT 并测试绕过条件；生产前执行源码、产物、日志、浏览器包与配置的密钥扫描，并演练轮换与事件响应。
限制：Alchemy 应用密钥仅标识并限制提供商访问，不是钱包私钥；Admin 密钥、Notify 令牌、Webhook 签名密钥与交易签名权必须保留在服务器端并单独管控。技能调用本身不授权网络访问、凭据、钱包地址、客户数据、套餐变更、支出、密钥创建或轮换、Webhook 变更、部署、重放、交易构建、签名、广播或删除。Webhook 签名不得用普通字符串相等或重新序列化 JSON 后比较。凭据暴露时应失败关闭、轮换或撤销并保留脱敏回执。具体产品、链、功能、客户端、认证方式与限额以当前第一方 Alchemy 文档为准，本资料未提供具体命令或价格信息。