用途：把 BambooHR 连接器视为高敏感 HR 数据系统，对其做威胁建模与安全加固，适用于审查访问、存储、日志、Webhook 与删除流程。
主要能力：梳理信任边界（用户/浏览器、回调、令牌存储、连接器、BambooHR 租户、队列、目标端、日志、备份、支持与分析）；清点请求字段并分级敏感度，移除无批准用途的字段，隔离政府证件、薪酬、医疗、受抚养人、福利与文件数据；从可信凭据元数据而非请求体强制租户，并在队列与存储边界校验标识符；对授权、密钥、Cookie、查询串、Webhook 密钥与 HR 值做脱敏，仅保留请求 ID、操作名、状态、延迟与安全计数；Webhook 需原子存储仅创建时返回的私钥，对原始字节做 HMAC-SHA256 校验并常量时间比较，在解析或产生副作用前拒绝；传输与静态加密，设置保留与删除任务，限制备份访问并测试删除义务；测试跨租户访问、被拒字段、凭据吊销、重放、日志注入、超大载荷、类 SSRF 租户输入与支持包外泄。
使用方式：用 Read、Glob、Grep 检查代码与配置；仅在明确批准时用 Write/Edit 做加固与回归测试；不得写入示例密钥或真实员工记录。扩大字段、OAuth 范围、API 密钥权限、保留期、目标端、Webhook 事件或支持访问前需安全/数据负责人批准；审计中未经批准不得轮换或吊销线上凭据。输出资产、信任边界、字段清单、身份与权限、按严重度分级的问题、精确修复、测试证据、保留/删除控制、负责人与未决风险接受。
限制：资料未提供具体价格、平台支持范围与完整代码示例；疑似密钥或 HR 数据泄露时应停止收集、保留最小审计元数据并启动事件流程；跨租户不明确时在请求前失败关闭；缺少 Webhook 校验契约时禁用处理而非校验。