用途：该技能面向 ClickUp 集成的安全加固，覆盖出站 API 调用、入站 Webhook、队列、日志与运维工具中的长期凭据与敏感工作内容保护。
前置条件：需要数据流与信任边界图、凭据与 Workspace 清单；指定安全、服务、数据及 ClickUp Workspace 责任人；准备合成测试夹具与事件响应/轮换手册。
工具纪律：使用 Read、Glob、Grep 检查仓库、适配器、配置名、测试与证据；WebFetch 仅用于获取 ClickUp 官方文档；确认目标文件、Workspace 边界与所需模式后再用 Write 或 Edit。
当前契约：个人 token 不会过期；OAuth token 目前不过期，但该行为可能变化。OAuth 授权码回调要求精确重定向、state 校验与服务端保存 client secret。Webhook 使用每 Webhook 独立密钥，并对原始请求体做 HMAC-SHA256，签名放在 X-Signature 头；ClickUp 没有固定 Webhook 来源 IP。API 授权反映用户及已授权 Workspace，因此应用须自行执行租户策略。
认证方式：个人 token 仅用于可追责的个人或测试工作；面向用户的集成使用 OAuth 授权码。token 须通过受治理的密钥引用在服务端注入，放入 Authorization 头，校验已授权 Workspace ID，且不得打印 token、OAuth client secret 或 Webhook 密钥。
操作步骤：盘点凭据、回调、Workspace、scope/能力、Webhook、队列、存储、日志与运维访问；移除客户端或仓库中的密钥，运行时注入环境相关引用；落实 OAuth state、精确重定向、Workspace 允许列表与默认拒绝写入策略；在 JSON 处理前用常量时间比较验证 Webhook 签名，并加入重放/幂等控制；在错误、追踪、打包产物、分析数据与 CI 制品中脱敏内容与密钥；演练泄露、吊销、跨租户、伪造/重放 Webhook、部分写入与事件恢复场景。
审批边界：未经责任所有者批准，不得轮换共享凭据、重新授权 Workspace、更改 ACL 或查看私有内容。
输出：返回威胁、控制措施、凭据/租户映射、Webhook 发现、数据暴露、已测试事件路径、残余风险与责任人。
错误处理：发现源码或日志中有凭据时，吊销/重新生成、清理可访问制品并开启事件；Webhook 签名缺失或无效时，在解析或入队前拒绝；缺少 Workspace 防护时，禁用写入直至有租户强制；缺少安全责任人时，不批准生产使用。
限制：资料未提供具体价格、收费、支持平台或效果数据；实际能力取决于目标环境与官方文档。