用途：为 Customer.io 集成落地安全最佳实践，输出最小权限的集成方案（限定范围的密钥、经批准的数据属性、可审计的访问归属），并建立凭据泄露、未授权投递与敏感数据处理的应急路径。
主要能力：一是凭据安全存储，禁止硬编码，使用环境变量或密钥管理服务（如 GCP Secret Manager）；二是发送前 PII 脱敏，对 SSN、信用卡、密码等字段直接剔除，对电话、IP、地址等做 SHA-256 哈希；三是 Webhook 签名校验，使用 HMAC-SHA256 与 timingSafeEqual 比对 x-cio-signature，且需保留原始请求体；四是 API 密钥轮换流程；五是 GDPR/CCPA 删除，先 suppress 停止消息再 destroy 删除档案，并记录审计日志。
使用方式：按步骤实现密钥读取、属性清洗、Webhook 中间件、轮换脚本与删除服务；示例中 Express 需对 /webhooks/customerio 使用 express.raw({ type: "application/json" }) 以获取原始 body。轮换时先在密钥管理器更新再在控制台重新生成，因为重新生成会立即使旧密钥失效。
适用场景：需要向 Customer.io 发送用户事件、接收其 Webhook、并满足合规删除要求的应用。
限制：需 Customer.io 管理员账号、明确的数据分类与密钥管理系统；资料未提供具体价格、平台支持范围或性能数据。