用途：为 Evernote API 集成提供安全实践，覆盖凭证管理、OAuth 1.0a 加固、令牌存储、数据保护和安全日志。
前置条件：完成 Evernote SDK 配置，理解 OAuth 1.0a，了解基本加密概念（AES 加密、哈希）。
主要步骤：
- 凭证管理：将 consumerKey、consumerSecret 和访问令牌存入环境变量或密钥管理器（AWS Secrets Manager、GCP Secret Manager、HashiCorp Vault），禁止提交到源码控制，并将 .env 加入 .gitignore。启动时校验必需变量，缺失即快速失败。
- 安全 OAuth 流程：用会话中存储的 state 参数防 CSRF，校验回调 URL 与注册域一致，OAuth 端点仅用 HTTPS，会话令牌设置安全 Cookie 标志。回调时比对 req.query.state 与 req.session.oauthCsrf，不符返回 403。
- 加密令牌存储：入库前用 AES-256-GCM 加密访问令牌，调用 API 时才解密，加密密钥与数据库分开存放。
- 输入校验：嵌入 ENML 前清洗用户输入，校验笔记标题（最多 255 字符）、标签名（最多 100 字符、不含逗号）、笔记本名（最多 100 字符），移除禁止的 HTML 元素与属性。
- 安全日志：从日志中脱敏访问令牌、consumer secret 和用户邮箱，调试关联时仅记录令牌前 8 个字符。
- 令牌生命周期：跟踪令牌过期时间（edam_expires），到期前主动刷新，并优雅处理 AUTH_EXPIRED 错误。令牌默认有效期为 1 年，用户可设置更短时长。
输出：基于环境的凭证管理与校验、CSRF 防护的 OAuth 1.0a 流程、AES-256-GCM 加密令牌存储、ENML 内容与元数据输入清洗、脱敏日志工具、令牌过期跟踪与刷新。
错误处理：INVALID_AUTH（令牌被撤销或无效，重新 OAuth 认证并检查加密过程是否损坏令牌）；AUTH_EXPIRED（令牌过期，在 edam_expires 前主动刷新）；PERMISSION_DENIED（API 密钥缺少所需权限，向 Evernote 申请相应权限）；CSRF mismatch（会话过期或攻击，重新生成 CSRF 令牌并重启 OAuth 流程）。
生产部署检查清单另见 evernote-prod-checklist。示例：将凭证存入 AWS Secrets Manager，启动时加载并校验；监控 edam_expires，到期前 30 天发送重新认证邮件，令牌过期时降级为只读模式。
限制：资料未提供具体 SDK 版本、完整代码示例及生产环境细节。