用途：围绕 Flexport 集成的四个高价值边界进行安全分析与加固——OAuth/API 凭证、缓存令牌、Webhook 密钥与原始请求体、以及可创建货运或贸易记录的业务变更操作。适用于威胁建模、安全基线评审与实现加固。
主要能力与步骤：
- 最小化凭证：优先使用按端点划分的独立 OAuth 客户端；API 密钥视为宽权限例外，绝不记录密钥值或后缀。
- 保护令牌：按文档化的 audience/grant 请求，加密缓存 24 小时 JWT，单飞刷新，令牌不得经过浏览器状态或日志。
- 先认证 Webhook：基于原始请求体校验 X-Hub-Signature-256 的 HMAC-SHA256，拒绝格式错误或长度不匹配的值，再解析并入队。
- 约束出站与输入：仅允许文档化的 Flexport 主机，校验 schema 与大小，保留不透明 ID，拒绝意外的变更意图。
- 守护变更：要求业务授权、持久化操作键、单一写入者，重试预订或记录创建前先对账。
- 演练响应：测试凭证吊销、Webhook 密钥轮换、日志泄漏、供应商中断与回滚，仅保留元数据证据。
认证方式：REST 调用使用缓存的 OAuth 2.0 客户端凭证 Bearer 令牌，audience 为 https://api.flexport.com，或显式接受的宽权限 API 密钥；每个工作负载使用独立凭证，绝不记录凭证或令牌。MCP 调用使用到 https://mcp.flexport.com/mcp 的已认证连接，并受各工具文档化账户权限约束。
工具纪律：用 Read 与 Grep 做发现与取证；仅在批准的工作流产物、代码、配置、测试或回执上使用 Write 或 Edit，不得做未经批准的 Flexport 侧变更。
输出：范围明确的决策或实现产物、脱敏的操作与验证回执、失败/回滚/后续责任记录。回执示例字段包括 surface、operation、decision、outcome、evidence、rollback_owner，但不得放入凭证或供应商载荷。
错误处理：凭证被提交或记录时吊销/轮换并修复注入与脱敏；先解析 JSON 再校验签名时拒绝该实现并恢复原始体校验；宽权限密钥被多工作负载使用时拆分并迁移到范围化客户端；不确定的预订重试需先对账供应商状态再放行。
限制：资料未提供具体价格、平台支持范围或性能数据；实际权限与端点行为以 Flexport 官方文档为准。