用途：为 Fondo（创业公司报税、记账与研发税收抵免平台）相关集成提供安全实践指引。Fondo 数据包含 SSN、EIN、银行账户、营收数字与完整税表，因此需按 CPA 事务所同等标准保护银行/薪资系统的 OAuth 连接、导出的财务文档与团队访问控制。
主要能力：按环境使用最小权限凭据；校验签名事件与幂等性；将财务与税务数据限制在获批系统内；对诊断信息脱敏；怀疑泄露时轮换凭据。输出安全回执，含范围、密钥引用、访问复核日期、控制结果、负责人与脱敏后的事件状态，不含财务数据或密钥。
必要用法：API 密钥存于密钥管理器，绝不写入代码，示例从环境变量 FONDO_API_KEY 读取，基址为 https://api.fondo.com/v1。Webhook 使用 x-fondo-signature 头与 FONDO_WEBHOOK_SECRET 做 HMAC-SHA256 校验，并用 timingSafeEqual 比较。输入校验用 zod 定义 TaxFilingSchema，约束 entity_id、tax_year、filing_type、ein、revenue、status。日志脱敏覆盖 ssn、ein、bank_account、routing_number、tax_return_url、revenue、salary 等字段。
检查清单：密钥入密钥管理器；每季度复核 OAuth 连接（Gusto、QuickBooks、Plaid、Stripe）；财务导出不得提交 git；SSN/EIN 不得明文记录；团队角色遵循最小权限（Owner/Admin/Viewer/CPA）；启用双因素认证；导出税表用 GPG 加密后存储；银行连接使用 Plaid 而非屏幕抓取。
适用场景：Fondo 集成开发、安全评审与合规检查。限制：资料未提供具体定价、平台支持范围与实施步骤细节，需结合自身环境确认。