用途：为代理商管理 10-100 个 HubSpot 客户门户，核心是凭证隔离与可审计性，避免跨门户数据污染、归因丢失和批量入驻瓶颈。
主要能力：1) 凭证存储以 clientSlug 为主键，存于密钥管理器（AWS Secrets Manager、GCP Secret Manager、HashiCorp Vault 或 pass），不使用全局环境变量，杜绝共享 token 导致的静默写错门户；2) 门户身份校验，调用 GET /account-info/v3/details 确认 token 归属的 portalId；3) 按门户的 HTTP 客户端工厂，内置审计中间件，记录 portalId、clientSlug、method、path、状态码、耗时等；4) 路由类按 slug 取客户端，无环境凭证；5) 限流归因，读取 X-HubSpot-RateLimit-Daily-Remaining，按门户独立配额（每门户 500K/日）告警与限流；6) 批量入驻脚本读取 CSV（clientSlug,portalToken,portalId）校验并写入凭证库；7) 令牌轮换手册，强调先在 HubSpot 撤销旧 token 前更新所有消费系统。
使用方式：需 Node.js 18+ 或 Python 3.10+、每客户一个 HubSpot 私有应用 token、可读的密钥存储、jq。CLI 校验示例：curl -s "https://api.hubapi.com/account-info/v3/details" -H "Authorization: Bearer $TOKEN" | jq。
适用场景：代理商多门户运营、计费与 SLA 审计、GDPR/CCPA 合规报告、批量客户入驻。
限制：HubSpot 未提供私有应用 token 轮换 API，需在设置界面手动操作；审计写入为异步，失败不阻断请求；具体实现细节见 references/implementation-guide.md，资料未提供完整脚本内容。