用途：为 HubSpot 私有应用令牌、OAuth scope、Webhook 签名校验和密钥管理提供安全最佳实践，适用于需要加固 HubSpot 集成的开发与运维场景。
主要能力：按用例选择最小权限 scope（如读取联系人 crm.objects.contacts.read、读写交易 crm.objects.deals.read/write、营销邮件 content、表单 forms、联系人列表 crm.lists.read/write、属性 crm.schemas.contacts.read、自定义对象 crm.objects.custom.read/write 与 crm.schemas.custom.read、Webhook automation），并明确不应授予全部 scope。提供令牌存储规范：令牌与 Webhook 密钥写入 .env 且不提交，.gitignore 忽略 .env、.env.local、.env.*.local，启动时校验令牌存在且不打印完整令牌。提供 Webhook v3 签名校验实现思路：使用 X-HubSpot-Signature-v3 与 X-HubSpot-Request-Timestamp 头，对 method+URI+body+timestamp 做 HMAC SHA-256 并 base64 编码，用 timingSafeEqual 比较，时间戳超过 5 分钟拒绝以防重放。还包含令牌轮换流程（HubSpot 后台轮换后旧令牌立即失效，更新 AWS Secrets Manager 或 GCP Secret Manager，重启应用并用 curl 验证）以及 CI 中扫描 pat- 格式令牌的 GitHub Actions 示例。
使用方式：需先配置 HubSpot 私有应用或 OAuth 应用，并了解环境变量与密钥管理。按步骤配置 scope、存储令牌、实现签名校验、执行轮换、加入密钥扫描。
限制：资料未提供具体价格、平台支持范围或性能数据；示例代码为 TypeScript/Node.js 与 Express 环境，其他语言需自行适配。