用途：为 Klaviyo 集成提供安全最佳实践，覆盖 API 密钥类型、OAuth 权限范围、Webhook 签名验证和密钥轮换。
主要能力：区分私有密钥（pk_，40+ 字符，服务端 REST API 使用，绝不可暴露在客户端）与公开密钥（6 位字母数字，仅用于客户端 Track/Identify）。私有密钥通过 Authorization: Klaviyo-API-Key pk_** 头认证，公开密钥作为 company_id 查询参数传递。提供经校验的配置加载器，缺失密钥时启动即失败；按环境（dev/staging/prod/CI）分配最小权限密钥；用 HMAC-SHA256 重算 Webhook 原始请求体摘要，并用 crypto.timingSafeEqual 比较以抵御时序攻击，不匹配返回 401；提供零停机密钥轮换流程（生成同权限新密钥、部署到密钥库、用 curl 验证 /api/accounts/、吊销旧密钥并监控 401）。
使用方式：将私有密钥与 Webhook 签名密钥放入被 git 忽略的 .env，通过 requireEnv 加载；Webhook 端点仅对签名验证通过的请求返回 200 {"received": true}，否则返回 401 {"error": "Invalid signature"}。
适用场景：需要加固 Klaviyo 服务端集成、防止密钥泄露、实现最小权限与定期轮换的团队。
限制：需具备 Klaviyo 账户与 API 密钥访问权限，并了解环境变量与密钥管理；具体代码与命令见 implementation.md 和 examples.md，本资料未提供完整实现细节。