用途：在评审新的 Procore 集成时开展威胁建模，保护施工数据，约束身份、公司/项目范围、传输、存储产物与操作行为。注意 Procore 授权基于权限，有效令牌或成功请求并不证明最小权限。
前置条件：数据流图、资产分类、信任边界与安全负责人；OAuth 授权方式、凭据位置、DMSA 清单与已许可项目清单；Webhook 目标、文件流、日志目的地、支持路径与撤销流程。
步骤：1）清点密钥与主体，为客户端密钥、访问/刷新令牌、Webhook 目标密钥、Cookie、签名 URL 指定负责人、存储、轮换与最小受众。2）证明最小权限，将端点映射到所需 Procore 工具权限与项目范围，比对 DMSA 清单与已安装许可项目，移除无法解释的访问。3）绑定公司路由，显式携带公司上下文并在需要处校验 Procore-Company-Id，防止多公司工作进程或事件处理程序复用过期租户上下文。4）保护数据路径，使用受支持的 TLS，按文档认证安全文件下载，清理日志与追踪，保留期限与业务需求相称。5）加固变更，预览与执行分离，重大变更需审批，校验项目归属，写入后与提供方状态对账。6）演练响应，测试撤销、凭据轮换、应用断开、Webhook 密钥轮换与审计检索，记录恢复时间且不暴露被测密钥。
认证：Procore API 使用 OAuth 2.0 Bearer 令牌，来自授权码或 DMSA 客户端凭据；客户端密钥须服务端存储、定期轮换，访问失效时撤销授权。
工具纪律：用 Read 与 Grep 检查架构、清单、配置与证据；Write 或 Edit 仅用于已批准的威胁模型、安全变更、测试或脱敏凭证；提供方权限变更需管理员批准。
输出：威胁模型与端点—权限映射；密钥、路由、文件、Webhook 与变更控制；轮换、撤销与负向访问测试证据；按严重性返回风险、限定修复、负责人、到期条件与验证状态。
错误处理：凭据泄露立即撤销或轮换、失效缓存并清理派生产物；项目访问过量先停止受影响处理并缩小 DMSA 或用户范围；公司上下文不明确应失败关闭而非使用默认租户；安全文件 URL 被记录应移除并令产物过期，再修复日志与检索边界。
限制：资料未提供具体平台支持范围、收费或价格信息。