用途：为 Ramp 集成建立安全基线，把凭据与财务权限当作独立资产保护，最小化作用域与数据路径，验证 Webhook 真实性，并要求写入具备幂等、审批与对账。
主要能力：威胁建模客户端、重定向、令牌交换、密钥存储、API 适配器、Webhook 入口、队列、日志、卡片交付、会计写入、管理访问与支持路径；按信任边界拆分应用，申请最小作用域，隔离环境与租户/实体，指定轮换与紧急吊销负责人；在解析前对原始字节验证 Webhook 签名，校验事件类型与业务，按事件 ID 去重并异步处理；优先使用嵌入式卡片交付，隔离经批准的 Vault 服务，禁止 PAN/CVV 进入日志、队列、分析、支持工具与通用数据库；测试被盗令牌遏制、重放、跨租户/实体拒绝、重定向/state 失败、密钥轮换、Webhook 密钥轮换与财务写入对账。
使用方式：先确认 Ramp 应用、环境、业务实体、受影响数据与工作流、负责人与回滚边界；阅读 references/official-docs.md，并在实盘操作前复核端点 schema、作用域、限制与支持状态；在生产访问与业务影响获明确批准前，使用合成夹具或 Ramp 沙箱；准备经批准的密钥存储与脱敏证据位置。工具纪律：用 Glob 定位候选代码、清单、夹具与证据；用 Grep 查找端点、字段、权限、标识符、错误与过时假设；用 Read 检查最小必要本地文件；Write 仅用于新的经批准本地草稿、测试、配置或证据；Edit 仅用于有已知回滚的有界批准变更。本地文件工具不授权 Ramp 操作，也不替代负责人批准。
限制与边界：安全团队负责客户端与密钥控制，隐私/数据负责人批准字段，财务/业务负责人批准写入权限，Ramp 批准受限生产卡片界面。输出包括威胁模型、客户端/作用域矩阵、密钥清单、Webhook 验证设计、卡片数据边界、写入控制台账、测试回执与事件联系人。签名验证失败时，应在任何解析器或中间件改动前捕获并验证精确原始正文；密钥出现在源码或日志中应吊销轮换、限制证据、删除下游副本并添加预防测试；读客户端能写入应吊销或替换其令牌、收窄作用域并添加负向测试。未解决的供应商行为、权限或财务状态应视为停止条件。具体端点、作用域与限制以官方文档为准，资料未提供更多细节。