用途：为 Salesforce 集成建立共享责任控制集，串联外部应用、Salesforce 组织、主体、数据、事件与运维边界。适用于审查 OAuth 配置、权限与共享模型、密钥管理及吊销流程等场景。
前置条件：需准备系统上下文、数据分级、组织拓扑、应用类型、主体、API、事件与支持路径；现有客户安全策略、Salesforce 安全文档与威胁模型；以及身份、安全、Salesforce 管理、隐私、数据、应用与事件负责人。
主要能力：核对应用类型、OAuth 流程、scope、策略、证书或密钥托管、令牌生命周期、轮换与吊销；审查权限集或组、配置文件基线、对象 CRUD、字段级访问、记录共享、提升权限与职责分离；检查查询、载荷、缓存、队列、日志、导出、支持包、备份与保留策略的最小数据原则；评估 SOQL 注入、批量赋值、重放、重复变更、混淆代理、混合组织和密钥泄露威胁；测试拒绝路径、过期与吊销凭证、不可访问字段、共享限制、脱敏与破窗审计。
使用方式：用 Read、Glob、Grep 检查已批准仓库与证据文件，用 WebFetch 复核 Salesforce 一方文档，仅在无密钥计划、夹具、配置和脱敏回执时使用 Write 或 Edit。新 REST 集成优先使用 External Client App，或治理已批准的 Connected App；采用适合工作负载的 OAuth、最小 scope、受保护的密钥托管、轮换与吊销，禁止人工密码自动化。
限制与边界：未经安全、管理员、隐私和数据所有者批准，不得更改应用策略、scope、权限、共享、加密、保留或监控。控制与权限须在目标组织验证。若管理员权限掩盖拒绝路径，须用实际集成主体复测；若安全产品或事件未授权，记录边界并选择有据可查的补偿控制；疑似凭证泄露时先按事件流程吊销与轮换再继续测试。输出威胁模型、访问矩阵、控制证据、拒绝路径测试、缺口、补偿控制、轮换与吊销证明及负责人。首次在最低风险授权组织运行并保留脱敏回执，并按 Salesforce 季节发布与客户变更日历安排评审。