用途：为合规与安全场景实现审计日志，包括在 WorkOS Dashboard 定义事件、从后端发送事件，以及把事件流式导出到客户或自管理的 SIEM/存储。
主要能力与流程：
- 先阅读官方文档，文档为准：https://workos.com/docs/audit-logs/metadata-schema 、/log-streams 、/index 、/exporting-events 、/editing-events 、/admin-portal 。
- 环境校验：确认 .env 中存在 WORKOS_API_KEY（sk_ 前缀）；可选 WORKOS_CLIENT_ID；确认已安装 @workos-inc/node，缺失时按包管理器安装，如 npm install @workos-inc/node。
- 定义事件架构：在 Dashboard → Audit Logs → Events 创建事件（如 user.signed_in），可选开启元数据 JSON Schema 校验，可设根事件、actor、target 三类元数据。硬限制：每个元数据对象最多 50 个键、键名最长 40 字符、值最长 500 字符，超出会在发送时报错。
- 代码发送事件：初始化 WorkOS 客户端，按文档方法发送，事件含 action、occurred_at、actor、targets、metadata；需 organization_id。
- 日志流：可通过 Admin Portal 让客户自助配置，或由管理员在 Dashboard → Log Streams 配置。支持 Datadog（API key + 区域）、Splunk（HEC token + 端点）、AWS S3（桶名 + IAM 角色 ARN + external ID）、Google Cloud Storage（桶名 + 服务账号密钥）、HTTP POST（webhook 地址，可选认证头，仅 HTTPS）。
- 若客户端点有 IP 限制，需放行 WorkOS IP：3.217.146.166、23.21.184.92、34.204.154.149、44.213.245.178、44.215.236.82、50.16.203.9。
- 验证与排错：检查事件是否存在于 Dashboard、流状态是否 active；SIEM 通常 1–5 分钟出现，超过 10 分钟检查认证与 IP 放行。常见错误包括 schema 校验失败（400）、连接失败、事件未出现在 SIEM、元数据过大（422）、SDK 导入错误、Admin Portal 访问问题。S3 使用 ContentMD5 头以支持 Object Lock 桶。
限制：具体 SDK 方法签名以官方文档为准；本资料未提供价格、收费或性能数据。