核心用法
Xero Skill 通过 Maton 代理服务提供对 Xero 会计 API 的安全访问，采用托管式 OAuth 认证机制。用户需先获取 Maton API Key，建立 Xero OAuth 连接后即可调用各类财务接口。支持的操作包括：联系人管理（增删改查）、发票处理（应收/应付）、付款记录、银行账户交易查询，以及利润表、资产负债表、试算平衡表等标准财务报表生成。
所有 API 请求通过 https://api.maton.ai/xero/ 代理转发，Maton 自动注入 OAuth Token 和 Xero-Tenant-Id 头部，简化认证流程。多租户场景下可通过 Maton-Connection 头部指定具体连接。
显著优点
1. 托管认证：无需自行处理 OAuth 2.0 授权码流程和 Token 刷新，Maton 全程代理
2. 多语言支持：提供 Bash、Python、JavaScript 完整代码示例，降低接入门槛
3. 财务覆盖全面：涵盖核心会计科目（Contacts/Invoices/Payments/Accounts/Reports）
4. 批量操作：支持单请求创建多条记录，提升数据迁移效率
5. 连接管理：独立的连接生命周期管理（创建/查询/删除），支持多 Xero 组织切换
潜在缺点与局限性
- 供应商锁定：完全依赖 Maton 代理服务，若 Maton 服务中断则无法直连 Xero
- 网络依赖：所有请求必须经过 Maton 中转，增加延迟和单点故障风险
- 功能边界：明确限制为「contacts, invoices, payments, accounts, reports」范围，高级功能可能受限
- 环境变量限制：API Key 通过环境变量传递，在管道（pipe）场景中可能出现变量展开异常
- 速率限制：每账户 10 req/sec，高频场景需自行限流
适合人群
- 中小企业财务自动化需求（发票自动生成、付款对账）
- 开发者构建内部财务仪表盘或 ERP 集成
- 会计事务所批量处理多客户 Xero 数据
- 需要将 Xero 数据同步至其他业务系统的场景
常规风险
- 数据泄露风险：财务数据经第三方（Maton）代理传输，需信任其安全承诺
- 误操作风险：写操作（创建/更新/删除）虽要求用户确认，但自动化脚本仍可能因逻辑错误导致数据污染
- 合规不确定性：涉及财务数据的跨境传输需评估 GDPR、SOX 等合规要求
- 服务连续性：Maton 作为初创服务，长期运维稳定性存疑
- API Key 泄露：环境变量方式存储密钥，在多用户服务器或 CI/CD 日志中易意外暴露