用途：将 Heartwood（GroveAuth）集成到 Grove 应用，用于添加登录、保护管理路由、校验会话以及配置 OAuth 登录。Heartwood 是 Grove 基于 Better Auth 的集中式认证服务，前端登录界面位于 heartwood.grove.place，后端 API 位于 auth-api.grove.place。
主要能力：支持 Google OAuth、通过 Resend 的魔法链接、WebAuthn 无密码 Passkey；会话经 KV 缓存校验；在 .grove.place 各子域间共享单点登录会话。
使用方式：推荐用 Better Auth 客户端，调用 signIn.social、getSession、signOut；或对 .grove.place 子域应用读取 better-auth.session_token Cookie 并通过 /api/auth/session 校验；旧集成可走 /login、/token、/verify 的 OAuth code 交换流程。路由保护可在 SvelteKit 的 +layout.server.ts 中依据 locals.user 重定向，或在 API 路由返回 401。
客户端注册：用 openssl rand -base64 32 生成密钥并哈希，写入 clients 表，再用 wrangler secret put HEARTWOOD_CLIENT_SECRET 设置密钥；环境变量含 HEARTWOOD_CLIENT_ID、HEARTWOOD_CLIENT_SECRET。
限制与注意：不要把令牌存 localStorage，需在每次受保护请求校验会话，并处理过期。错误码属 HW-AUTH 目录（如 NO_SESSION、SESSION_EXPIRED、INVALID_TOKEN）。资料未提供收费、价格与具体性能承诺。