用途：在 Salesforce 中配置 OAuth 应用，包括 Connected Apps、External Client Apps（ECA）、JWT bearer、PKCE 决策、scope 设计，以及从旧 Connected App 模式迁移到 ECA。
主要能力：选择 Connected App 或 ECA 架构；选择 OAuth 流程（后端 Web 应用用 Authorization Code，SPA/移动/公共客户端用 Authorization Code + PKCE，服务器到服务器或 CI/CD 用 JWT Bearer，设备/CLI 用 Device Flow，服务账号风格用 Client Credentials）；提供模板资产（connected-app-basic.xml、connected-app-oauth.xml、connected-app-jwt.xml、external-client-app.xml、eca-global-oauth.xml、eca-oauth-settings.xml、eca-policies.xml）；安全加固建议（最小权限 scope、明确回调 URL、公共客户端启用 PKCE、证书认证、密钥轮换、IP 限制）；部署前校验。
使用方式：先确定应用模型与 OAuth 流程，再从 assets 模板起步；如需 ECA OAuth 安全元数据，可先从 org 检索：sf project retrieve start --metadata ExtlClntAppOauthSecuritySettings:<AppName> --target-org <alias>。完成后按顺序报告：应用类型、OAuth 流程、创建或更新的文件、安全决策、下一步部署或测试。
适用场景：Connected App 或 ECA 元数据文件、OAuth 流程与回调/scope 设置、JWT bearer/设备流/客户端凭证/授权码决策、consumer key/secret/证书处理策略。
限制与边界：Named Credentials 或运行时 callout 交给 sf-integration；权限策略分析交给 sf-permissions；Apex token 处理代码交给 sf-apex；元数据部署交给 sf-deploy。Spring ’26 起新 org 默认禁用创建新 Connected App，新集成优先 ECA，除非明确需要 Connected App 兼容性。评分 80+ 为生产就绪，54–79 需加固审查，低于 54 阻止部署。具体收费、价格与平台信息暂未提供。