用途：为集成选择正确的 Attio 访问令牌方式，映射接口所需 scope，并用非写入请求验证凭据是否可用。
主要能力：区分单工作区与多工作区场景；多工作区应用优先 OAuth 2.0，单一受控工作区使用手动生成的工作区 API 密钥；两种凭据均以 Authorization: Bearer <access_token> 发送；按端点逐个授予最小权限 scope；区分 OAuth 与工作区密钥的存储、轮换与吊销归属。
使用方式：先确认工作区与租户模型，清点方法和端点并从官方参考页推导 scope；确定密钥存储、租户到令牌的映射、轮换、吊销与审计责任人；在服务端注入凭据且不记录令牌日志。OAuth 需校验 state、严格使用已注册的重定向 URI、在服务端交换 code，并加密静态存储令牌；工作区密钥在开发者设置中以最小 scope 创建，仅存入获批的密钥管理器。最后用一个只读端点验证，只记录状态、工作区别名和已授予 scope 名称。
限制与边界：租户模型不明确时应先停止，不选择凭据类型；OAuth state 不匹配应拒绝回调并重新授权；出现 403 应比对端点精确 scope，不应授予全部 scope；令牌出现在日志中应吊销或轮换并清理输出。未经所属管理员批准和回滚方案，不得生成或扩大生产凭据、修改重定向 URI、迁移租户令牌。
验证失败的其它排查与示例细节（如具体 input/handoff 示例）暂未提供。