canva-ci-integration

用途：为 Canva Connect 适配器建立无凭证的契约测试，并在受保护环境下保留一次最小化实时读取，用于验证 OAuth 边界、OpenAPI 漂移和 fork 行为。\n\n主要能力：盘点工作流信任边界；用夹具测试请求构造、错误解析、显式 scope 检查、异步任务状态、脱敏和未知响应字段；固定 OpenAPI 快照或其校验和并暴露漂移；添加受保护的实时读取。\n\n使用方式：先用 Read 与 Grep 梳理 PR 事件、fork 执行、密钥引用、生成客户端、制品上传及创建 Canva 资源的代码路径；再用 Write 或 Edit 编写离线契约测试，固定 provider 输入，并通过已批准的测试用户调用非变更性身份或元数据端点，只断言授权与响应结构。最后记录提交、命令、夹具版本、实时端点模式、受保护环境、脱敏结果与清理状态。\n\n认证：Canva Connect 使用后端通过 OAuth 2.0 Authorization Code 与 SHA-256 PKCE 获取的 Bearer 访问令牌，需请求最小权限 scope，避免密钥令牌进入浏览器可见状态，并串行化刷新以原子存储一次性刷新令牌。\n\n限制：不应用特权 PR 事件运行不可信代码；不要让客户端密钥、刷新令牌出现在日志、制品、缓存或 fork 上下文；不要在无关测试中静默重新生成客户端；实时测试不得创建内容。失败时应禁用作业、修正边界、把轮换移到凭据服务、更新固定契约并审查差异，或用非变更性读取替换。部分资源与命令细节暂未提供。