用途：在保持 OAuth 配置与凭据按环境隔离的前提下，推广一个不可变应用制品，并在启用用户流量前验证回调与一次非变更性的 Canva 读取。
主要能力：对比重定向 URI、作用域、预览特性、回调/Webhook 路由、密钥引用与数据存储；从已批准后端注入环境专属凭据；以禁用外部流量的方式部署不可变制品并执行带回滚计划的迁移；验证精确重定向匹配、state 校验、PKCE verifier 处理、仅后端令牌交换、Cookie/会话控制及异常主机拒绝；用专用测试用户执行非变更性身份/元数据读取，检查脱敏、依赖健康与版本；按本地 SLO 逐步放量，出现授权、数据或就绪证据偏差时恢复先前制品/配置并暂停 OAuth 入口。
使用方式：先审阅制品摘要与目标环境，确认已注册的精确重定向 URI 与受控 HTTPS 域名、密钥后端、迁移计划、健康契约与回滚版本；用 Read 与 Grep 做发现与取证，仅在批准范围内用 Write 或 Edit 修改制品、代码、配置、测试或回执；认证使用后端通过 OAuth 2.0 授权码加 SHA-256 PKCE 获取的 Bearer 访问令牌，申请最小权限作用域，客户端密钥与令牌不得进入浏览器可见状态，刷新令牌需串行化并原子存储。
适用场景：同一制品从预发布推进到生产，各环境保留独立 Canva 凭据与重定向 URI，仅在回调与只读测试证据通过后放量。
限制：资料未提供具体命令、平台配置细节、收费信息或性能数据；不得在通用健康端点中创建内容，不得做未批准的 Canva 侧变更，迁移不可逆时须停止推广直至恢复方案得到验证。