用途：把 Canva 的授权范围（scopes）与能力字段作为提供方输入，交由应用自身做授权决策，避免将 OAuth 同意等同于租户角色、资源归属、功能权益或内容处理许可。
主要能力：定义决策元组（主体、租户、应用角色、动作、资源、环境、请求的 Canva 操作、数据分级）；将已授予范围、能力字段、资源访问与预览可用性视为独立事实，缺失、未知或过期证据一律拒绝；把每个应用动作映射到最小范围、所需能力证据、归属规则、审批与审计类别；在服务端于租户身份认证后、请求分发前执行策略；在范围、成员、同意、能力、策略或资源所有者变更后使缓存决策失效，仅在范围变化时要求重新授权；审计时记录策略版本、不透明主体/资源引用、决策输入、允许/拒绝结果与原因码，不记录令牌或设计内容。
使用方式：Canva Connect 调用使用后端通过 OAuth 2.0 Authorization Code 加 SHA-256 PKCE 获取的 Bearer 访问令牌；请求显式最小权限范围，客户端密钥与令牌不得进入浏览器可见状态，刷新需串行化并原子存储单次使用的替换刷新令牌。发现与取证用 Read 和 Grep，仅对已批准的产物、代码、配置、测试或回执使用 Write 或 Edit，不做未经批准的 Canva 侧变更。
适用场景：企业版或特权操作的门控，例如应用编辑者请求品牌模板自动填充时，后端先校验租户角色、显式设计与模板范围、当前能力/可用性、模板归属与数据审批，再提交单个任务。
限制：能力字段未知时拒绝并更新固定的响应契约；范围存在但角色拒绝时拒绝，OAuth 同意不覆盖应用策略；无法解析租户时在发起任何 Canva 请求前停止；策略缓存过期时失效并依据当前证据重算。资料未提供具体价格、平台支持范围或性能数据。