用途：在自有后端实现 Canva Connect 的 OAuth 2.0 授权码流程，配合 SHA-256 PKCE，用于创建集成、声明显式 scope 并处理令牌生命周期。
主要能力：注册集成并配置最小 scope、受控重定向 URI 与密钥存储；生成高熵 state 与 PKCE verifier 并在服务端短期一次性保存；构造带 S256 challenge、显式空格分隔 scope 的授权 URL；校验回调中的 state、重复 code 与错误；在后端完成令牌交换并分别加密存储 access 与 refresh token；按用户单飞刷新，原子提交新 access token、过期时间与替换后的 refresh token；支持撤销与断开连接并记录不含凭据的回执。
使用方式：先完成开发者门户集成与密钥保存，移除生产环境中的 localhost 与回环重定向；随后按授权状态、授权 URL、回调校验、后端交换、原子刷新、断开连接的顺序实现。调用 Canva Connect 时使用后端获取的 Bearer access token。
适用场景：需要接入 Canva 的后端集成、需要显式最小权限 scope 的授权流程，以及要求 refresh token 单次使用且并发安全的场景。
限制：资料未提供具体端点 URL、scope 名称、字符长度规则、代码示例与价格信息；PKCE 不可弱化，state 与 code 不可重复使用，refresh 必须按用户串行化，新增 scope 需更新门户配置并重新获得用户同意。