用途：审查 Canva Connect 集成实现，识别反复出现的授权、异步任务、预览、数据和重试风险，适用于代码评审、发布准备等场景。核心思路是把常见失败模式转化为有证据支撑的发现，而非套用通用规则；对时效性强的服务商行为，需先对照当前第一方契约再执行。
主要能力：按步骤检查 OAuth（浏览器端密钥、缺失 state/PKCE 校验、过宽或隐含 scope、刷新竞争、令牌日志、断开清理不完整）；授权（租户与资源归属、应用角色、显式 scope、能力与预览可用性）；异步工作（阻塞长轮询、丢失 job ID、无界循环、重复提交、未对账的重试）；限流（猜测的全局配额、固定 sleep、假定响应头、跨租户队列、缺少端点/用户隔离）；数据与遥测（缓存签名 URL、无目的保留内容、令牌/资料日志、高基数标签、无过期或复核的调试包）；发布姿态（未固定服务商契约、公开评审路径上的预览功能、可变部署、缺少回滚、不可信事件上的实时 CI）。最后用 Write 或 Edit 记录处置：路径/证据、当前服务商来源、严重度、负责人、安全修复、回滚与验证测试。
使用方式：认证上，Canva Connect 调用使用后端通过 OAuth 2.0 Authorization Code 加 SHA-256 PKCE 获取的 Bearer 访问令牌；请求最小权限显式 scope，客户端密钥与令牌不得进入浏览器可见状态，刷新需串行化并原子存储单次使用的替换刷新令牌。发现用 Read 和 Grep，仅对已批准的产物、代码、配置、测试或回执使用 Write/Edit，不得做未批准的 Canva 侧变更。
限制：资料未提供具体命令、价格、平台支持范围或效果数据；若发现缺少当前来源，应标记为未验证且不强制执行；若证据暴露客户数据，需脱敏并在必要时轮换访问权限；若修复扩大范围，需单独授权与用户同意；若预览功能对发布关键，应升级公开评审不兼容问题。