该技能用于为 Canva Connect 集成实现仓库和运行时控制，覆盖授权、密钥、预览、数据、重试和 CI 信任。
用途：把高置信度不变量编码在代码附近，并在运行时再次验证；将依赖提供方的数值或预览假设版本化，避免过时限制固化为长期策略。
主要能力与步骤：
- 分类控制：区分不可变安全控制、有版本的提供方契约检查与本地运营阈值，并标明每项规则的权威来源。
- 密钥控制：使用 Write 或 Edit 阻止客户端密钥/令牌出现在源码、前端包、日志、快照、制品及不可信 CI 中，也扫描示例与失败路径。
- 授权控制：在派发前要求租户/资源归属、应用策略、明确最小作用域、当前能力与预览状态。
- 操作控制：变更操作需操作身份，重试需有界分类，异步任务需对账，按作用域队列限流。
- 契约控制：固定 OpenAPI 或校验和，安全测试未知字段/状态，检测弃用或预览接口漂移，重新生成前需评审。
- 证据控制：用 Read 和 Grep 验证每条规则能在失败样本上触发、无法被格式绕过，并输出脱敏原因、责任人与异常路径。
- 异常治理：异常应狭窄、经批准、有时限、在 CI 可见，并在过期后自动失败。
认证：Canva Connect 调用使用后端通过 OAuth 2.0 授权码加 SHA-256 PKCE 获取的 Bearer 访问令牌；申请明确的最小权限作用域，客户端密钥与令牌不得进入浏览器可见状态，刷新需串行化并原子存储替换用的单次刷新令牌。
工具纪律：仅用 Read 和 Grep 做发现与证据；仅对已批准产物、代码、配置、测试或回执使用 Write 或 Edit，不得擅自更改 Canva 侧配置。
输出：限定范围的决策或实现产物、脱敏的操作与验证回执、失败/回滚/后续责任记录。示例包括 CI 规则拒绝浏览器配置中的 Canva 客户端密钥，以及在 fork 事件上拒绝特权实测；运行时护栏单独拒绝无租户归属和明确作用域的设计写入。
错误处理：规则依赖过时数值限制时把该值移入版本化契约样本；无到期时间异常应拒绝；护栏日志不得记录受保护输入，只返回稳定原因码；静态规则无法证明运行时归属时增加运行时默认拒绝检查。
限制：资料未提供具体安装命令、价格、平台支持范围或可直接复用的代码示例；实施需先有策略文档、责任人、执行范围与异常到期时间，以及当前密钥、作用域、数据、CI 事件和预览清单。