用途：为 ClickUp 集成选择并落地认证方式，按租户与归属决定使用个人令牌还是 OAuth，并在不暴露凭据的前提下验证已授权的 Workspace 边界。
主要能力：个人令牌以 pk_ 开头，面向个人/测试用途，除非重新生成或撤销否则不过期；面向用户的集成使用 OAuth 授权码，授权端点为 https://app.clickup.com/api，换取令牌端点为 https://api.clickup.com/api/v2/oauth/token。OAuth 访问令牌当前不过期，但官方标注该行为可能变更。每个 API 请求在 Authorization 中携带令牌，并通过 teams 端点验证已授权 Workspace。
使用方式：先选择个人或 OAuth 模式并记录凭据归属、环境与目标 Workspace；令牌与客户端密钥只存入密钥管理器，运行时按引用注入；OAuth 需注册精确的 HTTPS 重定向地址、生成并校验 state、在服务端一次性换取 code；调用 GET /api/v2/user 与 GET /api/v2/team 并设置超时；将授权 Workspace ID 与允许列表比对，拒绝跨租户歧义；记录撤销/轮换、重新授权、事件与归属转移流程。
限制与边界：不得打印令牌、客户端密钥或 webhook 密钥，不得把客户端密钥放入前端代码，不得接受未校验的 state，不得静默扩大 Workspace 授权，未经所有者批准不得重新生成共享令牌。state 不匹配应拒绝回调并重新发起授权；重定向不匹配应修正注册的精确 URI 而非放宽校验；Workspace 未授权应停止并要求用户重新授权；凭据泄露应撤销/重新生成、清理产物并记录事件。输出应包含认证模式、密钥引用名、重定向/state 结果、脱敏后的授权 Workspace ID、验证状态与轮换负责人。