用途：为 Intercom 集成配置企业级访问控制，覆盖 OAuth 范围、管理员角色管理与应用层权限强制执行。
主要能力：按五步流程执行——列出管理员与团队、基于 OAuth 范围的访问控制、应用层权限校验、按团队分配会话、管理员操作审计日志。内置角色包括 Owner（全部操作、账单、工作区设置）、Admin（管理联系人、会话、内容）、Agent（回复会话、查看联系人）；自定义角色为企业版功能。示例会将角色映射为显式权限集，而非依赖角色名。
使用方式：需具备 Intercom 工作区管理员权限、了解 OAuth 2.0；公共应用需在 Developer Hub 配置 OAuth；安装 intercom-client 并设置 INTERCOM_ACCESS_TOKEN 或 OAuth 客户端凭据。核心调用如 client.admins.list() 枚举管理员与团队，用 getAuthUrl(crypto.randomUUID()) 构建授权 URL，回调时 exchangeCode(code) 换取按工作区存储的令牌，通过 checkPermission/requirePermission 中间件拦截操作，用 client.conversations.assign(...) 分配会话。
限制与错误处理：OAuth 回调失败多为重定向 URI 不匹配，403 通常因缺少范围需重新授权，令牌被撤销需优雅处理并通知管理员，管理员离开工作区需从本地系统移除，团队 ID 无效需先枚举团队。完整分步代码与端到端场景需查看附带的 references 文档，本资料未提供具体代码全文。