用途：为 Linear 集成建立安全基线，围绕凭证、工作区边界、入站事件与诊断路径落实最小权限和失败即关闭的校验，常用于对集成做威胁建模或修正安全问题。
主要能力：清点令牌、客户端密钥与签名密钥、重定向 URL、作用域、团队访问、缓存、日志、导出和第三方处理方；选择最窄的认证主体与作用域，校验 OAuth state/PKCE，凭证仅存放于经批准的密钥管理器；在解析或入队前校验 Webhook 原始正文的 HMAC，拒绝无效签名及过期或重放的投递；在遥测中脱敏授权头、Cookie、查询、变量、问题内容、邮箱、用户数据与签名；测试撤销、客户端密钥轮换、签名密钥轮换、令牌泄露控制与应用禁用。
使用方式：认证上，个人 API 密钥仅用于所有者控制的脚本，用户委托应用使用带 PKCE 的授权码 OAuth，获批自动化可用已启用的客户端凭据授予。个人密钥使用 Authorization: <API_KEY>；OAuth 令牌使用 Authorization: Bearer <ACCESS_TOKEN>。用 Read、Glob、Grep 检查代码与配置；WebFetch 仅用于第一方 Linear 文档与包元数据；Write、Edit 仅用于已请求且目标文件已知的实现。
限制与边界：未经责任主体明确批准，不得创建、泄露、轮换或撤销凭证，不得授权 OAuth 应用、变更作用域或团队访问、变更工作区数据、配置或重新启用 Webhook、导入导出数据、变更角色/SCIM/审计流、传输诊断信息或变更付费权益；未要求实现时保持只读诊断。个人密钥不得用于用户委托场景，OAuth 应用需使用精确注册的重定向 URL 并校验授权状态。客户端密钥轮换与 Webhook 签名密钥轮换是影响不同的独立操作。错误处理上，令牌暴露需撤销或轮换并审计访问；签名无效需在解析业务数据前拒绝；OAuth state 不匹配需中止流程且不交换授权码；作用域过宽需收敛并走批准的变更路径重新授权。其余具体价格或平台细节暂未提供。