用途：在编写代码前先确定 Salesloft 集成的认证边界，避免把伙伴授权、客户 API Key 与私有客户端凭证混为一谈。
主要能力：区分三类集成类型（伙伴、客户自有、私有后端）；要求只申请当前端点所需的最小作用域；覆盖令牌获取、Bearer 注入、过期刷新或重新获取、原子替换等环节。
合同要点：API 请求使用 Authorization: Bearer <credential> 访问 https://api.salesloft.com/v2。伙伴使用 OAuth，依赖 API Key 的伙伴申请不会被批准。客户 API Key 以签发用户身份行事，必须保存在服务端。客户端凭证由管理员启用，仅限私有使用，不能加入允许列表，继承创建者管理员权限，7200 秒后过期且无刷新令牌。授权码刷新会返回新 refresh token 并吊销旧的，替换必须原子化。
使用方式：先盘点所有端点、调用方、团队边界与所需作用域；选择一种受支持流程并记录理由；在 Salesloft Account 注册精确回调 URI 或私有应用设置；把 client secret、API Key、访问令牌与刷新令牌存放在源码和日志之外；实现 Bearer 注入与感知过期的刷新；授权码流程需在同一持久事务中同时替换访问令牌与刷新令牌；用 GET /v2/me 这类有界读取验证访问，且不要在 CI 中打印响应体。
限制与边界：未经集成负责人和 Salesloft 管理员同意，不得扩大作用域、启用客户端凭证、创建或吊销凭证、更改生产回调 URI。任何令牌都不得出现在命令、URL、补丁、日志或示例中。错误处理上，invalid_grant 需检查重定向 URI 与一次性 code；401 检查令牌注入与过期，不要把 refresh token 提交给 API；403 对照已授权作用域与端点合同；并发刷新需串行化并原子持久化新令牌对。