核心用法
Canva Connect Skill 是一个命令行工具，通过 Canva 官方 Connect API 实现设计资产的自动化管理。用户可通过 canva.sh 脚本完成 OAuth 认证后，执行设计列表查询、空白设计创建（支持文档、演示文稿、白板、海报等 10+ 类型）、多格式导出（PNG/PDF/JPG/PPTX/MP4 等）、图片资产上传、品牌模板自动填充以及文件夹组织管理。典型工作流包括：生成图表后自动上传至 Canva 项目文件夹、设计完成后批量导出用于文档或网站、通过 API 数据驱动填充品牌模板生成个性化物料。
显著优点
1. 官方 API 背书：基于 Canva 官方 Connect API，功能稳定且持续更新，避免非官方方案的兼容性风险。
2. 自动化能力强：支持完整的资产管道（asset pipeline）和导出自动化，大幅减少重复性手动操作。
3. 模板数据驱动：品牌模板自动填充功能（Autofill）可将结构化数据注入预设模板，实现规模化个性化内容生产。
4. 安全认证机制：采用 OAuth 2.0 + PKCE 标准流程，Token 本地加密存储且权限最小化。
5. 零第三方依赖：仅依赖系统标准工具（curl、jq、openssl、python3），无额外包管理风险。
潜在缺点与局限性
1. 功能边界明确：无法向设计中添加或编辑内容（文本、形状、元素），也无法上传文档类文件（仅限图片），AI 设计生成同样不支持。这意味着它并非完整的设计编辑器，而是围绕"管理"和"导出"的辅助工具。
2. 模板依赖前置：Autofill 功能需要用户预先在 Canva 平台内完成模板搭建，API 仅负责数据注入，无法动态创建模板结构。
3. 格式支持受限：导出格式虽覆盖主流需求，但复杂动效或特定 Canva 原生功能的导出可能存在限制。
4. Rate Limit 约束：Canva API 存在端点级速率限制，大规模批量操作需配合自动退避机制。
适合的目标群体
- 运营与内容团队：需要批量生成基于模板的营销物料（海报、社交媒体图、报告封面）。
- 设计与品牌管理：负责维护品牌资产库、规范文件夹结构、自动化设计归档。
- 开发者与 DevOps：构建 CI/CD 流水线中的设计导出环节，或集成至内部内容管理系统。
- 数据可视化团队：将生成的图表自动上传至 Canva 进行进一步排版或分发。
使用风险
1. 凭证管理责任：Client ID/Secret 需用户自行配置，若存储于配置文件而非环境变量，存在被其他进程读取的风险。
2. 文件路径注入：api_upload 函数使用 --data-binary "@$file" 传递文件路径，若输入未经验证，理论上可能读取敏感系统文件（尽管实际利用场景受限）。
3. Token 过期处理：Access Token 有有效期，需定期重新认证，自动化脚本中需处理刷新逻辑或人工介入。
4. 网络依赖与稳定性：所有功能依赖 Canva 云服务可用性，离线环境无法使用；API 变更可能导致功能中断。
5. 调试信息泄露：脚本中存在 echo "Debug: code length=${#auth_code}" 类输出，可能在日志中暴露认证码长度等辅助信息。