多租户代理系统中，凭证隔离通常有三种实现路径：委托授权、服务账户加作用域映射、凭证保险库。