Разобрался!

После use забыл написать:

Bitrix\Main\Loader::includeModule("sale");
Bitrix\Main\Loader::includeModule("catalog");

>>Зачем вообще существует второй вариант? Ведь любой узел (сисадмин, владелец точки wi-fi, провайдер, товарищ майор) может просто взять готовый токен и использовать его.

Данные передаётся по HTTPS! Следовательно токен не доступен промежуточным узлам, так как информация зашифрована.
Если рассматривать авторизацию через ВКонтакте токен известен толкьо: 1) ВКонтакте, 2) Сайту на который производится авторизация, 3) самому пользователю осуществляющему авторизацию
Все промежуточные провайдеры знают только что клиент по факту соединяется с некоторым IP адресом при использовании HTTPS протокола, и они не знают на какой url осуществляется запрос.

Ух прям моя тема.
Только у меня тема ещё только начинается, вот вот состоится судебное.
Сейчас ограничен в времени, чтобы расписать ситуацию, я позже обязательно займусь и уже отредактирую ответ добавив необходимое описание ситуации с работодателем и подводные камни трудового законодательства и судебной системы в целом.
Сейчас можете ознакомиться с ситуацией и поданными в суд документами, всё опубликовано тут https://vk.com/furmanov?w=wall-169093088_28
Позже так же опубликую ссылки на аудиозапись судебного заседания и судебное решение, прочие необходимые документы.