Access Token
OAuth 流程中用于调用 API 的短期凭据，通常有效期为 1 小时，过期后需通过 refresh token 刷新
时间轴 (近 90 天)
采用极短 TTL 的 Access Token（如 5 分钟）搭配 Refresh Token 是当前业界较为普遍的折中选择
缩短 Token 有效期、引入 Token 撤销列表或采用短生命周期 Access Token 配合 Refresh Token 机制，都是缓解幻影权限问题的常见手段
权限声明（permissions claim）为空时存在语义歧义，可能表示用户确实无权限，也可能表示权限信息未被写入令牌，缺省行为必须在设计阶段明确约定
Access Token 本质上是权限的一张快照，而不是一次实时的权限查询
身份提供方签发 Access Token 时会把签发那一刻用户的角色、权限、组织归属等信息编码进去，令牌内容在有效期内固定不变，除非过期或被主动撤销
资源服务器校验令牌时读取的是签发时刻的状态，而非当前后端数据库里的真实权限
撤销角色的操作只改变数据库中的权限记录，无法追溯性修改已经签发出去的令牌，因此被撤销权限的用户在令牌过期前仍可越权访问，窗口长度取决于令牌 TTL
Mint 指从现有凭证材料（如 Session Cookie）派生出一个新的、有独立生命周期的访问令牌，通常是 JWT 或不透明字符串
智能体使用授权码向令牌端点换取访问令牌，令牌过期后可使用刷新令牌（Refresh Token）获取新的访问令牌而无需用户再次授权
全部知识事实 (10)
OAuth是一种授权框架，通过颁发短期有效的Access Token和用于续期的Refresh Token来允许第三方应用在不暴露用户密码的前提下获得有限访问权限
95%待验证身份提供方签发 Access Token 时会把签发那一刻用户的角色、权限、组织归属等信息编码进去，令牌内容在有效期内固定不变，除非过期或被主动撤销
60%待验证采用极短 TTL 的 Access Token（如 5 分钟）搭配 Refresh Token 是当前业界较为普遍的折中选择
50%待验证Access Token 本质上是权限的一张快照，而不是一次实时的权限查询
50%待验证缩短 Token 有效期、引入 Token 撤销列表或采用短生命周期 Access Token 配合 Refresh Token 机制，都是缓解幻影权限问题的常见手段
50%待验证权限声明（permissions claim）为空时存在语义歧义，可能表示用户确实无权限，也可能表示权限信息未被写入令牌，缺省行为必须在设计阶段明确约定
50%待验证资源服务器校验令牌时读取的是签发时刻的状态，而非当前后端数据库里的真实权限
50%待验证撤销角色的操作只改变数据库中的权限记录，无法追溯性修改已经签发出去的令牌，因此被撤销权限的用户在令牌过期前仍可越权访问，窗口长度取决于令牌 TTL
50%待验证Mint 指从现有凭证材料（如 Session Cookie）派生出一个新的、有独立生命周期的访问令牌，通常是 JWT 或不透明字符串
50%待验证智能体使用授权码向令牌端点换取访问令牌，令牌过期后可使用刷新令牌（Refresh Token）获取新的访问令牌而无需用户再次授权
50%