Token Introspection

驗證用途與邊界

Introspection用於服務端查詢token狀態；它不簽發用戶身份，也不應由瀏覽器攜帶client_secret調用。普通SDK調用不需要先手動introspect，業務API會校驗憑據。

公開REST查詢合同見API Reference，調用前檢查其鑑權和請求字段；不要將內部RPC端點當成無需授權的標準OAuth入口。資源服務器還應驗證issuer、有效期、允許的主體和scope；active不能替代端點權限檢查。

用戶接入見快速開始，issuer流程見OAuth。