Token Introspection

验证用途与边界

Introspection用于服务端查询token状态；它不签发用户身份，也不应由浏览器携带client_secret调用。普通SDK调用不需要先手动introspect，业务API会校验凭据。

公开REST查询合同见API Reference，调用前检查其鉴权和请求字段；不要将内部RPC端点当成无需授权的标准OAuth入口。资源服务器还应验证issuer、有效期、允许的主体和scope；active不能替代端点权限检查。

用户接入见快速开始，issuer流程见OAuth。