7. 令牌响应 (Token Response)

除了[RFC6749]中定义的令牌响应参数外,AS还必须(MUST)返回资源所有者授予的并分配给相应访问令牌的authorization_details。在令牌响应中颁发的访问令牌所分配的授权详情由相应令牌请求的authorization_details参数决定。如果客户端未指定authorization_details令牌请求参数,AS将自行决定生成的authorization_details。

AS可以(MAY)向客户端省略authorization_details中的值。

7.1. 令牌响应中的丰富授权详情 (Enriched Authorization Details in Token Response)

附加到访问令牌的授权详情可以(MAY)与客户端请求的内容不同。除了用户授权少于客户端请求的内容外,还有一些用例,其中AS会丰富授权详情对象中的数据。是否允许丰富以及其工作方式的具体细节必然是相应授权详情类型定义的一部分。

例如,客户端可能请求访问账户信息,但将关于其能够访问哪些特定账户的决定留给用户。在授权过程中,用户将选择他们希望允许客户端访问的账户子集。作为传达所选账户的一种设计选项,AS可以将此信息添加到相应的授权详情对象中。

注意: 客户端需要提前知道某个授权详情对象可能被丰富的可能性。假设此属性是相应授权详情类型定义的一部分。