用途：在环境中部署或配置 OAuth 2.0 授权流程，建立符合合规要求的安全控制，改进该领域安全架构，或开展需要此实现的安全评估。
主要能力：实现面向公共与机密客户端的授权码流程加 PKCE；配置机器对机器的客户端凭证流程；设计最小权限作用域层级；实现令牌的安全存储、刷新与撤销；应用 OAuth 2.1 最佳实践与 RFC 9700 安全建议；校验令牌完整性并防范常见 OAuth 攻击。
关键概念：授权码加 PKCE 推荐用于所有客户端类型，OAuth 2.1 中 PKCE 为强制；客户端凭证用于无用户上下文的机器对机器认证；设备授权授予（RFC 8628）用于输入受限设备；刷新令牌用于免重复认证获取新访问令牌。PKCE（RFC 7636）通过 code_verifier 与 code_challenge（S256）防止授权码拦截。令牌类型包括短期访问令牌、长期且单次使用轮换的刷新令牌、OIDC 的 ID Token。
使用方式：生成随机 code_verifier，计算 code_challenge，重定向至授权端点并携带 response_type=code、client_id、redirect_uri、scope、state、code_challenge 与 code_challenge_method=S256；用户认证同意后换取令牌并校验 state。客户端凭证流程使用 POST /oauth/token 并设 grant_type=client_credentials。令牌应存于 httpOnly cookie 或移动端 keychain，启用刷新令牌轮换与撤销端点，客户端密钥存于 vault 或环境变量。
适用场景：Web、移动、SPA、服务间通信及输入受限设备。
限制与前提：需熟悉身份访问管理概念与工具，具备测试或实验环境，Python 3.8+ 及依赖，且测试活动需获得授权。常见错误包括使用隐式授权、将令牌存于 localStorage、不校验 state、使用通配符重定向 URI、未实现刷新令牌轮换。