用途：对 OAuth 2.0 授权范围做最小化审查，找出过度授权的第三方应用集成、过宽的 API scope、未使用的令牌授权（stale grants）以及通过 OAuth 授权访问组织数据的影子 IT 应用，落实最小权限原则。
适用时机：季度或年度第三方应用权限复审；OAuth 令牌被入侵或出现未授权数据访问后的安全事件排查；GDPR 第 28 条、SOC 2 等合规审计需记录第三方数据访问；SaaS 迁移或整合时的权限清理。不适用于同一信任边界内的第一方应用权限审查。
主要能力：枚举身份提供方（Microsoft Entra ID、Okta、Google Workspace）中的应用注册、服务主体及委派/应用权限授予；按数据敏感度将 scope 分为 critical/high/medium/low 并给出复审频率；对比已批准范围目录检测过度授权、未批准应用、过宽范围（如 Mail.ReadWrite 降级为 Mail.Read）；结合登录日志识别 90 天内无 API 活动的陈旧授权；计算应用聚合风险分并生成修复方案。
前提与用法：需身份提供方管理员权限；Microsoft Graph 需要 Application.Read.All、OAuth2PermissionGrant.ReadWrite.All 权限；需已批准第三方集成清单和 scope 风险分级框架；可用 jwt.io 手工审查令牌或脚本批量分析。工作流为：清点全部 OAuth 授权与应用注册（使用 Graph API servicePrincipals、oauth2PermissionGrants、appRoleAssignments 接口）→ 按风险分级 scope → 识别过度授权应用 → 审计令牌使用与陈旧授权 → 生成并执行范围缩减修复计划。
限制：资料中未提供完整的修复执行代码细节、具体定价、支持平台清单或效果指标；风险分级清单以 Microsoft Graph scope 为例，其他身份提供方需自行补充；令牌使用审计依赖登录日志可用性。