会话与令牌
会话令牌（Session）
- 不透明令牌：会话令牌是随机不透明串，本身不携带任何可解读的声明。
- 内省校验：各业务服务通过
identity.session.validate回源校验会话有效性并取回用户上下文——生态内所有服务共享同一会话，即单点登录。 - 生命周期：签发、刷新、单端注销、全端注销均在 identity_service 完成。
OAuth 访问令牌（双形态）
开放平台应用在注册时声明 token_type，决定其访问令牌形态：
| 形态 | 校验方式 | 适用 |
|---|---|---|
jwt |
经 JWKS 端点取公钥后离线校验 | 无需每次回源、可本地校验的接入方 |
opaque |
经 introspect 端点回源内省 | 需要即时吊销、令牌不外泄语义的接入方 |
两种形态共用同一套授权码流程与 scope 语义；libs/oauth_client 为资源服务器提供统一的校验工具。