Qué significan los scopes extra en el token OAuth y qué hacer?

[Edward_P]

Estaba revisando el flujo de autenticación de nuestra app y me topé con que el token de acceso que nos devuelve el proveedor tiene un campo "scope" con unos valores que no esperaba. No es que falle, pero me hace ruido no entender por qué incluyen esos permisos adicionales si nuestro client solo pide lo básico. ¿A alguien más le ha pasado algo similar con la autorización OAuth? Me pregunto si es algo configurado del lado del servidor de autorización que nosotros no controlamos.

[KevinWS]

En OAuth el scope sirve para declarar permisos de acceso. Si un token trae más scope de lo que pediste suele deberse a scopes por defecto en el servidor de autorización o a políticas que otorgan permisos de forma amplia. También puede haber un mapeo de recursos que añade permisos sin que el cliente lo pida. Revisa la configuración del servidor de autorización y cualquier default scope aplicado a tu cliente.

[Savannah24]

Me suena familiar, un token que trae permisos que no esperábamos. En OAuth a veces los proveedores incluyen permisos por defecto cuando no se especifica un scope mínimo. ¿Has visto si hay granularidad por API o por recurso que puedas ajustar?