RFC 9396 Rich Authorization Requests: mehr als ein Scope
Rich Authorization Requests erweitern OAuth um strukturierte authorization_details: Statt eines groben Scopes wie payments beschreibt der Antrag genau, was erlaubt sein soll — Typ, Betrag, Empfänger. Damit kann ein Access Token eine echte Befugnis tragen.
Das Prinzip
Der Client beantragt ein Token mit einem JSON-Objekt, das die gewünschte Berechtigung beschreibt; der Autorisierungsserver stellt das Token mit genau diesen Details aus, der Ressourcen-Server prüft sie.
Bei Mandact
Eine Brücke, die Handlungstyp und Grenzen des Mandats als authorization_details in Access Tokens schrieb, war gebaut — und ist zurückgezogen (410 Gone): Tokens im Prozessspeicher und eine fehlende Mandantenbindung hätten die Zusage nicht getragen. Heute wird das Mandat per OID4VP präsentiert oder über /v1/verify geprüft.
Die Lehre daraus
Ein Token mit eingebetteter Befugnis ist bis zum Ablauf gültig, wenn niemand live nachfragt. Für Vollmachten braucht es deshalb immer eine Live-Statusprüfung — bei Mandact über /v1/verify und die Token Status List.
Stand
Erklärt den Standard; die Mandact-Brücke dazu ist zurückgezogen (410 Gone).