OAuth2最小声明与隐私治理

# OAuth2最小声明与隐私治理 ## 概览 - 在令牌与 `userinfo` 返回中仅包含必要字段；通过范围与同意控制暴露；记录审计。 ## 技术参数（已验证） - 范围与同意：按 `scopes` 精确控制；用户可选择；记录版本与变更。 - 令牌内容：ID Token 仅必要声明；Access Token 尽量不含 PII；通过后端查询获取必要信息。 - 隐私与合规：遵守最小可见原则与数据保留政策；提供撤销与导出机制。 - 安全：脱敏与加密传输；对日志与监控脱敏；审计访问。 - 观测：记录字段使用与失败；优化暴露边界。 ## 实战清单 - 定义最小声明清单；在契约与实现中执行。 - 提供用户同意与管理入口；在撤销与变更时同步。 - 将隐私与安全纳入看板与审计；持续改进。