protocol
| Método | Path | Resumo | Access |
|---|---|---|---|
| GET | /oauth/authorize | Endpoint de autorização (Authorization Code + PKCE S256) | Public |
| POST | /oauth/introspect | Introspecção (RFC 7662) — só client CONFIDENTIAL autenticado | Public |
| POST | /oauth/revoke | Revogação (RFC 7009) | Public |
| POST | /oauth/token | Troca de código / rotação de refresh token | Public (link or signature) |
| GET | /oauth/userinfo | Claims do usuário (Bearer access token) | Public |
| POST | /oauth/userinfo | Idem GET (token só no header Authorization) | Public |