protocol
| Método | Path | Resumo | Acesso |
|---|---|---|---|
| GET | /oauth/authorize | Endpoint de autorização (Authorization Code + PKCE S256) | Pública |
| POST | /oauth/introspect | Introspecção (RFC 7662) — só client CONFIDENTIAL autenticado | Pública |
| POST | /oauth/revoke | Revogação (RFC 7009) | Pública |
| POST | /oauth/token | Troca de código / rotação de refresh token | Pública (link ou assinatura) |
| GET | /oauth/userinfo | Claims do usuário (Bearer access token) | Pública |
| POST | /oauth/userinfo | Idem GET (token só no header Authorization) | Pública |