| 命名 | 资源:动作 形式，语义清晰可审计 |
|---|---|
| 校验 | 每个接口声明所需 scope，运行时逐项判断 |
| 治理 | scope 增删走评审；默认拒绝未声明的范围 |
scope 命名与校验示意
scope 命名与校验示意
orders:read 读取订单
orders:write 创建与修改订单
reports:export 导出报表
接口声明：GET /orders 需要 orders:read
校验：令牌 scope 不包含所需范围 → 返回 403Scope 属于授权语义，与角色模型配合：角色映射到 scope 集合，用户与角色解耦。