認可サーバとリソースサーバが物理的に切り離されているパターンは充分ありうる。リソースサーバはどうやってクライアントから受け取ったトークンを検証したら良いか、謎だった。し、レスポンスを評価する、だった。認証プロトコルではない、ということは知っていたが、なぜダメなのかなど、よくわからなかった。ここを読んで、少しわかった。使うべきともわかった。見られたが、その理由がわかった気がした。公式のサイトにあった。抽象度が高そう、難しそう。