对于OAuth，受保护的资源是否一直属于授权服务器？

Question

我已经阅读了很多有关 OAuth 和 OpenID 的文章，并且了解到 OAuth 协议是授权协议而不是身份验证协议。 因此，如果 OAuth 中的授权服务器有权为可能托管在单独服务器上的受保护资源生成访问令牌，这是否意味着受保护资源与 OpenId 提供者或 OAuth 服务器属于同一方？

受保护资源能否属于其他组织。如果是，是否有受保护资源服务器验证访问令牌的标准化协议

Answer 1

RFC 7662（OAuth 2.0 令牌自省）是标准方式。