如果允许每个应用自行定义令牌签发规则或 MFA 要求，攻击面会随应用数量线性扩大，审计也会变得困难。