Token Exchange
OAuth 2.0扩展协议（RFC 8693），允许客户端通过提交现有令牌来获取针对特定下游服务的新令牌，常用于多跳调用链中的安全授权传递
时间轴 (近 90 天)
OAuth 2.0体系中的Token Exchange规范（RFC 8693）允许已认证主体将部分权限委托给另一个实体，同时保留授权链来源信息
多跳调用链中原始授权信息传递有两种主流模式：令牌透传和通过OAuth 2.0 Token Exchange（RFC 8693）换取新令牌
Token Exchange 载荷中保留代表者（act）字段以保持溯源信息
Token Exchange模式彻底消除了模式四中的身份冒充问题，实现对用户、智能体及双方被允许操作的完整可观测性
Token Exchange与'On Behalf Of'委托机制要求智能体对自身进行认证，使系统同时认证用户与智能体，明确智能体代表用户执行操作
每一次身份向下传递应通过令牌交换的作用域限定（scope）收缩权限而非放大权限，遵循最小权限原则
两层访问模式第二层建立在令牌交换(Token Exchange)机制之上,Agent用委托令牌通过身份提供商动态换取目标应用的访问令牌,而不预先存储所有应用凭证
全部知识事实 (7)
OAuth 2.0体系中的Token Exchange规范（RFC 8693）允许已认证主体将部分权限委托给另一个实体，同时保留授权链来源信息
50%待验证多跳调用链中原始授权信息传递有两种主流模式：令牌透传和通过OAuth 2.0 Token Exchange（RFC 8693）换取新令牌
50%待验证Token Exchange 载荷中保留代表者（act）字段以保持溯源信息
50%待验证Token Exchange模式彻底消除了模式四中的身份冒充问题，实现对用户、智能体及双方被允许操作的完整可观测性
50%待验证Token Exchange与'On Behalf Of'委托机制要求智能体对自身进行认证，使系统同时认证用户与智能体，明确智能体代表用户执行操作
50%待验证每一次身份向下传递应通过令牌交换的作用域限定（scope）收缩权限而非放大权限，遵循最小权限原则
50%待验证两层访问模式第二层建立在令牌交换(Token Exchange)机制之上,Agent用委托令牌通过身份提供商动态换取目标应用的访问令牌,而不预先存储所有应用凭证
50%