スコープは、read:ordersやwrite:ordersのように、トークンに与える特定の1つの権限を表します。アカウントができることすべてを、一律に許可するものではありません。

クライアントは、自分の機能に実際に必要なスコープだけを要求します。リソースサーバーは、リクエストを許可する前に、トークンに与えられたスコープと、そのエンドポイントが要求するスコープを照合します。

クライアントが必要以上のスコープを要求すると、そのトークンが漏洩したときの被害が大きくなります。read:ordersだけを持つトークンは、同じユーザーのものでも、アカウントへのフルアクセスを持つトークンより、はるかに小さい範囲しか危険にさらしません。