Principal, agente e mandato
O principal é a pessoa ou entidade representada. O agente executa tarefas com autonomia limitada. O mandato conecta as partes à finalidade, escopos, limites financeiros, período de validade e nível de autonomia. O agente não deve conseguir ampliar a própria autoridade.
Estados e revogação
Uma delegação pode passar por estados como criação, consentimento pendente, atividade, suspensão, revogação e expiração. Uma verificação confiável considera o estado atual, inclusive depois de uma mudança de política ou revogação ocorrida após a emissão da credencial.
Aplicação por transação
Antes de recomendar uma operação, verifique o estabelecimento, valor, finalidade, escopo e limites contra o mandato válido e a governança da instituição. Um token de sessão, isoladamente, não prova que o cliente autorizou aquela compra específica.
Resultado e evidência
Uma camada de decisão pode recomendar APPROVE, DENY, CHALLENGE ou REVIEW, acompanhando a indicação com razões e proveniência. A instituição que governa os recursos mantém a decisão final sobre autorização e execução.
OAuth ou JWT bastam para autorizar um pagamento agêntico?
Não necessariamente. Credenciais e escopos ajudam, mas devem ser avaliados com mandato vigente, finalidade e regras institucionais.