Scopes

profile.basic

回傳姓名、Email 與 Email 驗證狀態。Email 未提供時為 null，不得據此拒絕解析或當作身份 key。即使未授予 profile.basic，/api/partner-auth/me 也一律會回傳 partner-specific 的 sub。

kyc.status

回傳 KYC 狀態、identity_verified 與驗證時間。永遠不會回傳平台內部的 Identity Profile identifier。

risk.summary

回傳 risk level，以及 allowlist 中的公開風險類型，例如 blacklist_match、same_identity_different_phone 或 same_phone_different_identity。內部風險細節、其他商戶的來源、完整原因與證據都會被移除。

同時回傳 Client 所屬 Merchant 最新的後端 Eligibility 快照。在 Merchant 建立正式決策之前，Eligibility 為 null；串接方不得在 client 端推導或覆寫結果。

kyc.ocr.read

允許呼叫 GET /api/partner-auth/kyc-application。使用者必須先通過 KYC 核准，才能授權此 scope。它只回傳結構化 OCR 欄位，永遠不回傳證件或自拍影像。