问为什么refresh_token不是由响应"client_credentials“授权的OAuth2服务器提供的？

EN

我正在阅读OAuth2规范：

https://www.rfc-editor.org/rfc/rfc6749#section-4.4.2

特别是关于client_credentials授予类型的部分。

如果访问令牌请求是有效和授权的，则 授权服务器发出一个访问令牌，如5.1节所述。 不应包含刷新令牌。如果请求失败了客户端身份验证或无效，授权服务器将返回一个错误响应，如第5.2节所述。

一个成功的回应例子：

 HTTP/1.1 200 OK
 Content-Type: application/json;charset=UTF-8
 Cache-Control: no-store
 Pragma: no-cache

 {
   "access_token":"2YotnFZFEjr1zCsicMWpAA",
   "token_type":"example",
   "expires_in":3600,
   "example_parameter":"example_value"
 }

`

我有点困惑，为什么授权服务器可以返回refresh_tokens，用于password授予类型，而不能返回client_credentials。

我猜想这与refresh_token可以交换为access_token这一事实有关，而且由于client_credentials授予类型不需要用户名和密码，如果应用程序密钥和refresh_token被破坏，那么撤销变得更加困难。