oauth-2.0 - OpenIdConnect/OAuth 中的密码更改流程

Question

我有一个使用 AngularJS SPA 和 OpenIdConnect 身份提供程序的基本流程。我正在使用的服务器是 IdentityServer3 但这应该在任何地方都是一样的，因为它是一个规范。我想知道这个流程是如何工作的。

Idp 有一个配置为使用的数据库。在 IdentityServer3 的情况下，它在ServiceFactory中指定

隐式流

1. SPA 联系指定重定向URI的授权端点。

2. IdP 在检查细节后授权并重定向到指定的 URI。现在我们在浏览器中有一个访问令牌。

3. 现在用户更改了她的密码。此密码在数据库中更新。此时，即使在 IdentityServer3 连接的数据库中更新了密码，令牌仍然是旧的。
4. 在此步骤中，可能有一种方法可以使密码无效或发出新令牌，因为密码已更改。

因此，直到我们使用规范中提到的某些工具使该令牌无效。Idp 无法识别密码已更改。

这个解释正确吗？我是否需要做任何其他事情来向 Idp 表明密码已更改？OpenIdConnect/OAuth 中没有用于更改密码的端点。正确的 ？

我问得很详细，因为我想在与我们的技术团队讨论之前了解这个关键流程。似乎是根本。