OAuth 2.0 и OpenID Connect: в чём разница, какие flow использовать?

builder.Services.AddClientCredentialsTokenManagement()
    .AddClient("payments", c =>
    {
        c.TokenEndpoint = "https://auth.example.uz/connect/token";
        c.ClientId = "orders-worker";
        c.ClientSecret = builder.Configuration["Auth:ClientSecret"];
        c.Scope = "payments.write";
    });

builder.Services.AddHttpClient<PaymentsClient>(c => c.BaseAddress = new("https://payments.internal"))
    .AddClientCredentialsTokenHandler("payments");    // токен кэшируется до истечения и обновляется сам

builder.Services.AddAuthentication(o =>
    {
        o.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        o.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    })
    .AddCookie(o =>
    {
        o.Cookie.HttpOnly = true;
        o.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        o.Cookie.SameSite = SameSiteMode.Lax;
    })
    .AddOpenIdConnect(o =>
    {
        o.Authority = "https://auth.example.uz";
        o.ClientId = "shop-web";
        o.ClientSecret = builder.Configuration["Auth:ClientSecret"];
        o.ResponseType = "code";                        // Authorization Code; PKCE включён по умолчанию
        o.Scope.Add("openid"); o.Scope.Add("profile"); o.Scope.Add("orders.read");
        o.Scope.Add("offline_access");                  // refresh token
        o.SaveTokens = true;                            // токены сохраняются в зашифрованной cookie-сессии
        o.MapInboundClaims = false;
        o.GetClaimsFromUserInfoEndpoint = true;
    });

// в коде: var accessToken = await HttpContext.GetTokenAsync("access_token");

builder.Services.AddAuthentication().AddJwtBearer(o =>
{
    o.Authority = "https://auth.example.uz";
    o.Audience = "orders-api";                          // принимать только токены для этого API
    o.MapInboundClaims = false;
});

builder.Services.AddAuthorizationBuilder()
    .AddPolicy("orders:write", p => p.RequireAssertion(ctx =>
        ctx.User.FindFirst("scope")?.Value.Split(' ').Contains("orders.write") == true));

app.MapPost("/orders", CreateOrder).RequireAuthorization("orders:write");