Oauth2 introspection mode bug(?)