OAuth2.0において、認可サーバーから発行された認証認可コードをサーバー間で共有し、認可サーバーからの発行先と異なるサーバーからリソースへアクセスすることは仕様上許容される操作なのでしょうか。
推奨されないであろうということはわかるのですが、RFC6749などを確認する限り、サードパーティーアプリケーションは単一のサーバーであるということが定義されていないため、仕様上は問題ないのではないかと考えています。
https://openid-foundation-japan.github.io/rfc6749.ja.html#client-types
もし、こちらについてご存知の方がいらっしゃいましたら、ご教示いただけると幸いです。
*実装イメージ