client_id中的authorities和用户的authorities有什么区别

使用授权码模式获取到的token，包含的是用户的authorities，正常不应该是client_id配置中的authorities吗？，如果是用户的authorities那不等价与拿到了用户的token可以为所欲为了，实在不解，麻烦指点一二，只能提issue了