Invalidate a token by authenticating using the same token

This is something that I ran into several times.

We have the [`DELETE /applications/{client_id}/token`](https://docs.github.com/en/rest/reference/apps#delete-an-app-token) endpoint which permits to delete a token today. But it requires the OAuth's `client_id` and `client_secret` for authentication. I don't think that should be necessary. It's a security concern that I cannot create an OAuth token, use it for a task, and then remove it, unless the owner of the OAuth provides a backend architecture which allows to invalidate my token without exposing the `client_secret`

Issue にリンクされている文書化済みの DELETE /applications/{client_id}/token エンドポイントから始め、現在の認証要件を確認してください。その要件を、同じトークンを使う提案中の認証フローと比較してください。OAuth クライアントシークレットを公開せずにトークンを無効化できる API 変更が決定され、文書化されていれば完了です。

索引モデルが issue の本文から書いたものです。