[Client][Auth] SEP-2207: Request offline_access scope against OIDC-flavored AS for refresh tokens

Implements the client-side portion of SEP-2207 for the MCP Spec 2026-07-28 release.

Tracked by umbrella #338.

Spec summary

Clients SHOULD request the offline_access scope when needing refresh tokens from OIDC-style servers. Additive, non-breaking.

PHP SDK changes

• When initiating the auth-code flow, detect OIDC-flavored AS (e.g., presence of openid in scopes_supported, or userinfo_endpoint in AS metadata) and conditionally add offline_access.
• Tie into #319 (Auth Code + PKCE) and #323 (refresh_token grant) — without it, the refresh-token grant is moot against OIDC servers.

Related

• Umbrella #338
• Server-side PRM audit in companion sub-issue
• Extends #319 and #323

Non viene indicato alcun percorso di file o test. Traccia il punto di ingresso dell’avvio dell’auth-code e la gestione dei metadati del server di autorizzazione, quindi verifica il lavoro esistente per #319 e #323. Il lavoro è completato quando i server di tipo OIDC richiedono offline_access quando sono necessari refresh token, mentre gli altri flussi rimangono invariati e una copertura mirata verifica entrambi i segnali dei metadati.