有没有办法限制访问可能 laravel 护照 api 仅适用于我的 flutter 第一方应用程序

Question

我正在使用 web 访问和护照 Oauth2 api 通过移动颤振（android/iOs）访问我得到一些关于我的第一方应用程序的问题，你可以给我一些关于我的问题之后的问题，我正在处理 laravel 6 项目

So, I target my api routes using postman or my mobile app i use register/login api methods that requires email and password (no client_id and/or client_secret used) of user like this code from api controller

public function register(Request $request) {    
    $validator = Validator::make($request->all(), 
        [ 
            'name' => 'required',
            'email' => 'required|email',
            'password' => 'required',  
            'c_password' => 'required|same:password', 
        ]);   
    if ($validator->fails()) {          
        return response()->json(['error'=>$validator->errors()], 401);
    }    
    $input = $request->all();  
    $input['password'] = bcrypt($input['password']);
    $user = User::create($input); 
    $success['token'] =  $user->createToken('Laravel Password Grant Client')->accessToken;
    return response()->json(['success'=>$success], $this->successStatus); 
} 

登录方式

 public function login(){ 
    if(Auth::attempt(['email' => request('email'), 'password' => request('password')])){ 
     $user = Auth::user(); 
     $success['token'] =  $user->createToken('Laravel Personal Access Client')->accessToken; 
     return response()->json(['success' => $success], $this->successStatus); 
 } else{ 
     return response()->json(['error'=>'Unauthorised- FOR -'.request('email').'---'.request('password')], 401); 
 } 
}

这两种方法仅在没有 refresh_token的情况下返回 access_token 并且（奇怪的是）我可以将此令牌与我的应用程序中的每个用户一起使用来进行身份验证，并且它提供来自auth:api的数据而没有任何错误，我想知道这个方法叫什么？ 因为它不像我在谷歌搜索 OAuth2.0 时发现的所有 Grant_types。

1. 我怎样才能让我的一些 api 路由只响应我的移动第一方应用程序（flutter：android&iOs）和一些第三方？
2. 如何检查用户令牌过期以及如何刷新它们？
3. 我可以从我的移动应用程序中使用client_id和client-secret key吗？在哪些情况下我们应该使用它们？
4. 以下 Oauth 表是什么意思？ oauth_access_tokens oauth_auth_codes, oauth_clients, oauth_personal_access_clients
5. How can I manage user session state logged in/logged out (conected/disconected) when a user connects with my mobile app (via api) or with my web frontend and how can I check and make other users know that that a certain user is连接/未连接（如果他与我的移动应用程序（vai api）连接）？
6. 是 ('App Name') 参数在以下代码中用作“Laravel Password Grant Client” $user->createToken('Laravel Password Grant Client')->accessToken; 意味着某事（例如意味着我们针对某个客户或什么？）或没有程序化？

我认为 OAuth2.0 是整个标准，需要更多时间来处理。