如何在OAuth身份验证中使用ACL

Question

假设我有2个不同的Web应用程序。 SMSGate和VideoSite。

在这两个网站上，我使用自己的OAuth服务器进行OAUTH身份验证（基于https://github.com/bshaffer/oauth2-server-php）

我有用户A和B，其中A可以访问这两个应用，B只能访问SMSGate。 我应该如何限制用户B访问VideoSite应用程序？

通过OAuth范围？或者在每个应用程序中使用ACL？

感谢回复。