В обычном бусе применение должно быть такое же как и в остальном мире поидее) Допустим мы можем реализовать общение фронта с бэком битрикса через так называемые ajax контроллеры, где какую-то безопасность будет нести csrf фильтр.. но что если мы хотим чтобы те же апи методы юзались нашим мобильным приложением или чтобы наши клиенты могли в джсончиках какие-то сенситив данные получать? Нужно использовать access / refresh токены для идентификации и авторизации соответствующих действий, чтобы выдавать эти токены нужно регистрировать клиентов в системе битрикса, а клиентам отдавать authorize code по которому они смогут получить свой первый рефреш и аксес токены, вот как то для этого должно быть апи... Но в битриксе ничерта не понятно из документации, там нужно мышкой прям какие то приложения регистрировать, или использовать вебхуки? Вобщем я тоже ковырялся и нифига не понял, проще писать свои велосипеды но по канонам