G>Ответ в стандарте — если клиент получает 400, то он не должен пытаться повторить запрос с теми же параметрами.
G>Это означает, что 400 нельзя кидать для ситуаций, которые могут меняться со временем и для любых rntime эксепшенов.

В стандарте одно, а в жизни другое. Например: https://github.com/IdentityServer/IdentityServer4/blob/5bcc2abbcf6c47200c4eb3b77e756f1bc0e04358/src/IdentityServer4/src/Endpoints/Results/TokenErrorResult.cs#L29
И не только тут такое практикуется.