在 CVSS v3 中，“范围”指示应用程序中的漏洞是否影响资源超出其能力范围。它可以具有“已更改”或“未更改”的值。

我不完全了解范围何时更改。例如，在CVSS 示例中，XSS 的范围发生了变化，因为应用程序中的漏洞影响了用户的浏览器。但是使用 XSS，您仍然只能在应用程序上下文中运行 Javascript，这是应用程序最初可以做的事情。在我看来，这似乎不会影响超出其能力的资源。

并且示例 CSRF 漏洞的范围没有改变，尽管就像 XSS 一样，它会触发浏览器中的行为。

当范围改变或不变时是什么意思？

从文档中可以看出，当漏洞穿过授权机构时，范围会发生变化。什么是“授权机构”？