validateImplicitGrant - returns no refresh_token.