add password_token to OAuth