Что сервис авторизации возвращает в body успешного ответа?

Состав успешного ответа зависит от протокола и контракта: это могут быть токены и срок действия, сведения о пользователе либо только установка сессионного cookie. Универсального body нет.

В token-based API часто возвращают access token, тип токена и время жизни; refresh token выдаётся только при предусмотренном сценарии. В сессионном веб-приложении авторизация может оформляться через Set-Cookie и перенаправление, без токена в JSON. Не возвращают пароль, его хеш и внутренние секреты. Уточните, речь о входе по паролю, OAuth-обмене или проверке сессии: это разные операции с разными ответами.