RequestPermissions APIを見ると、スコープは文字列でなければならないと書かれています。ただし、複数のスコープ (具体的には EXPRESS_CHECKOUT と REFUND) を指定する方法を見つけることができませんでした。コンマ区切り、セミコロン、さらには NVP リスト構文を使用しても機能しませんでした。CURL のサンプルをいただければ幸いです。
カンマ区切りの例...
curl -s --insecure -H
"X-PAYPAL-SECURITY-USERID: API_USERNAME"
-H "X-PAYPAL-SECURITY-PASSWORD: API_PASSWORD"
-H "X-PAYPAL-SECURITY-SIGNATURE: API_SIGNATURE"
-H "X-PAYPAL-REQUEST-DATA-FORMAT: NV"
-H "X-PAYPAL-RESPONSE-DATA-FORMAT: NV"
-H "X-PAYPAL-APPLICATION-ID: APP-80W284485P519543T"
https://svcs.sandbox.paypal.com/Permissions/RequestPermissions -d
"requestEnvelope.errorLanguage=en_US&scope=EXPRESS_CHECKOUT,REFUND&callback=http://my/callback"
そのリクエストを行うと、「値 EXPRESS_CHECKOUT、REFUND の無効なリクエスト パラメータ スコープ」が返されます。