⚡ 推荐使用 Authorization Code + PKCE
根据 OAuth 2.0 安全最佳实践(Security Best Current Practices) 2.1.1 章节[1]
授权码...PKCE 全称是 Proof Key for Code Exchange, 在 2015 年发布为 RFC 7636, 我们知道, 授权码模式虽好, 但是它不能给公开的客户端用, 因为公开的客户端没有能力保存好秘钥...(client_secret), 所以在此之前, 对于公开的客户端, 只能使用隐式模式和密码模式, PKCE 就是为了解决这个问题而出现的, 另外它也可以防范授权码拦截攻击, 实际上它的原理是客户端提供一个自创建的证明给授权服务器...规范草案中, 授权模式中已经找不到隐式授权(Implicit Grant), 我们知道, 隐式授权是 OAuth 2.0 中的授权模式, 是授权码模式的简化版本, 用户同意授权后, 直接就能返回访问令牌...回调地址(Redirect URI)应该精确匹配
根据 OAuth 2.0 安全最佳实践(Security Best Current Practices) 4.1.3 章节[6]
在 OAuth 2.0 的授权码流程中