api - OAuth中授权码的目的是什么

Question

在 oauth 中，您使用客户端 ID/ secret 发出请求以获取授权代码。然后您发出第二个请求以交换访问 token 的授权代码。我的问题是:

为什么需要这两个步骤而不是首先获取访问 token ？它如何使整个过程更加安全？或者还有别的原因。

我说的是服务器端应用程序(例如 php)请求来自远程服务器的授权，而不是 javascript。

Answer 1

可以通过单个请求来完成它 - 它被称为 隐式流量然后。有一个带有 response_type 的请求设置为 token或 id_token token .

使用访问代码(授权流程)而不是直接返回 token 的一般想法是对最终用户隐藏它们。第二个请求通常由后端服务器而不是浏览器完成。

您可以在此处找到更多详细信息:https://auth0.com/docs/api-auth/which-oauth-flow-to-use

注意:有关完整答案，请阅读评论。