oauth - OAuth2 中隐式授权相对于授权码授权的优势是什么

Question

OAuth2 中隐式授权相对于授权码授权的优势是什么？

具体来说，我想知道为什么建议公共(public)客户使用隐式授权，但不建议授权代码授权。它们看起来如此相似，以至于差异并不重要。

Answer 1

授权码步骤的好处如下(来自 OAuth 2.0 spec 1.3.1):

The authorization code provides a few important security benefits suchas the ability to authenticate the client, and the transmission of theaccess token directly to the client without passing it through theresource owner's user-agent, potentially exposing it to others,including the resource owner.

通常，如果您的客户端是服务器端(Web 应用程序) - 您应该使用授权码授予。如果它是基于 JavaScript 的应用程序(客户端)- 隐式是合适的。对于移动应用程序，如果使用外部浏览器(非嵌入式)，通常首选授权代码授予类型。
客户端 secret 只适用于服务器端应用程序，因为客户端 secret 需要嵌入到软件中 - 和 thus only secret for so long (可以逆向工程)。