oauth-2.0 - 为什么授权授予流程会跳过授权代码只返回访问 token ？

Question

我正在从 here 了解 O Auth 2|

我想知道在“授权服务器使用授权码将用户代理重定向到客户端”这一步中，为什么服务器不直接提供访问 token 呢？为什么要提供一个授权码然后​​用于获取访问 token ？为什么不直接提供访问 token 呢？是不是因为每个资源都有不同的access token，所以需要重新通过O Auth才能访问不同的资源？

Answer 1

授权代码可以通过不安全或有潜在风险的环境，例如基本 HTTP 连接(而非 HTTPS)或浏览器。但如果没有客户 secret ，它就毫无值(value)。客户端可以是后端应用程序。如果 OAuth2 服务器返回 token ，它可能会受到威胁。

还有另一个 OAuth2 流程 - Implicit flow ，它会在身份验证后立即返回一个访问 token ，但它主要是为 JavaScript 应用程序或其他可以安全使用它的部署而设计的。