为什么Auth0验证太短？

Question

我试图将Auth0整合到我的web应用程序用户登录中。但是，我总是得到“无效的验证码格式。”。

我注意到 Auth0Lock 提供的验证码是 RRvIpXXXXXcpbWnw，而直接 GET 返回的验证码要大得多 www.facebook.com/dialog/oauth。

问题是：有了Auth0，我应该如何使用校验码来换取access_token。

Answer 1

看看-https://auth0.com/docs/protocols

根据您拥有的客户端的类型-带有服务器端/(可信客户端)或不可信或SPA的应用程序，您可以决定使用哪个流。

如果选择使用授权代码授予流。请使用代码和其他信息（如clientid和secret）从服务器端代码发布到oauth/tokenendpoint，以检索access_token和id_token（如果指定了作用域）。见下文：

发布 https://tenant.auth0.com/oauth/token

内容类型：application/x-wwww-form-urlencoded

client_id=CLIENT_ID

从响应中，您可以使用id_token调用您自己的受保护API，使用access_token调用auth0 API来获取配置文件数据等。

如果使用隐式流，则可以在对授权终结点的一次调用中获取access_token和id_token （jwt）。

客户端永远不会在隐式流中得到验证。