OAuth2.0:为什么需要“授权代码”而只有令牌？

Question

我的问题是：为什么这是流动？我想是出于安全原因，但我想不通。为什么实现是这样的，而不是在第一次调用（“/authorize”）之后立即获得访问令牌？

我们为什么需要这个代码？

Answer 1

授权代码流适用于涉及3方的场景。

这些缔约方是：

>

客户端

希望从提供程序访问有关用户的信息。

现在，您的应用程序对用户（将其浏览器重定向到/authorizeendpoint）说：

嘿，用户，这是我的客户ID。请与提供商交谈，并允许他直接与我交谈。

嘿供应商，我想使用这个应用程序，所以他们要求访问我的数据。给我一些代码，我把这些代码给应用程序。

现在，您的应用程序已经有了授权代码，客户机和提供商已经知道了这一点。通过将这些数据交给提供商，您的应用程序现在可以证明，客户机允许它访问他的数据。提供商现在向您的（web）应用程序发放一个访问令牌，这样您的（web）应用程序就不必每次都重做这些步骤（至少在一段时间内）。

在其他应用程序类型中，您的应用程序直接在客户端运行（例如iPhone/Android应用程序或Javascript客户端），中间步骤是多余的。