oauth隐式授权与授权代码授权？

Question

我想更好地理解隐式授权流和授权代码授权流之间的区别，因为我不确定我目前的理解是否正确。

1. 隐式授权流主要由前端应用程序用于验证用户身份吗？
2. 隐式授权流是否只需要一个client_id、用户名和密码来进行身份验证，换句话说，永远不会发送client_secret？
3. 授权码只是一个短期令牌吗？
4. 将授权码交换为访问令牌后，客户端可以访问用户帐户多长时间？具体地说，如果客户端是一个长时间运行的脚本，那么用户是否需要在脚本每次运行时进行身份验证？或者，我们是否可以假设，在用户授权一次之后，客户机有权在需要时访问用户（除非用户撤销访问权限），因此，它只需要使用客户机凭据进行身份验证？
5. 与隐式流相比，使用授权代码流有什么好处？
6. 资源服务器自身是否需要客户端ID？

谢谢

Answer 1

虽然jwilleke回答了您的大部分问题，但我将回答您的具体问题，

1. 隐式流是为没有能力执行令牌请求的客户端设计的。摘自OAuth 2.0规范-4.2小节

隐式grant类型用于获取访问令牌（它不支持发布刷新令牌），并针对已知操作特定重定向URI的公共客户端进行了优化。这些客户机通常使用JavaScript等脚本语言在浏览器中实现。

它由公共客户端使用。他们没有客户的秘密。这是因为它们无法保护这样的秘密，因为它们是在浏览器上运行的。

授权代码的生存期可以是几秒钟（30秒）到几分钟（2分钟）。与其他代币相比，它们的寿命较短。

这取决于访问令牌的生存时间。如果有一个长时间运行的任务，并且令牌过期，则必须获得一个新的访问令牌进行授权。但是如果您的特定后端建立了一个会话，它的生存期可能会比访问令牌延长。

一个优点是刷新令牌。它可用于刷新访问令牌，而无需最终用户交互（新登录）。另外，根据OAuth server的实现，您可能会获得具有不同生存期的访问令牌。例如，authorization server可能会为隐式流发出短期访问令牌，因为它是由公共客户端使用的。

看情况.如果资源服务器需要从授权使用访问令牌的另一个资源服务器使用受保护的资源，那么您的资源服务器也需要客户端id并遵循特定的流程来获取令牌。但是如果它不在外部通信，您不必为它获得客户端id。