oauth-2.0 - OIDC：代码流和隐式流中的url差异

Question

我是新手OIDC。我指的是要在我的应用程序 中使用的视频。OIDC

查看代码流（响应类型：代码）和隐式流（响应类型：Id_token）的 URL，我注意到一些奇怪的东西，在重定向 URL code中提供为query parameter（后跟?）但id_token后跟#. 同样的事情也发生在我的应用程序中。为什么id_token也不作为query parameter. 我用谷歌搜索但没有找到任何答案。

代码流网址：

隐式流网址：

（视频参考：39:03 , 53:35）

标签： oauth-2.0openid-connectimplicit-flow

Answer 1

不推荐使用隐式流并将令牌直接返回给浏览器。它在 Web 服务器不包含在其日志文件中的（客户端）哈希片段上执行此操作。

当单页应用程序是新的并且授权服务器不支持 CORS 时，这曾经是解决方案。

这些天授权代码流是标准的，我会把你所有的精力都集中在这上面。在此模型中，授权代码在查询参数中返回，但是：

• 它是一次性使用，因此即使包含在服务器日志中，通常也无法被利用
• 它通常还需要客户端密码才能将其交换为令牌

如今，代码流还应该使用PKCE，它可以与客户端密码结合使用。