当只有授权码可用时实施其他授权

Question

我正在创建 Web 和移动应用程序，通过桌面应用程序公开可用的 API 重新实现现有桌面应用程序。此 API 仅提供用于身份验证的授权代码授予路径，这需要我：

1. 以某种方式将客户端密码安全地存储在应用程序中
2. 在我的网络服务器中实现 PKCE 和隐式身份验证端点作为 API 的传递
3. 拥有我自己的身份验证系统（通过 auth0 或等效项），然后用户将其链接到他们的 API 帐户

2 是可能的，还是 3 是我唯一真正的选择？

Answer 1

是的，2 是可能的，而且比我想象的要简单得多。在以下示例中，Client 是 Web 或移动应用程序，Server 是您的服务器，而 API 是您尝试访问的 API支持验证码

网页版（隐式）：

1. 客户端向服务器发送标准的隐式请求
2. 服务器解析此请求，然后将其重组为 Auth Code 请求并转发给 API
3. API 验证用户登录，并将验证码发送到服务器
4. 服务器将验证码发送回 API
5. API 返回访问令牌并刷新
6. 服务器只向客户端返回访问令牌

对于移动设备 (PKCE)：

1. 客户端向服务器发送标准 PKCE 请求
2. 服务器解析此请求，然后将其重组为 Auth Code 请求并转发给 API
3. API 验证用户登录，并将验证码发送到服务器
4. 服务器向客户端发送验证码
5. 客户端向客户端发送验证码和验证器
6. 服务器验证将 Auth Code 发送回 API
7. API 返回访问令牌并刷新