身份服务器流。什么是正确的？

Question

我有一个与多个服务通信的网络和移动应用程序。我正在考虑使用身份服务器 4 进行身份验证和授权，但我一直在为移动应用程序选择正确的流程。在阅读和观看了一些视频后，我认为 Hybrid 更安全、更好，但考虑到移动用户是我们的应用程序用户并且我们没有使用任何外部提供商，因此对移动用户使用 Hybrid 流没有意义。

与我们的应用程序用户一起通过 OpenId 交互流程似乎对用户不太友好。

所以我不确定什么是适合移动流的正确、安全和长期存在的令牌流。

Answer 1

使用 PKCE 的混合流是移动应用程序的最佳实践。与在移动设备上运行的公共客户端相比，这为您提供了最安全的用户和客户端身份验证。

授权码也是可接受的，但使用 Hybrid，您会获得一个身份令牌，您可以在暴露秘密或验证码之前立即进行验证。

请参阅 RFC 8252 - OAuth 2.0 for Native Apps 了解最佳做法和深入解释。