在 OAuth2 中混合授权代码和隐式授权类型

Question

我对以下涉及 OAuth2 的流程有一些疑问：

webapp1.xyz.com 是一个注册客户端，授权码授权类型，当前流程如下：

1. 用户登录并使用授权码重定向到 webapp1.xyz.com
2. webapp1.xyz.com 交换访问令牌的授权码并将其存储到会话中
3. webapp1.xyz.com 服务器端需要通过传递访问令牌来调用 webapp2.xyz.com api
4. webapp1.xyz.com 有 SPA，其中 ajax 调用 webapp1.xyz.com api 端点（在请求中传递会话 cookie）
5. 用户退出，会话被破坏

有人建议使用（隐式授予）访问令牌而不是会话 cookie 进行 ajax 调用。这甚至可能混合授权代码和隐式授权类型吗？也许我在混合一些东西，我看不出为什么要为 ajax 部分使用隐式授权类型。

Answer 1

这甚至可能混合授权代码和隐式授权吗 输入？

问题更多的是您在谈论两个应用程序的一个令牌。或者更确切地说，webapp1 既是 OAuth 客户端（调用 Web API - webapi2 的网站）又是 OAuth 资源（SPA 可以使用隐式授权调用的 Web API）。

所以：SPA javascript > webapp1.xyz.com 应用程序 > webapp2.xyz.com 应用程序。

在 Oauth2.0 术语中，您的 SPA 客户端应用程序将是客户端，而 webapp1 和 webapp2 将是资源。理想情况下，客户端将使用隐式授权来获取访问令牌，因为这是公共 JavaScript 客户端的优化流程。

如果可能，也许看看混合流 - OAuth2 和 OpenID Connect - 而不是授权代码流。

使用混合流，webapp1 将像当前一样获得一个令牌，但它也会获得一个 ID 令牌，它可以将其传递回 SPA。

ID 令牌旨在供客户端用于身份验证 - 此 ID 令牌可以执行会话 cookie 所做的相同工作（即 SPA 和 SPA 后端之间的身份验证）。并且访问令牌将安全地存储在远离 SPA 的 webapp1 服务器上。