使用 OAuth2，我应该将身份验证代码或令牌从移动客户端发送到服务吗？

Question

所以我从移动客户端对 OAuth2 的理解是：

1. 移动客户端重定向页面以使用客户端 ID 获取用户身份验证
2. 资源持有者回复auth_code
3. auth_code 被替换为 access_token 和 refresh_token

在上述情况下，如果您有支持您的移动应用程序的网络服务，您将永久存储access_token 和refresh_token，这将允许您继续访问用户的数据，前提是他们没有' t 撤销了您的权限。

所以我的问题是：应该将auth_code 发送到服务，并在那里兑换代币吗？或者客户端应该交换auth_code，并将生成的令牌发送到服务？没关系，或者不同的实现可能不同？我假设客户端密码只存储在服务上，我的理解是需要将refresh_token 换成新的access_token，但我不确定auth_code。

Answer 1

使用授权码请求令牌时也需要客户端密码。

客户端可以直接请求令牌或将其委托给服务 - 没有硬性规定说您应该做一个或另一个。

我会说如果服务要使用令牌，可能委托给该服务最有意义 - 所以令牌留在那里。如果客户端要使用令牌，则两种方法都有效。