google +登录按钮如何将令牌传递给客户端？

Question

客户端上的大多数oauth2实现都需要某种重定向，您可以将用户重定向到登录页面，登录页面在成功登录和授权时，通过查询字符串或哈希片段中的令牌重定向到您的站点。但google +登录按钮是如何工作的，它不会重定向你。我知道你可以在一个窗口内做到这一点，并有一个窗口接收令牌报告回到它的父窗口，但在这种情况下，登录按钮将不得不控制消费者的域上的一页，这afaik，它没有。

Answer 1

您可以将外部JavaScript加载到您的域，它有权访问该页面。与从CDN加载类似jQuery的东西没有太大区别。

JavaScript能够使用启动的授权窗口并从该窗口检索授权对象，然后客户端库在客户端设置和使用令牌。如果您需要服务器端令牌，则需要执行one-time-code flow，这比通过重定向的典型OAuth服务器端流更安全。