使用OAuth2，我应该从移动客户端向服务发送授权码还是令牌？

Question

所以我来自移动客户端的OAuth2的理解是：

1. 移动客户端重定向页面上，使用客户端ID
2. 资源持有者响应回来了，还auth_code
3. auth_code一个access_token和交换来获得用户身份验证refresh_token

如上所述，如果您的网络服务支持您的移动应用程序，您将永久存储access_token和refresh_token，这将允许您继续访问用户的数据，只要他们没有撤销您的权限。

所以我的问题是：auth_code应该发送到服务，并在那里交换的令牌？或者客户应该交换auth_code，并将结果令牌发送给服务？它不重要，或者对于不同的实现可能不同？我假设客户秘密只存储在服务上，我的理解是需要将refresh_token换成新的access_token，但我不确定auth_code。

Answer 1

使用授权码请求令牌时也需要客户端机密。

客户端可以直接请求令牌或将其委托给服务 - 并没有一条硬性规则和快速规则说你应该这样或那样做。

我会说如果服务将使用令牌可能委托给服务是最有意义的 - 所以令牌留在那里。如果客户要使用令牌，这两种方法都是有效的。