OAuth2.0授权码流中/token请求为何隐藏？谁发起该请求？

核心结论 #

向/realms/{realm-name}/protocol/openid-connect/token的请求是Auth.js在Next.js服务器端发起的，所以浏览器网络面板抓不到。

具体原因 #

• Auth.js针对Next.js的集成默认采用服务器端处理token交换逻辑：PKCE授权码流中，拿到授权码code后，交换token的步骤会放在Next.js的服务器端完成（比如通过Auth.js的API路由或者App Router的服务器组件），不会让前端浏览器发起这个请求。
• 浏览器网络面板只能捕获当前页面发起的前端请求，服务器端的请求是在Next.js服务内部发出的，不走浏览器的请求链路，自然不会出现在网络面板里。

验证方法 #

• 查看Next.js开发服务器的终端日志：开发模式下，Auth.js会输出服务器端发起的请求记录，能找到向Keycloak token端点的请求日志。
• 使用服务器端抓包工具：比如Wireshark或者服务器的网络监控工具，能捕获到Next.js服务器向Keycloak发起的token请求。

补充说明 #

如果是纯静态前端（非Next.js这类带服务器的框架）使用Auth.js，token交换请求会由前端浏览器发起，这时候就能在网络面板看到。但Next.js集成时服务器端处理是默认的安全最佳实践，避免在前端暴露敏感逻辑。

内容的提问来源于stack exchange，提问作者zceqa