暴露客户端密钥的授权码流是否比隐式流更易受攻击？

网站A（暴露客户端密钥的授权码流）确实比网站B（隐式流）更脆弱，具体原因如下：

• 多了一层令牌被窃取的风险环节：授权码流的流程是用户授权后先返回授权码，再由客户端用授权码加密钥去换访问令牌。一旦密钥暴露，攻击者只要截到用户的授权码，就能冒充你的应用去Jira换令牌；而隐式流是授权服务器直接把令牌返回给浏览器，不存在这个“用码换令牌”的可被冒充环节，攻击者只能直接拦截浏览器里的令牌，风险场景更少。
• 客户端身份彻底失去验证意义：授权码流本来靠客户端密钥证明应用的合法性，密钥暴露后，任何人都能伪造你的应用发起授权请求，甚至诱导用户授权后拿到用户的Jira数据；隐式流本身就不依赖密钥做身份验证，不存在这种“被冒充客户端”的额外风险。
• 刷新令牌的滥用风险被放大：如果Jira支持刷新令牌，授权码流里要用密钥加刷新令牌换全新的访问令牌。密钥暴露后，攻击者只要拿到一次刷新令牌，就能长期持续获取新令牌，对用户数据的威胁时间会拉得很长；而隐式流一般不返回刷新令牌，就算有，安全性也有限，不会有这种长期滥用的问题。

内容的提问来源于stack exchange，提问作者Martin Jaskulla