能否在不使用浏览器的情况下，通过OIDC实现原生应用的用户认证？

答案是可以，但需要选择特定的OIDC授权流程，同时要权衡安全性与使用场景：

1. 资源所有者密码凭证流（不推荐） #

这种模式下，用户直接在原生应用内输入账号密码，应用将凭证发送给OIDC身份提供商（IDP），直接换取访问令牌与ID令牌。

• 优点：完全不需要浏览器，用户全程在应用内操作。
• 缺点：严重违反OIDC最佳实践，原生应用可能被逆向破解，导致用户密码泄露；仅适用于高度可信的内部专属应用，绝不建议面向公开用户使用。

2. 设备授权流（推荐的无浏览器方案） #

这是OIDC专为无浏览器/输入受限设备设计的流程：

1. 原生应用向IDP请求设备码与用户验证URL、验证码；
2. 应用在界面上展示URL和验证码，提示用户用其他设备（如手机）的浏览器访问该URL并输入验证码；
3. 用户完成认证后，原生应用通过轮询IDP获取访问令牌与ID令牌。

• 优点：原生应用本身无需打开浏览器，用户不用离开当前应用界面，安全性远高于密码流；
• 适用场景：智能电视、IoT设备、无浏览器的桌面原生应用等。

注意事项 #

OIDC官方最推荐的原生应用认证方式是授权码流+PKCE，该流程需要调用系统浏览器（而非嵌入WebView），利用系统浏览器的安全特性（如密码管理器、防钓鱼保护）降低风险。如果不是特殊场景，优先选择这种标准方案。

内容的提问来源于stack exchange，提问作者error13660