无服务端桌面应用OAuth认证：回调URI如何设置？

通用可行的回调URI选项 #

• 自定义协议URI：比如 myapp://oauth/callback。这是桌面应用最常用的方案——给你的应用注册一个系统专属协议（类似https://、mailto:这类），认证服务器完成授权后跳转这个URI，系统会直接唤起你的应用，授权码或令牌就能直接传递过来。
• localhost端口URI：比如 http://localhost:12345/callback。应用启动时临时监听本地一个端口，认证服务器跳转后，本地应用直接捕获这个请求拿到凭证。这种方案不用注册系统协议，实现更快，而且凭证不会走公网，只在用户本地传输。
• OOB带外模式URI：urn:ietf:wg:oauth:2.0:oob。这种模式下，授权码会直接显示在认证页面上，需要用户手动复制到你的应用里。现在很多服务已经不太推荐这个方案，因为用户体验差，但如果前两种都用不了，这是个通用备选。

深层背景知识 #

OAuth 2.0最初是为Web应用设计的，回调URI的核心目的就是安全传递授权凭证——只有预先注册过的可信地址才能接收凭证，防止被第三方截获。

对于无服务端的桌面应用，这类属于OAuth里的「公共客户端」：没法安全存储客户端密钥（密钥存在本地容易被破解），所以通常用带PKCE的授权码流程来替代密钥验证。而回调URI的选择要平衡安全和易用性：

• 自定义协议：通过系统绑定，只有你的应用能处理这个URI，凭证不会泄露给其他程序，安全又流畅。
• localhost端口：利用本地回环地址，凭证全程在用户机器内部传输，不会经过外网，安全性有保障。有些服务支持动态端口，不用提前固定死端口号，灵活性更高。
• OOB模式：完全靠用户手动复制，安全全看用户操作，体验拉胯，所以逐渐被淘汰，但仍是通用的兜底方案。

不管选哪种URI，都必须在零售网站的开发者后台提前注册，否则认证服务器会拒绝跳转。另外别忘了启用PKCE流程，这是无服务端应用的核心安全补充——就算授权码被截获，攻击者也没法用它换取令牌。

内容的提问来源于stack exchange，提问作者Arthur Araujo