为何不应从浏览器调用AWS Cognito的/oauth2/token端点？

我们团队正在用AWS Cognito推进新项目的认证功能，采用OAuth2授权码流程。大家对Cognito文档中的一条条款存在不同解读：

/oauth2/token端点仅支持HTTPS POST。您的应用应直接向该端点发起请求，而非通过用户的浏览器。

我想知道：为什么不能从浏览器调用这个端点？我知道这么做存在风险，但不清楚具体缘由。

核心原因总结为保护敏感信息安全与遵循OAuth2流程设计，具体如下： #

• 客户端密钥会直接泄露：在授权码流程中，调用/oauth2/token时，机密客户端（比如后端服务）需要携带client_secret参数。浏览器中的前端代码完全透明，任何人都能通过开发者工具查看并获取这个密钥，一旦泄露，攻击者就能冒充你的应用获取用户令牌，直接威胁用户账号安全。
• 令牌易被窃取或劫持：即便是公开客户端（纯前端应用）无需client_secret，从浏览器发起请求的话，返回的access_token、id_token会出现在浏览器的网络日志中，还可能被页面中的恶意XSS脚本窃取。后端调用则能让令牌直接留在受信任的服务端环境，规避这类前端层面的风险。
• 契合OAuth2授权码流程的设计初衷：授权码流程的核心就是将"用户授权获取授权码"和"用授权码兑换令牌"拆分为两个环节——前者在浏览器中完成（需要用户交互），后者由后端处理，目的就是把敏感的令牌兑换环节放在可控、受信任的环境中，缩小安全暴露面。
• 避免额外的安全限制与风险：AWS Cognito的/oauth2/token端点默认不会为前端域名配置CORS规则，即便手动配置，浏览器的同源策略也会带来预请求、凭证携带等额外问题，反而增加了潜在的攻击点。

内容的提问来源于stack exchange，提问作者Bob Arezina