授权码（Authorization Code）流程：用户身份信息位置及服务器识别逻辑

你提到的典型获取授权码请求如下：

https://authorization-server.com/auth?response_type=code&client_id=2935291598237423985&redirect_uri=https%3A%2F%2Fexample-app.com%2Fcallback&scope=create+delete&state=xcoiv98y2kd22vusuye3kch

授权服务器（比如Google）主要通过以下方式确定用户身份：

• 依赖浏览器的会话Cookie：如果你之前已经登录过该授权服务器的账号（比如Google账号），浏览器会自动携带对应的会话Cookie。授权服务器通过这个Cookie里的会话标识，就能直接关联到你的用户信息，不需要在请求里额外传身份数据。
• 未登录时触发登录流程：如果当前没有有效登录会话，授权服务器会立刻重定向到自身的登录页面，要求你输入账号密码完成登录。登录成功后，服务器会在浏览器中设置新的会话Cookie，之后就能基于这个Cookie识别你的身份，继续处理授权请求，给应用颁发对应你的授权码。
• 这种设计的核心是把用户身份验证完全交给授权服务器处理，应用（比如Stack Overflow）全程不需要接触用户的账号密码，既符合OAuth2.0的安全规范，也避免了身份信息在请求中泄露的风险。

内容的提问来源于stack exchange，提问作者techie11