内部移动应用与授权服务器应选用哪种OAuth2.0授权类型？

是否需要使用PKCE？ #

PKCE的核心作用是防范授权码拦截攻击，主要针对移动这类公开客户端在公共网络中的风险——毕竟移动应用没法安全存储客户端密钥，简单授权码流程容易被中间人截获授权码换取令牌。

但你的场景是完全内部网络，攻击面极小，授权码被拦截的概率几乎可以忽略。所以确实不需要强制用PKCE，你觉得两次调用多余的判断是合理的，内部环境下完全可以省去这部分额外开销。

替代方案推荐 #

结合你已经搭建的“用户输入用户名密码后重定向到授权服务器”的流程，给你两个适配的方案：

1. 无PKCE的基础授权码流程 #

直接简化授权码流程，去掉PKCE相关的code_challenge和code_verifier步骤：

• 移动应用携带client_id发起授权请求到授权服务器
• 用户在授权服务器完成身份验证后，服务器返回授权码给应用
• 应用携带授权码和client_id请求令牌（如果授权服务器对内部客户端有信任机制，甚至可以跳过客户端密钥校验；如果要加密钥，别硬编码在应用里，走内部配置渠道分发）

2. 资源所有者密码凭证流程（Password Grant） #

如果你的移动应用是内部完全可控、信任度极高的场景，且用户已经习惯输入用户名密码，这个流程更简洁：

• 应用直接收集用户的用户名和密码，加密后发送给授权服务器
• 服务器验证凭证后直接返回访问令牌（可选刷新令牌）

注意：这个方案只适合高度信任的内部场景，绝对不能用于外部公开应用；同时必须确保应用和服务器之间用HTTPS加密通信，防止密码泄露。

关键注意点 #

• 不管选哪种方案，内部通信也要强制用HTTPS，避免明文传输敏感数据
• 做好client_id的校验，防止未授权的内部应用接入授权服务器

内容的提问来源于stack exchange，提问作者uchiha Itachi