使用OAuth客户端凭证请求用户资源访问令牌的方案安全性问询

现有流程背景 #

我们的服务目前采用OAuth授权码流程，通过颁发刷新令牌，让第三方应用能在无用户参与时（服务器到服务器）访问用户资源。流程运行正常，但第三方开发者实现难度较高：需要处理所有重定向逻辑，还要安全存储大量用户刷新令牌。

提出的替代方案 #

为降低开发者门槛，我们设计了一套替代流程，具体步骤如下：

• 用户同意安装应用后，授权服务器存储该用户已授予应用特定权限的记录
• UI重定向至应用指定URL，应用可引导用户完成自身平台的登录或注册，无需存储刷新令牌
• 应用需自行记录自身平台用户账户与我方用户账户的关联关系
• 应用发起服务器到服务器请求时，通过客户端凭证完成自身认证，申请针对特定用户资源的短期访问令牌（作用等效于原流程中用刷新令牌换访问令牌）
• 授权服务器核查已存储的权限记录后，决定是否发放访问令牌
• 客户端使用获取到的访问令牌调用资源服务器，这一步与现有流程一致

该方案的优势是免除了客户端管理刷新令牌、处理OAuth重定向的需求，且因权限同意记录存储在授权服务器，令牌撤销操作更便捷。

核心疑问 #

请问这套替代方案是否存在未察觉的安全隐患或设计疏漏？是否有足够的理由不采用该方案？

注：此前有类似问题，但针对的是内部超级权限应用。

内容的提问来源于stack exchange，提问作者danbars