获取access token是否必须使用Link？能否仅通过后端实现？

不是必须依赖前端Link，具体取决于你采用的身份验证协议和业务场景：

• 客户端凭证流（OAuth 2.0）：完全可在后端完成。后端直接向认证服务器发起请求，传入客户端ID、密钥等验证信息即可获取access token，无需任何前端交互。这种流程适合服务对服务的场景，非常匹配你“少量内部账号/服务账号”的需求。
• 密码授权流（OAuth 2.0，不推荐）：可通过后端收集少量固定账号的用户名和密码，直接向认证服务器请求token，不需要前端Link。但此流程会让后端接触用户明文密码，存在安全风险，仅适合完全可控的内部封闭场景。
• 授权码流（OAuth 2.0）：这是通用的安全流程，常规流程需要前端跳转至认证服务器的授权页面（即你提到的Link）。如果你的少量账号是固定内部账号，理论上可通过后端模拟浏览器请求完成授权跳转，但这种方式可能违反认证服务的使用条款，且后续维护成本高，不建议采用。

如果你的场景不依赖标准OAuth协议，比如使用自定义token机制或API密钥，那完全可以在后端直接生成或获取token，和前端Link毫无关系。

综上，针对你“少量账号、无需前端Link”的需求，优先推荐使用客户端凭证流，全程后端处理即可。

内容的提问来源于stack exchange，提问作者Vyshnia