如何从OAuth2授权码推断对应的令牌端点？

1. 使用state参数关联令牌端点（安全合规的首选方案） #

OAuth2规范中state参数的核心作用之一就是传递请求上下文，在防范CSRF攻击的同时，绑定授权请求与回调请求的关联关系。

具体实现方式：

• 发起授权请求前，生成随机CSRF字符串，将其与目标Epic实例的令牌端点URL绑定（比如存储在服务端会话中，state值使用会话ID；或者把随机串和令牌端点一起加密后作为state内容）。
• 回调接收授权码时，先验证返回的state与发起请求时的完全一致，再通过绑定关系取出对应的令牌端点。

这种方式是安全的：令牌端点URL属于Epic公开的实例配置信息，即使被拦截也不会泄露敏感数据；只要保证state包含不可预测的随机值，就能有效防范CSRF攻击，完全符合OAuth2的安全要求。

2. 预配置Epic实例端点映射 #

如果你的系统仅对接已知的几个Epic服务器，可以预先在配置文件中维护实例标识（比如实例域名、客户ID）与对应OAuth2端点（授权端点、令牌端点）的映射表：

• 发起授权请求时，在state中携带对应实例的标识ID。
• 回调时根据state中的标识ID，直接从配置表中取出对应的令牌端点。

这种方式适合对接范围固定的场景，能减少动态存储的成本。

3. 通过FHIR元数据端点动态获取 #

每个Epic FHIR实例的根URL都提供元数据接口（一般路径为{FHIR_BASE_URL}/metadata），返回的文档中会包含该实例的OAuth2令牌端点信息。如果你的系统能在授权请求阶段记录对应的Epic FHIR根URL，可在回调时：

1. 根据记录的FHIR根URL调用元数据接口。
2. 从返回结果的rest.security.service.coding或authorization.endpoint字段中提取令牌端点。

不过这种方式需要额外的网络请求，且依赖FHIR元数据的规范返回，更适合需要动态适配未知Epic实例的场景。

内容的提问来源于stack exchange，提问作者Dylan Klomparens