OAuth2原生桌面客户端是否应使用HTTPS回环重定向URI？如何实现？

规范冲突说明 #

两个IETF RFC不存在实质冲突，属于通用规则和特定场景补充的关系：

• RFC 6749（核心OAuth2授权框架）第3.1.2.1节的TLS要求有明确适用前提：重定向请求会导致敏感凭证通过开放网络传输，该规则针对的是重定向端点部署在公网服务器的常规场景
• RFC 8252（原生应用OAuth2规范）第8.3节是专门针对桌面/移动原生应用的补充规则：回环接口的HTTP请求完全在本地设备内部流转，不会经过公开网络，因此使用HTTP方案属于可接受的例外场景，不违反安全要求

另外RFC 8252推荐使用127.0.0.1这类回环IP字面量而非localhost，核心目的是避免应用误监听公网接口，本质是安全加固建议，而非强制要求。

厂商实现与规范不一致的原因 #

目前包括Amazon Cognito在内的很多授权服务器，没有针对原生应用回环场景做特殊规则适配，直接套用了公网场景的HTTPS强制要求，仅放开了http://localhost作为测试例外，属于厂商实现未完全对齐原生应用OAuth最佳实践的情况，并非对规范的理解有误。

落地实践方案 #

不需要强制使用HTTPS回环重定向URI #

公网CA（如Let's Encrypt）无法为127.0.0.1这类回环IP签发有效TLS证书，为localhost签发证书的流程也十分繁琐，使用自签证书还会触发浏览器安全告警，对实际安全收益没有任何提升，完全没有必要强行实现HTTPS回环端点。

适配Amazon Cognito的可行方案 #

如果必须使用Cognito作为授权服务器，可以继续使用http://localhost作为重定向URI，只需要在启动本地HTTP监听服务时，显式绑定到127.0.0.1/::1回环接口，不要绑定到0.0.0.0，就可以完全规避RFC提到的监听外部接口的风险，本质上符合安全要求，不存在实质合规问题。后续如果Cognito放开回环IP的HTTP白名单，再按照RFC推荐切换为http://127.0.0.1:{port}格式的重定向URI即可。

内容的提问来源于stack exchange，提问作者Rowan