原生应用OAuth 2.0回环重定向URI规则与RFC规范适配问询

你的核心理解完全符合RFC6749和RFC8252的规范要求，这也是主流支持原生应用的OAuth2.0授权服务器的标准适配行为，不过有几个容易遗漏的细节需要补充：

• 回环地址仅支持标准IP格式：RFC8252明确规定回环重定向只能使用IPv4的127.0.0.1或者IPv6的[::1]，禁止使用localhost，避免因本地DNS解析异常将请求指向非回环地址引发安全风险。
• 路径与协议匹配要求严格：除端口可动态变化外，请求的redirect_uri的协议（回环场景必须为http，不需要https）、IP、路径必须和注册值完全一致，哪怕多一个末尾斜杠都属于匹配失败。
• 端口通配符注册为可选能力：RFC8252没有强制要求支持:*格式的通配符注册，更通用的兼容方案是允许客户端注册不带端口的回环URI，授权服务器做匹配时自动忽略请求redirect_uri中的端口字段即可，不需要额外的通配符规则。
• 额外的安全校验要求：回环端口例外仅适用于原生应用的授权请求，非原生应用的客户端、非回环的重定向URI仍必须严格遵循RFC6749的完全匹配规则，不能开放任何通配权限。

内容的提问来源于stack exchange，提问作者Andrew Wasielewski