OAuth OpenID授权码模式下code兑换access token相关问题咨询

Q1：后续步骤是什么？应该将code发送到后端发起令牌请求，还是直接从浏览器调用OAuth服务提供者接口？ #

• 正确的操作是必须将code发送到自己的应用后端，由后端发起令牌请求，绝对禁止直接从浏览器调用OAuth服务提供者的令牌接口。
• 完整的后续流程如下：
  1. 前端拿到OAuth服务提供者返回的code和state参数后，首先校验state值和发起授权请求时本地存储的state是否一致，防止CSRF攻击。
  2. 前端将校验通过的code传输到自身应用的后端服务。
  3. 后端携带code、client_id、client_secret、redirect_uri参数，调用OAuth服务提供者的令牌接口，换取access_token、id_token（OpenID Connect场景）、refresh_token等凭证。

Q2：为什么需要这一额外调用步骤？它解决了什么问题？ #

这一步是授权码模式安全性的核心设计，主要解决三类安全风险：

• 避免机密凭证泄露：令牌接口请求需要携带client_secret，这是应用在OAuth服务端注册的核心机密，只能存储在后端，一旦暴露到前端会导致应用身份被伪造。
• 降低令牌泄露风险：如果直接在前端返回令牌，浏览器历史记录、访问日志、页面恶意脚本都可以轻易窃取到长期有效的access_token，而授权码是一次性凭证，有效期通常只有几秒到几分钟，就算泄露也无法被滥用。
• 确保请求可信：OAuth服务提供者的令牌接口默认不开放跨域访问，从机制上禁止前端直接调用，确保只有经过认证的可信后端服务才能拿到令牌。

Q3：典型的Web应用中，拿到令牌后应该如何使用？ #

• 首先用access_token调用OAuth服务提供者的用户信息接口，获取用户授权的公开信息（如OpenID、昵称、头像等），完成自身应用的账号登录、绑定逻辑。
• 不要直接将OAuth服务返回的access_token、refresh_token返回给前端，而是生成应用自身的会话凭证（如Session ID、自定义JWT）返回给前端，后续前端请求携带自身应用的会话凭证即可。
• refresh_token需加密存储在后端，用于access_token过期时，无需用户重新授权即可直接换取新的access_token，延长授权有效期。
• 所有令牌都需要设置合理的有效期，使用完毕或用户登出时及时销毁，避免不必要的安全风险。

内容的提问来源于stack exchange，提问作者XnivaXhzne