无前端场景下使用REST API实现OAuth2授权码模式流程咨询

• 标准OAuth2.0 授权码（Authorization Code） 授权类型原生设计依赖浏览器跳转、用户登录授权的交互环节，无前端的纯后端定时任务直接通过REST API完全走通标准流程不可行，核心原因是授权服务方普遍会阻止非浏览器环境的自动登录授权请求，规避账号泄露风险。
• 若第三方资源服务仅支持授权码模式，可通过折中方案实现自动化，不需要每次执行任务都手动操作。

优先方案：申请更换更适配的授权模式 #

如果可和第三方资源服务提供方沟通，优先申请切换为以下两种无需用户交互的服务端专属授权模式：

• 客户端凭证模式（Client Credentials）：纯服务端交互，只需携带client_id、client_secret向授权接口请求即可直接获取access token，完全适配无前端的定时任务场景，示例请求逻辑如下：

  POST /oauth/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=client_credentials&client_id=你的客户端ID&client_secret=你的客户端密钥
  

• 刷新令牌（Refresh Token）长期复用方案：如果第三方不支持客户端凭证模式，可利用授权码模式返回的刷新令牌实现自动化，操作步骤：
  1. 首次手动通过浏览器走授权码流程，拿到access token的同时获取长期有效的refresh token（注意提前确认第三方refresh token的有效期，部分服务商支持永久有效或者有效期长达1~2年）
  2. 在cron任务中加密存储refresh token，每次任务运行时先调用刷新令牌接口获取新的access token，即可直接调用资源API，刷新请求逻辑如下：

  POST /oauth/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=refresh_token&refresh_token=你存储的有效刷新令牌&client_id=你的客户端ID&client_secret=你的客户端密钥
  

  3. 仅在refresh token过期时才需要重新手动走一次授权码流程，更新存储的refresh token即可。

折中方案：无其他授权模式可选的模拟交互方案 #

如果第三方仅支持授权码模式，且refresh token有效期极短无法复用，可采用无头浏览器模拟用户交互实现全自动化：

• 使用无头浏览器工具（如Puppeteer、Playwright）在定时任务运行时，自动模拟打开授权页面、输入账号密码、点击授权按钮的操作，抓取授权后跳转链接携带的授权码
• 后续用授权码换取access token的流程和手动流程完全一致，直接调用对应REST接口即可

注意：该方案需要存储授权账号的账号密码，且如果第三方有验证码、滑块等人机验证机制会失效，仅建议在内部非公开场景使用，同时需要遵守第三方服务的用户协议，避免触发反爬规则。

内容的提问来源于stack exchange，提问作者divya n