完成Google OAuth2授权后如何将JWT从Spring Boot后端发送到React前端？

以下方案均符合RFC 6750安全规范，规避了令牌直接暴露在URL、localStorage存储带来的安全风险，也完全符合当前OAuth 2.0弃用隐式流的要求：

方案1：同域部署优先采用HttpOnly Secure Cookie（首推） #

• 适用场景：React前端与Spring Boot后端部署在同一根域名下（例如前端为app.yourdomain.com、后端为api.yourdomain.com）
• 实现步骤：
  1. 服务端完成Google OAuth授权码交换、拿到JWT后，直接为浏览器设置Cookie，Cookie属性必须配置：HttpOnly（禁止JS读取，防XSS）、Secure（仅HTTPS传输）、SameSite=Lax/Strict（防CSRF）、绑定根域名与有效路径，同时设置和JWT一致的过期时间
  2. 服务端直接返回302响应，重定向到React前端的目标页面即可
  3. 后续前端发起接口请求时，浏览器会自动携带该Cookie，无需前端手动存储、传递JWT
• 优势：安全性最高，前端开发成本极低，完全符合安全规范

方案2：跨域部署采用一次性临时授权码兑换 #

• 适用场景：前后端完全跨域，无法共享Cookie的场景
• 实现步骤：
  1. 服务端完成Google OAuth流程拿到JWT后，生成一个有效期≤5分钟、仅可单次使用的临时授权码，将授权码与对应JWT绑定存入Redis等缓存
  2. 服务端将临时授权码作为查询参数拼接在React前端回调地址后，返回302重定向
  3. React前端加载后从URL中读取临时授权码，立即调用后端的令牌兑换接口，用临时授权码换取正式JWT，调用完成后立即清除URL中的授权码参数（避免留在历史记录中）
  4. 后端验证临时授权码有效后，返回JWT给前端，同时立即删除缓存中的授权码，防止重复使用
  5. 前端拿到JWT后优先存储在内存中（如果允许页面刷新后重新登录），其次可选择存储在加密的IndexedDB中，不推荐使用localStorage
• 安全说明：临时授权码不属于Bearer令牌，有效期极短且仅可使用一次，即使被第三方截取也无法滥用，符合安全要求

方案3：嵌入式脚本传递（仅特殊场景使用） #

• 适用场景：无法使用Cookie也不想新增兑换接口的小众场景
• 实现步骤：服务端不再返回302重定向，而是返回一个仅含自动执行脚本的极简HTML页面，脚本中将JWT直接注入前端的全局状态后，再通过JS跳转到对应的React路由，全程JWT不会出现在URL中，也不会被持久化到本地存储。

内容的提问来源于stack exchange，提问作者Django