Discord OAuth2中基础授权、令牌、令牌撤销三类URL链接的功能区别是什么？

三类链接的实际定位与核心作用 #

• 授权端点URL（基础授权环节链接）
  这是整个OAuth2流程里唯一需要普通用户参与的交互入口，链接拼好公开参数之后直接引导用户在浏览器打开即可。用户点开后会直接跳转到Discord官方的授权确认页，页面会清晰列明你的应用将要申请的具体权限（比如读取用户服务器列表、获取用户公开身份信息），只有用户主动点击“同意”，Discord才会带着一次性、短时效的临时授权码，跳转回你预先在开发者后台配置的应用回调地址。
  这个端点存在的核心意义是保障用户知情权，没有用户的主动确认，你就没有任何权限获取用户的Discord身份数据，完全规避“偷偷获取用户权限”的合规风险。
• 令牌端点URL（令牌环节链接）
  这是仅能由你的后端服务器调用的纯后台接口，绝对不能暴露给前端、更不能让普通用户接触。当你通过上一步的授权流程拿到Discord回传的临时授权码后，你的服务器会带着这个临时码、以及你在开发者后台存储的应用专属密钥，向这个URL发起请求，Discord验证完应用身份合法后，就会返回可长期使用的访问令牌、刷新令牌。
  这个端点本质是“正式通行证的兑换窗口”——上一步拿到的临时授权码没有任何调用Discord接口的权限，只是一张临时兑换券，通过这个窗口才能换到真正能用来调用各类Discord开放接口的有效凭证，整个兑换过程全程在服务器之间完成，用户完全无感知。
• 令牌撤销端点URL（令牌撤销环节链接）
  同样是仅能由后端服务器调用的纯后台接口，核心作用是主动作废已经发放给你的应用的各类令牌。当遇到用户主动申请解绑Discord账号、检测到存储的令牌存在泄露风险、或者计划下线某版本应用的场景时，你的服务器就会向这个URL发起请求，传入需要作废的令牌，Discord收到请求后会立刻让对应令牌彻底失效，后续任何人用这个失效令牌调用接口都会被直接拒绝。
  这个端点本质是“通行证的挂失注销窗口”——已经发放的凭证如果不再需要、或者存在被盗用的风险，就通过这个窗口彻底作废，把安全和合规风险降到最低。

三类链接的核心差异 #

• 调用主体完全不同：授权端点是前端浏览器发起、用户全程可见的交互流程；令牌端点、撤销端点是你的后端服务器静默发起的后台流程，用户全程感知不到。
• 安全要求天差地别：授权端点传输的都是公开参数，就算被第三方截胡也不会引发安全问题；但令牌端点、撤销端点的请求必须携带应用专属密钥，一旦泄露，恶意用户就能直接兑换用户的身份令牌、甚至破坏你正常的凭证流程，因此这两个接口必须严格在服务器侧调用，绝对不能嵌入前端代码、公开页面。
• 流程定位环环相扣但目标相反：授权端点是整个OAuth2流程的起点，核心目标是拿到用户的主动授权许可；令牌端点是流程的中间兑换环节，核心目标是把临时的授权许可换成可落地使用的接口调用凭证；撤销端点是流程的收尾环节，核心目标是主动将已经发放的凭证作废。

开发Discord配套OAuth2应用的实际适用场景 #

• 需要实现“绑定Discord账号解锁应用功能”时（比如为绑定用户在关联Discord服务器分配专属角色、根据用户的服务器归属做bot功能的权限校验），就将拼好参数的授权端点链接放到引导页，引导用户点击完成授权流程。
• 拿到用户回传的临时授权码后，立刻通过服务端调用令牌端点兑换长期有效凭证，存储到你的数据库中，后续需要拉取用户公开信息、给用户发送应用通知类的私信、帮用户在关联服务器自动配置角色时，就用这个存储的令牌完成接口鉴权。
• 遇到用户主动解绑账号、令牌泄露告警、应用版本全量下线的情况时，就调用撤销端点批量作废对应存储的令牌，彻底规避未授权访问的风险。

内容的提问来源于stack exchange，提问作者PerplexingParadox