OAuth2授权码模式下授权服务器是否允许通过POST请求调用redirect_uri？

嘿，这个问题问得挺务实的！我来给你拆解清楚～

首先，咱们得回到OAuth2的核心规范来看：在授权码模式的授权响应阶段（也就是授权服务器把授权码等参数传给客户端的redirect_uri这一步），规范默认推荐使用GET请求来传递参数，毕竟HTTP重定向本身天然就是GET行为，这也是绝大多数授权服务器这么做的原因。

不过，规范并没有完全禁止使用POST方法——这里有个关键前提：如果授权服务器要通过POST调用redirect_uri，需要客户端在发起授权请求时，通过response_mode参数明确指定form_post这个值。这种情况下，授权服务器就会以POST表单的形式把参数发送到redirect_uri，这是规范明确允许的扩展场景，主要用于解决URL参数长度限制，或者避免敏感参数出现在URL、浏览器历史记录里的安全需求。

那你遇到的Acuity Scheduling API用POST的情况，得分两种看：

• 如果它要求客户端在授权请求里指定了response_mode=form_post，那这完全符合规范要求；
• 如果它没要求这个参数，直接默认用POST调用redirect_uri，那这算是偏离了规范的默认行为，但严格来说不算“违反”——因为规范只是默认推荐GET，并没有强制要求必须用GET。不过这种实现可能会给客户端带来兼容性问题，毕竟大部分客户端都是按默认GET逻辑来开发的。

总的来说，POST调用redirect_uri是规范允许的，但需要满足特定参数约定；如果没有约定就直接用，只能算是服务商的自定义实现，不算严格意义上的违规。

备注：内容来源于stack exchange，提问作者George Eracleous