OAuth 2.0

四种授权流程

OAuth 2.0 定义了多种授权模式，应对不同场景：

• 授权码流程（Authorization Code）：最安全，适合有服务端的 Web 应用。用户在认证服务器登录后，得到一次性授权码，服务端用授权码换 Access Token，Token 不经过浏览器。
• PKCE 扩展（RFC 7636）：为移动 App 和单页应用设计，防止授权码被中间人截获。2019 年起已成为标准推荐流程，逐渐取代已废弃的隐式流程（Implicit Flow）。
• 客户端凭证流程：机器对机器，没有用户介入，服务用自己的 client_id/secret 换 Token，适合后台 API 调用。

OAuth 2.0 不是身份认证

这是最常见的误解。OAuth 2.0 解决的是授权问题（这个应用能访问我的哪些资源），不是身份认证问题（这个用户是谁）。Access Token 只告诉资源服务器「这个请求被授权了」，不直接告诉谁在请求。

OpenID Connect（OIDC）在 OAuth 2.0 之上加了身份层，引入 ID Token（一个 JWT），包含用户的身份信息（sub、email 等），这才是「用 Google 登录」的完整实现。Google、Apple、微信等平台的登录 SDK 本质上都是 OIDC。很多开发者直接叫「OAuth 登录」，实际上用的是 OIDC。