模式
| 模式 | 适用 | 要点 |
|---|---|---|
| 授权码+PKCE | Web/移动应用 | 不暴露客户端密钥，防拦截 |
| 客户端凭证 | 服务间调用 | 代表客户端自身，无用户上下文 |
| 设备码 | 输入受限设备 | 分设备与授权两步 |
| 隐式/密码 | 已不推荐 | 存在令牌泄露风险 |
OAuth 2.0 解决授权问题，认证问题由 OIDC 补充；区分两者可避免协议选型混用。
OAuth 2.0
授权框架：资源所有者授权客户端代表其访问资源；核心角色包括资源服务器、授权服务器与客户端；授权码模式配 PKCE 是交互式应用的推荐形态。
易错点
- 移动端内嵌客户端密钥，等同公开泄露
- 用密码模式替代授权码模式，账号风险转嫁给应用
数据来源与参考
- RFC 6749：OAuth 2.0
- RFC 7636：PKCE
- RFC 9700：OAuth 2.0 Security Best Current Practice