我希望更好地理解隐式授权流和授权码授权流之间的区别,因为我不确定我的当前理解是否正确。
1. 隐式授权流主要由前端应用程序用于对用户进行身份验证吗? 2. 隐式授权流仅需要 client_id、用户名和密码进行身份验证,也就是说 client_secret 从未被发送过吗? 3. 授权码只是一个短期令牌吗? 4. 在将授权码交换为访问令牌后,客户端可以访问用户账户多长时间?具体来说,如果客户端是长时间运行的脚本,用户是否需要每次运行脚本时进行身份验证?还是我们可以假定在用户授权一次后,客户端有权限随时访问用户(除非用户撤销访问权限),因此只需要使用客户端凭证进行身份验证? 5. 使用授权码流相比隐式流的优势是什么? 6. 资源服务器自身需要一个客户端 ID 吗?
谢谢。
1. 隐式授权流主要由前端应用程序用于对用户进行身份验证吗? 2. 隐式授权流仅需要 client_id、用户名和密码进行身份验证,也就是说 client_secret 从未被发送过吗? 3. 授权码只是一个短期令牌吗? 4. 在将授权码交换为访问令牌后,客户端可以访问用户账户多长时间?具体来说,如果客户端是长时间运行的脚本,用户是否需要每次运行脚本时进行身份验证?还是我们可以假定在用户授权一次后,客户端有权限随时访问用户(除非用户撤销访问权限),因此只需要使用客户端凭证进行身份验证? 5. 使用授权码流相比隐式流的优势是什么? 6. 资源服务器自身需要一个客户端 ID 吗?
谢谢。