为什么授权授予流程跳过授权代码只返回访问令牌？

Question

我正在从这里学习 O Auth 2

我想知道在“授权服务器使用授权代码将用户代理重定向到客户端”步骤中，为什么服务器不只提供访问令牌？为什么要提供授权码然后​​用于获取访问令牌？为什么不直接提供访问令牌呢？是不是因为每个资源都有不同的访问令牌，需要再次通过O Auth才能访问不同的资源？

Answer 1

授权授予代码可以通过不安全或有潜在风险的环境，例如基本 HTTP 连接（不是 HTTPS）或浏览器。但如果没有客户秘密，它就毫无价值。客户端可以是后端应用程序。如果 OAuth2 服务器返回令牌，它可能会受到损害。

还有另一个 OAuth2 流 -隐式流，它在身份验证后立即返回访问令牌，但它主要是为 JavaScript 应用程序或其他可以安全使用它的部署而设计的。