IdentityServer4之Authorization Code(授权码)相对更安全

前言

接着授权模式聊，这次说说Authorization Code(授权码)模式，熟悉的微博接入、微信接入、QQ接入都是这种方式(这里说的是oauth2.0的授权码模式)，从用户体验上来看，交互方式和Implicit没啥改变，随便找个网站瞅瞅，如慕课网(很不错的学习网站)的登录流程，见下图：

 

 

但其实在代码流程上是不太一样的，接下来边撸(我说的是敲代码)边聊。

正文

Authorization Code(授权码)模式比Implicit多了一个授权码的流程，即用户认证成功之后，授权服务器不会马上返回AccessToken，而是先返回一个code(这里称为授权码)，然后客户端通过code再去获取Token，主要流程大概如下图：

 

 

流程说明：

1. 用户通过浏览器(User-Agent)访问第三方客户端(Client)；
2. 如果客户端需要进行认证授权，则将其重定向到认证服务器(Authorization server);
3. 用户(ResorceOwner)在认证服务器上进行认证；
4. 认证服务器(Authorization server)验证成功之后，返回code(授权码)；
5. 客户端带上cod