在混合流/授权中收到的两个 id/访问令牌（来自授权和令牌端点）有什么用？

Question

在混合流/授权中 -

    response_type = code token id_token

在这种情况下，客户端收到 id_token & access_token 2次：

1) 来自 /authorize 端点（连同代码）

2) 从 /token 端点（交换令牌代码）

我在几个网站上读到这些令牌，收到两次，可能并不总是相同。两次收到令牌有什么用？它们是如何使用的？仅仅从授权端点获取代码并与令牌端点交换令牌是否足够（即授权代码流）？

Answer 1

恐怕这不是一个被广泛理解或同意的规范的一部分。有人可能会争辩说，从反向渠道接收代币本质上更安全，因此与将它们放在前端渠道相比具有安全性和保证优势。我认为没有人提出过令人信服的用例，尽管也在 same 流程的前端通道中接收令牌。