在授权代码授予工作流程中，应提出什么请求以交换令牌代码？

Question

我正在尝试在我的后端 (BE) 应用程序中设置 Pac4j，为了配置我的 Angular 前端 (FE)，我需要了解它预期的工作流程以便正确配置后端。

我一直在阅读大量文档并浏览 Pac4j 源代码，以了解如何在不暴露客户端密码的情况下从代码中获取令牌。

所以...

1. 我尝试登录 FE->BE（无身份验证）
2. 我收到了 401
3. 我从 401 获取“位置”（Google auth uri）并重定向到它，提供回调 uri
4. 我登录 Google
5. 我被重定向回带有代码的回调 uri
6. （我向 BE 提出什么请求才能取回令牌？即不需要 client_secret 的令牌 URI 在哪里）
7. 我使用检索到的令牌通过 BE 正常访问和继续

Answer 1

如果你不想使用client_secret，那么你需要公共客户端。我不确定 Google 是否支持公共客户端。

恕我直言，更好的方法将是 FE 中的隐式流。它将生成访问令牌，用于 BE api 调用。