OAuth 2.0：用户代理（客户端）可以避免转发片段吗？

Question

在 OAuth 2.0 草案规范中，用户代理客户端通过重定向（从身份验证服务器）到 URL 以不记名令牌的形式接收授权，例如

HTTP/1.1 302 Found
Location: http://example.com/rd#access_token=FJQbwq9&expires_in=3600

根据Section 3.5.2，获取相关 URL 是用户代理的工作，但是“用户代理不应在请求中包含片段组件。”换句话说，由于上面的示例重定向，用户代理应该

 GET /rd HTTP/1.1
 Host: example.com

不将#access_token 传递给服务器。

我的问题：哪些用户代理有这种行为？例如，我认为 Firefox 中的重定向会（从逻辑上）将片段包含在 GET 请求中。是我错了，还是 OAuth 2.0 规范依赖于非标准的用户代理行为？

Answer 1

事实上，Firefox 和其他浏览器默认情况下都是这样的。浏览器使用 URL 中 # 之后的片段来确定要显示页面的哪个部分；它们不会作为 GET 请求的一部分发送到服务器。