2. 授权码模式详解：工作流程与参与角色
授权码模式（Authorization Code Grant）是 OAuth 2.0 协议中安全性最高、应用最广泛的授权流程，尤其适用于后端有服务端参与的 Web 应用与移动应用。其核心设计理念是：授权码（Authorization Code）作为临时凭证，在客户端与授权服务器之间通过后端通道交换访问令牌（Access Token），从而避免令牌直接暴露在用户代理（浏览器）中。
2.1 四大参与角色
授权码模式严格定义了四个独立角色，每个角色在审计视角下都有明确的合规边界与责任域：
| 角色 | 英文名称 | 审计关注点 |
|---|---|---|
| 资源所有者 | Resource Owner | 身份真实性、授权意图的明确性（同意页面） |
| 客户端 | Client | client_id 与 client_secret 的保管、回调 URI 白名单 |
| 授权服务器 | Authorization Server | 授权码一次性、令牌颁发策略、scope 最小化 |
| 资源服务器 | Resource Server | 令牌有效性验证、权限范围（scope）的强制校验 |
审计提示：在合规审计中，客户端与授权服务器之间的后端通道（Back Channel）是检查重点。任何绕过授权码直接颁发令牌的流程，均属于高危违规项。
2.2 授权码模式完整工作流程
标准授权码模式包含以下 7 个核心步骤，其中步骤 1-3 发生在前端通道（浏览器），步骤 4-7 发生在后端通道（服务器间通信）：
- 发起授权请求：客户端将资源所有者（用户）重定向至授权服务器的授权端点（/authorize），携带参数：response_type=code、client_id、redirect_uri、scope、state。
- 用户认证与授权：授权服务器验证资源所有者身份，展示授权页面（同意/拒绝），用户确认授权范围。
- 返回授权码：授权服务器通过重定向将授权码（code）发送至客户端指定的 redirect_uri。授权码有效期极短（通常 1-5 分钟），且只能使用一次。
- 客户端请求令牌：客户端使用授权码，通过后端通道向授权服务器的令牌端点（/token）发起 POST 请求，携带：grant_type=authorization_code、code、redirect_uri、client_id、client_secret。
- 授权服务器验证并颁发令牌：授权服务器验证授权码、客户端身份、redirect_uri 一致性。验证通过后，返回 access_token 及可选的 refresh_token。
- 客户端访问资源：客户端使用 access_token 向资源服务器请求受保护资源。
- 资源服务器验证令牌：资源服务器验证 access_token 的有效性与 scope，返回资源数据。
关键合规约束：步骤 4 中的 client_secret 必须仅存储在客户端后端，不得暴露于浏览器或移动端二进制文件中。授权码在步骤 3 中通过前端通道传递，但令牌仅在步骤 5 的后端通道中传递，这是授权码模式安全性的基石。
2.3 授权码模式流程图
下图展示了授权码模式中四个角色之间的交互时序与通道划分：
2.4 授权码与令牌的生命周期对比
从审计视角看，授权码与访问令牌的生命周期管理是合规检查的核心指标：
| 属性 | 授权码（Authorization Code） | 访问令牌（Access Token） |
|---|---|---|
| 传递通道 | 前端通道（浏览器重定向） | 后端通道（服务器间通信） |
| 有效期 | 极短（1-5 分钟） | 中等（15 分钟 - 1 小时） |
| 使用次数 | 一次性（使用后立即失效） | 多次（有效期内可重复使用） |
| 泄露风险 | 低（有效期短 + 一次性） | 中（需配合刷新令牌轮换） |
| 审计证据 | 授权码颁发日志 + 使用日志 | 令牌颁发日志 + 资源访问日志 |
合规红线：授权码必须实现一次性使用与严格绑定 redirect_uri。审计中若发现授权码可重复使用或未校验 redirect_uri，直接判定为严重安全缺陷。此外，授权码交换令牌时，授权服务器必须验证 client_secret（公开客户端除外），否则存在令牌劫持风险。
2.5 授权码模式的安全优势与审计价值
授权码模式之所以成为 OAuth 2.0 中最受推荐的授权流程，其核心安全优势体现在以下三个维度：
- 令牌不经过浏览器：access_token 仅在后端通道中传递，避免了浏览器历史记录、Referer 头、中间人攻击等泄露途径。
- 授权码一次性：即使授权码在传输过程中被截获，攻击者也无法在短时间内完成令牌交换，且授权码使用后立即失效。
- 客户端身份认证：令牌交换阶段要求客户端提供 client_secret，确保只有合法的客户端才能获取令牌。
在权限审计实践中，授权码模式的日志链完整、角色边界清晰，为事后追溯与合规取证提供了天然的技术基础。审计人员应重点检查授权码的颁发日志、令牌交换日志以及资源访问日志之间的关联性，确保每一条访问令牌都有对应的授权码颁发记录，且授权码的使用时间与颁发时间在合理窗口内。