3. OAuth2.0 授权模式总览：授权码模式、隐式模式、密码模式、客户端凭证模式、设备码模式
OAuth2.0 协议定义了多种授权模式（Grant Types），以适应不同客户端类型（如 Web 应用、移动应用、后端服务、无浏览器设备）的安全需求。在支付订单系统中，选择错误的模式可能导致令牌泄露或权限滥用。本节将系统梳理五种核心模式，并分析其在支付场景中的适用性。
3.1 五种授权模式概览
| 授权模式 | 典型客户端 | 是否涉及用户凭证 | 令牌直接暴露风险 | 支付场景适用性 |
|---|---|---|---|---|
| 授权码模式 | Web 后端应用、移动 App | 否（通过授权码交换） | 低（令牌经后端获取） | ✅ 推荐（用户支付授权） |
| 隐式模式 | 纯前端 SPA（已不推荐） | 否 | 高（令牌在 URL 片段） | ❌ 不推荐（安全风险高） |
| 密码模式 | 受信任的第一方应用 | 是（用户名+密码） | 中（客户端持有密码） | ⚠️ 谨慎（仅限内部系统） |
| 客户端凭证模式 | 后端服务、定时任务 | 否（使用客户端密钥） | 低（服务间通信） | ✅ 推荐（订单对账、退款） |
| 设备码模式 | 智能电视、IoT 设备 | 否（用户通过浏览器授权） | 低（设备无令牌） | ✅ 适用（扫码支付场景） |
支付安全原则：在支付订单系统中，授权码模式和客户端凭证模式是首选。前者用于需要用户确认支付的场景，后者用于服务端自动化的订单处理与对账。
3.2 授权码模式（Authorization Code Grant）
授权码模式是 OAuth2.0 中最完整、最安全的模式。它通过一个临时的“授权码”作为中间凭证，避免访问令牌直接暴露在用户代理（浏览器）中。支付网关的用户授权支付流程通常采用此模式。
3.3 隐式模式（Implicit Grant）
隐式模式是授权码模式的简化版，直接返回访问令牌，省略了授权码交换步骤。该模式已被 OAuth2.1 草案标记为不推荐，因为令牌暴露在 URL 片段中，容易通过浏览器历史记录、Referer 头等泄露。支付系统应避免使用此模式。
安全警告：隐式模式不支持 Refresh Token，且无法对客户端进行身份验证。在支付订单系统中，任何涉及资金操作的接口都不应使用隐式模式获取的令牌。
3.4 密码模式（Resource Owner Password Credentials Grant）
密码模式允许客户端直接使用用户的用户名和密码换取令牌。这种模式要求客户端高度可信，通常仅用于同一生态内的第一方应用。在支付系统中，如果必须使用（如内部运营后台），应配合强密码策略和短令牌有效期。
// 密码模式令牌请求示例（仅限内部受信网络）
POST /oauth/token HTTP/1.1
Host: auth.pay.example.com
Content-Type: application/x-www-form-urlencoded
grant_type=password
&username=ops_user_01
&password=encrypted_pwd_base64
&scope=order:read+order:refund
&client_id=internal_ops_client
&client_secret=ops_secret_key3.5 客户端凭证模式（Client Credentials Grant）
客户端凭证模式用于服务端之间的通信，不涉及用户资源。客户端使用自己的 client_id 和 client_secret 直接获取令牌。在支付订单系统中，此模式广泛用于订单对账、退款处理、商户结算等后台自动化任务。
3.6 设备码模式（Device Authorization Grant）
设备码模式专为无浏览器或输入受限的设备设计（如智能收银机、扫码枪、IoT 支付终端）。设备获取一个“用户码”和“设备码”，用户通过另一台设备的浏览器输入用户码完成授权。在支付场景中，可用于线下扫码支付、大屏点餐等。
支付场景示例：用户在自助收银机上选择支付方式，屏幕显示一个短码和二维码。用户用手机扫描二维码，在手机浏览器上确认支付。收银机通过轮询授权服务器获取支付授权令牌，完成扣款。
3.7 模式选择决策树
在支付订单系统设计时，可参考以下决策逻辑快速确定授权模式：
- 是否有用户参与？
- 是 → 客户端是否有后端服务器？ → 是：授权码模式；否（纯前端）：考虑使用授权码模式 + PKCE
- 否 → 是否为服务间调用？ → 是：客户端凭证模式
- 客户端是否受信任？
- 是（第一方内部应用）→ 可考虑密码模式，但需严格审计
- 否（第三方应用）→ 必须使用授权码模式
- 设备是否具备浏览器？
- 否（IoT、智能终端）→ 使用设备码模式
最佳实践：对于支付订单系统，建议将授权码模式 + PKCE 作为用户支付授权的默认选择，将客户端凭证模式作为服务端自动化操作的标配。这两种模式在安全性和可审计性上表现最优。