2. 授权码模式详解：授权码请求、用户授权、授权码发放、令牌交换、刷新令牌、完整序列图

授权码模式（Authorization Code Grant）是 OAuth2 中最安全、最常用的流程，特别适用于有后端服务器的 Web 应用。其核心在于通过一个临时的“授权码”作为中间凭证，避免访问令牌直接暴露在用户代理（浏览器）中。本节将拆解该模式的五个核心阶段，并给出完整的序列图。

2.1 核心参与方与角色

2.2 阶段一：授权码请求

客户端引导资源所有者访问授权服务器的 /authorize 端点。请求通常通过浏览器重定向发起，必须包含以下参数：

• response_type：固定值 code，表示请求授权码。
• client_id：客户端在授权服务器注册时获得的唯一标识。
• redirect_uri：授权成功后，授权服务器将用户重定向回客户端的地址。
• scope：请求的权限范围（如 openid profile email）。
• state：客户端生成的随机字符串，用于防止 CSRF 攻击。

GET /authorize?
  response_type=code&
  client_id=web_app_001&
  redirect_uri=https://client.example.com/callback&
  scope=openid%20profile&
  state=xyzABC123
HTTP/1.1
Host: auth.example.com

2.3 阶段二：用户授权

授权服务器收到请求后，首先验证客户端的身份（通过 client_id）和 redirect_uri 的合法性。然后，如果用户尚未登录，授权服务器会展示登录页面；用户登录后，授权服务器会展示授权页面，告知用户客户端请求的权限范围。

• 用户确认授权后，授权服务器生成一个临时的授权码。
• 授权码与客户端标识、重定向 URI、授权范围绑定。
• 授权码通常具有较短的有效期（如 5-10 分钟），且只能使用一次。

2.4 阶段三：授权码发放

用户授权后，授权服务器通过浏览器将用户重定向回客户端指定的 redirect_uri，并在 URL 查询参数中附上授权码和原始的 state 值：

HTTP/1.1 302 Found
Location: https://client.example.com/callback?
  code=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...&
  state=xyzABC123

客户端收到回调后，必须立即验证 state 值是否与之前发送的一致。验证通过后，客户端提取授权码，准备进行令牌交换。

2.5 阶段四：令牌交换

客户端使用授权码，通过后端通道（服务器到服务器）向授权服务器的 /token 端点发起 POST 请求，换取访问令牌和可选的刷新令牌。此请求必须包含客户端认证信息。

POST /token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic base64(client_id:client_secret)

grant_type=authorization_code&
code=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...&
redirect_uri=https://client.example.com/callback

授权服务器验证授权码、客户端身份和重定向 URI 后，返回令牌响应：

HTTP/1.1 200 OK
Content-Type: application/json

{
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "def50200a1b2c3d4e5f6...",
  "scope": "openid profile"
}

2.6 阶段五：刷新令牌

访问令牌过期后，客户端可以使用刷新令牌获取新的访问令牌，而无需用户再次授权。刷新令牌的请求同样通过后端通道发起：

POST /token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic base64(client_id:client_secret)

grant_type=refresh_token&
refresh_token=def50200a1b2c3d4e5f6...&
scope=openid%20profile

2.7 完整序列图

下图展示了授权码模式的完整交互流程，包含所有五个阶段以及令牌刷新流程：

2.8 关键安全校验点总结