问OAuth和握手混淆

EN

这取决于您希望支持哪些服务提供商。

谷歌在这里很好地描述了如何在“已安装的应用程序”中使用OAuth 2.0：https://developers.google.com/accounts/docs/OAuth2InstalledApp

一般来说，有几种不同的策略：

1. 按照您上面描述的方式执行OAuth流程--使用标准的URL处理程序弹出浏览器，但要求用户将授权代码从浏览器复制/粘贴回您的应用程序。这需要提供程序对浏览器窗口的urn:ietf:wg:oauth:2.0:oob.
2. Open的redirect_url的支持，并自动从浏览器的标题窗口捕获服务器返回的授权码，而不需要复制/粘贴。这还需要在您的应用程序中支持OOB redirect_url.
3. Do OAuth请求作为嵌入式浏览器窗口，并捕获授权码，如#2所示。

如果您的OOB2.0提供商不支持OAuth，您也可以重定向到您自己的web服务器来完成类似的任务。

最大的问题是，您这样做是为了身份验证(获取用户身份)还是授权(通过web API访问用户数据)。如果您正在尝试对用户进行身份验证，则需要一些可以信任的服务器端逻辑来传递用于验证的授权码或访问令牌。