对OAuth流中的回调感到困惑

Question

假设您要使用基于OAuth的身份验证系统保护的REST API。 使用我正在使用的网站的常规流程是：

• 用户单击链接以登录到Google
• Google向您指定的回调发送请求
• 您的应用程序通过获取给定的令牌并请求用户数据，在数据库中查找该用户数据对应的内容，并为您返回Web应用程序的会话cookie和HTML重定向（例如，重定向到首页或其他内容）来响应回调你比较喜欢）

基本上，回调端点将google令牌转换为您的Web应用程序会话cookie。

现在我想知道：这对于不了解Cookie或重定向的移动应用程序将如何工作？ 它可以做到：

• 在Google按钮上单击，向Google身份验证URL发出HTTP请求
• google会以您指定的回调URL进行响应
• 该应用程序再次向您的应用程序发送了上述回调URL的请求
• 您的应用程序返回一个cookie会话值和一个重定向URL到主页
• 移动应用程序会忘记最后一个重定向URL，并获取cookie会话值，并将其用于对API的任何其他请求

那正确吗？

Answer 1

一种实现方法是，在本机移动UI上创建一个嵌入式Web组件，将其URL设置为授权端点，用户登录并授权您的应用，授权服务器使用授权令牌重定向到您的回调URL。

您的应用程序订阅了Web组件的更改，当它检测到回调URL时，它将获取授权令牌，销毁Web组件，并调用REST API以获取访问令牌，然后访问任何受保护的资源。

相关文章：

• 将oauth2与本机（iOS / Android）移动应用程序集成
• 没有redirect_uri的Oauth2流
• 适用于前端应用程序的OAuth2

免责声明：我从未实现过此功能，也不使用移动应用程序，只是从阅读内容中获得的。