授權代碼流還是將oauth用戶與內部用戶匹配的隱式？

Question

我正在嘗試為API設計Oauth2。 首先要考慮的重要事項是，客戶端不會使用oauth2直接向API進行身份驗證。 客戶端使用公鑰/私鑰對進行身份驗證，但是客戶端是針對最終用戶的服務，然后可以使用oauth2進行身份驗證。

我正在使用身份驗證代碼流，該流在重定向uri中調用我的后端，然后創建一個包含代碼，唯一ID和oauth2提供程序的臨時表。 所有這些都很好。

然后的想法是必須客戶端向api請求以從oauth2詳細信息創建用戶，我需要這樣做以將客戶端的api密鑰與該特定用戶進行匹配。 問題在於，使用授權代碼流，我對客戶端本身上的任何令牌，唯一ID或代碼一無所知。 我在這里用錯誤的方法吠叫錯誤的樹嗎？

我是否應該改為要求一個帶有隱式流的令牌，然后將所述令牌傳遞給使用該令牌發出請求並檢索所需數據的API？

非常感謝你

Answer 1

授權服務器， client_id客戶端client_id令牌的實體，可以在數據數據中包含client_id與令牌相關聯，以便令牌驗證后資源服務器可以使用它。