Spring Boot、React 和 OpenId Connect

Question

我們有一個用例，我們在 Spring Boot（后端）+ React（前端）應用程序中實施 OpenId Connect。 我們正在實施授權代碼流程。
后端和前端位於不同的域中。
這是發生的流程：

1. 后端返回生成的 URL 可以由 React App 打開以進行登錄（在我們的例子中重定向到 Cognito - 但它可以是任何東西） - 或者甚至這個 URL 可以在前端本身生成 - 因為 clientId 將暴露在URL 無論如何
2. 用戶登錄，向redirect uri發送請求，其中Authorization Code用於獲取access token、id token和refresh token
3. 當這一切結束時，我們有了令牌，但我們如何將它們轉移到另一個域中的 React App？ 我假設重定向和傳遞令牌作為查詢參數是有意義的——比如return "redirect://http://www.yourfrontenddomain.com?access_token" + tokenValue;

我在這里遺漏了什么或者我的方法很好嗎？
在這里使用隱式流會更容易——但這不太安全，並且只推薦用於 Javascript 應用程序——這里我們有后端 + 前端的組合。
非常感謝提前

Answer 1

好的，看來我沒有正確理解這些概念。 PCKE 的授權代碼流正是為這個用例而設計的——用於 SPA 或移動客戶端。 通過使用該流程，我們可以只使用 Spring Security 並只在后端驗證令牌（不生成它們或任何東西）