#http
标签「http」下的全部文章
PKCE 补的是哪个洞：code 在回调路上被截走
PKCE 只保护 code 从授权服务器回到客户端这一段，机制是一个不离开客户端的 code_verifier。写清它防什么、plain 为什么等于没有、它不替代 state 也不防钓鱼，以及什么条件下可以不上。
Authorization Code：为什么要绕一个 302 才把 token 给你
授权码流程的全部理由是让 token 不经过浏览器。拆开五步里每一步防的东西、state 防的是哪种 login CSRF、redirect_uri 为什么必须逐字一致，以及本站踩过的「登录了但后台还是未登录」的 cookie 落域问题。
OAuth Device Flow 是怎么在不配回调域名的情况下完成登录的
Device Flow 把浏览器回调换成用户手抄短码、客户端主动轮询，因此不需要可公网访问的回调地址。拆开 user_code 与 device_code 的映射机制、GitHub 真实端点、五个错误码，以及本站为什么仍然用 Authorization Code。