我正在构建一个应用程序，我必须在其中使用 Oauth2 的隐式流程(服务器无法提供授权代码 + PKCE，所以我被困在那里)。
我已经看到网络用户习惯于隐藏一个 iframe，该 iframe 在服务器和应用程序之间保持 session 来获取新的访问 token ，而无需重新连接。
我实际上想知道使用移动应用程序和 WebView 来模拟相同的行为是否可能/可行？
谢谢你的帮助
最佳答案
强烈建议不要对任何类型的应用程序使用隐式流。这是 OAuth 工作组的最新建议。您可以在 OAuth 2.0 安全当前最佳实践 草案中阅读更多相关信息(Section 3.1.2 用于特定情况)。
我的建议是使用 Authoirzation code flow(在最坏的情况下避免使用 PKCE，因为服务器不支持它)。
另一种选择是使用 Resource Owner Password Credentials Grant 。这比采用易受攻击的解决方案更安全。
关于javascript - 移动设备隐式流上的静默刷新 token ，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/57067422/