爲什麼它被認爲不是與資源所有者共享訪問令牌的好處？

Question

按照IETF的OAuth 2.0文檔RFC 6749，這是暗示，這是一個很好的做法不暴露授權服務器頒發給資源所有者令牌：

授權碼提供了一些重要的安全利益， 諸如驗證客戶端的能力，以及在 傳輸的訪問令牌直接向客戶端，而不 使其通過資源所有者的用戶代理和潛在 其暴露給其他人，包括資源所有者 。

你知道這個的任何理由嗎？

Answer 1

它強調訪問令牌是必須保密，並只提供給憑據：

• 發出他們
• 資源服務器用於該證書是有效的
• 的授權服務器客戶端應用程序應用程序

甚至沒有資源所有者需要訪問這些憑據;授權代碼中最重要的部分當然是降低了暴露給他人的風險，但是，明確提示資源所有者明確指出訪問令牌的目標接收者是客戶端應用程序。