暗黙的な承認ワークフローの短所と認証コードの許可のみの認証？

Question

私は古典的なweb-appに対しての認証目的のためだけに承認コードGrant vs. Implicit Flowを使用する利点を理解できません。

と言えば、サードパーティのIaasプロバイダから認証されるウェブアプリがあります。 web-appはユーザー（あるIDで識別される）が認証されているかどうかだけを知る必要があります。 web-appはサードパーティーのサービスにヒットしないため、承認の目的でアクセストークンを持つ必要はありません。

この例では、IaaSから直接Webブラウザにuser_id（JWTトークン）を取得するのが安全でなく、Webバックエンド経由で同じuser_idを取得する方法がわかりません。どちらの場合も、セッションが確立されます。この場合暗黙的な助成金を使用すると、私は何を失いますか？

Answer 1

あなたのweb-appの実行場所に依存します。 Authorization code補助金が機密クライアント用に最適化されているため、ブラウザ上で完全に実行されている場合（JavaScriptアプリやSPAなど）は、implicitフローを使用します。

あなたのWebアプリは、サーバ上で実行されている場合は、トークンがWebアプリケーションサーバ（クライアント）に直接IaaS事業者（認証サーバ）から送信されるので、それはAuthorization code助成金を使用した方が安全ですし、ユーザーのブラウザ（リソース所有者）のブラウザではありません。