Почему существует поток " код авторизации "в OAuth2, когда" неявный " поток работает так хорошо?

tl; dr: Это все из соображений безопасности.

OAuth 2.0 хотел соответствовать этим двум критериям:

1. вы хотите разрешить разработчикам использовать не HTTPS redirect URI, потому что не у всех разработчиков есть сервер с поддержкой SSL, и если они это делают, он не всегда правильно настроен (не самозаверяющие, доверенные сертификаты SSL, синхронизированные часы сервера...).
2. вы не хотите, чтобы хакеры могли украсть токены доступа / обновления путем перехвата запросы.

детали ниже:

неявный поток возможен только в среде браузера из соображений безопасности:

на неявный поток маркер доступа передается непосредственно как хэш-фрагмент (не как параметр URL). Одна важная вещь о хэш-фрагменте заключается в том, что, как только вы перейдете по ссылке, содержащей хэш-фрагмент, только браузер знает о хэш-фрагменте. Браузеры передадут хэш-фрагмент непосредственно на целевую веб-страницу (URI перенаправления / веб-страница клиента). Хэш-фрагмент имеет следующие свойства:

• они не являются частью HTTP-запроса, поэтому они не могут быть прочитаны серверами и из-за этого они не могут быть перехвачены промежуточными серверами/маршрутизаторами (это важно).
• они существуют только на стороне браузера-клиента-поэтому единственный способ прочитать хэш-фрагмент-использовать JavaScript, который работает на страница.

Это позволяет передавать токен доступа непосредственно клиенту без риска его перехвата промежуточным сервером. Это имеет оговорку о том, что это возможно только на стороне клиента и требует запуска javascript на стороне клиента для использования маркера доступа.

на авторизация поток код невозможно передать маркер доступа непосредственно в параметре URL, поскольку параметры URL являются частью HTTP-запроса, поэтому любые промежуточный сервер / маршрутизаторы, с помощью которых ваш запрос будет проходить (может быть сотни), может быть в состоянии прочитать маркер доступа, если вы не используете En зашифрованное соединение (HTTPS), позволяющее то, что известно как атаки "человек в середине".

передача маркера доступа непосредственно в URL param теоретически может быть возможна, но auth sever должен будет убедиться, что URI перенаправления использует HTTPS с шифрованием TLS и "доверенным" сертификатом SSL (обычно от центра сертификации, который не является бесплатно), чтобы убедиться, что целевой сервер является законным и что HTTP-запрос полностью зашифрован. Если бы все разработчики приобрели сертификат SSL и правильно настроили SSL на своем домене, это было бы огромной болью и значительно замедлило бы принятие. Вот почему посредник одноразового использования "код авторизации" при условии, что только законный получатель сможет обмениваться (потому что вам нужен секрет клиента) и что код будет бесполезен для потенциальных хакеров перехват запросов по незашифрованным транзакциям (потому что они не знают секрет клиента).

вы также можете утверждать, что неявный поток менее безопасен, есть потенциальные векторы атаки, такие как спуфинг домена при перенаправлении - например, путем захвата IP-адреса веб-сайта клиента. Это одна из причин, почему неявный поток предоставляет только маркеры доступа (которые, как предполагается, имеют ограниченное использование времени) и никогда не обновляют маркеры (которые не ограничены во времени). Чтобы устранить эту проблему, я советую вам размещать свои веб-страницы на сервере с поддержкой HTTPS, когда это возможно.