Какой запрос следует сделать для обмена кода на токен в рабочем процессе Авторизация кода?

Question

Я пытаюсь настроить Pac4j в своем приложении (BE) и для того, чтобы настроить мой угловой интерфейс (FE), мне нужно понять рабочий процесс, который он ожидает, для правильной настройки сервера.

Я читал множество документации и просматривал исходные тексты Pac4j, чтобы узнать, как я могу получить токен из кода без раскрытия секрета клиента.

Итак ...

1. Я пытаюсь войти в FE-> BE (без аутентификации)
2. Я получаю 401
3. Я беру 'Location' (Google auth uri) из 401 и перенаправляюк нему, предоставляя обратный вызов URI
4. Я вхожу в Google
5. Я перенаправлен обратно на мой обратный вызов URI с кодом
6. (Какой запроссделать для того, чтобы получить токен обратно? т.е. где находится URI токена, который не требует client_secret)
7. Я использую полученный токен для доступа и продолжения в обычном режимеиспользуя BE

Answer 1

Если вы не хотите использовать client_secret, вам нужен общедоступный клиент. Я не уверен, что публичный клиент поддерживается Google.

ИМХО лучшим подходом будет неявный поток в ИП. Он сгенерирует токен доступа, который будет использоваться для вызовов BE API.