В OIDC есть несколько потоков авторизации;Поток неявного кода и кода авторизации является двумя основными, доступными для SPA.Последние электронные письма в списке рассылки ietf , указывающие на то, что поток кода авторизации должен быть предпочтительнее неявного потока из-за проблем безопасности, связанных с отображением токенов доступа в истории браузера и / или файлах журнала (если любое завершение SSL /инспекция на месте / и т.д.).
Есть ли какие-либо технические документы или RFC, которые поддерживают один поток поверх другого?Есть ли сегодня общепринятый / принятый в отрасли подход?
Это было перекрестно опубликовано на SoftwareEngineering , поскольку это отчасти дискуссионная тема.Я не ищу мнения;скорее для официальной справки / технического описания / справочных материалов, которые поддержали бы требование большей безопасности / реализации.Я не смог их найти, и поэтому не уверен, какой метод использовать.