Как конечная точка токена узнает о пользователе, прошедшем аутентификацию при генерации кода авторизации

Question

Rfc6749 утверждает, что после получения кода авторизации мы можем обменять этот код с accessToken.

Мне интересно, как сервер авторизации узнает личность человека, который первоначально получил код? Я не вижу в спецификации, что код связан с пользователем, аутентифицированным во время шага "получение кода"

Answer 1

Сочетание redirect_url и кода предоставляет информацию о том, кто. Затем он используется для поиска выполняемой транзакции. Это зависит от реализации того, как эти элементы используются для поиска исходного запроса авторизации.

В самом простом представлении код используется для запроса маркера доступа для уже утвержденного запроса авторизации. Только зарегистрированный URL (конечная точка) получает код, который обеспечивает секретность / безопасность сгенерированных токенов.