Сторонний вход как OAuth: GET или POST?

Question

Я создаю стороннее приложение, которое будет использовать рукопожатие OAuth для входа пользователя.

Я рассматриваю два подхода:

Подход 1

1. Frontend отправляет пользователя на страницу входа (URL-адрес авторизации) с URL-адресом перенаправления обратно во внешний интерфейс
2. OAuth отправляет код во внешний интерфейс через GET
3. POST-запросы внешнего интерфейса в бэкэнд / API входа с кодом
4. / login обменивает код на токен и создает сеанс

Подход 2

1. Frontend отправляет пользователя на страницу входа (URL-адрес авторизации) с URL-адресом перенаправления на серверную часть / API входа
2. OAuth GETs в / login с кодом
3. / login обменивает код для токена и создает сеанс

Подход 2 сохраняет один запрос, но я не уверен в использовании GET для создания сеанса. Какой подход лучше?