Для OAuth v1, да, это единственный вариант.
Для OAuth v2 существует больше «потоков», которые можно использовать. См. статью для ознакомления с OAuth v2.
Так что все зависит от того, к кому вы подключаетесь, какую версию OAuth они поддерживают. Вы можете подключиться к тому, к кому вы подключаетесь, чтобы узнать, предоставляют ли они другие варианты. Я знаю людей, которые работают с вендором, так что вендор поддерживает некоторые расширения OAuth v2, чтобы сделать его более привлекательным для мобильных приложений, так как веб-представление на мобильных устройствах выглядит дерьмово.
С другой стороны, если у вас есть токен, он остается вашим, пока его не отозвали. Это означает, что вы можете сохранить его и использовать с этого момента. Это означает, что вам может потребоваться отображать логин только в случае сбоя токена.